メモリインジェクション: ChatGPT、Claude、Gemini におけるプロンプトインジェクションとジェイルブレイクを永続化させる

概要

本研究では、Anthropic Claude (Sonnet 4.6)、Google Gemini (Flash)、OpenAI ChatGPT (Instant 5.3) に対するメモリインジェクションを探求する。メモリインジェクション攻撃は、ネイティブの長期メモリベースの機能を悪用してプロンプトインジェクションを保存する。その結果、インジェクションの効果はチャットセッションをまたいで持続する。NIST の敵対的機械学習に関する報告書で特定された NIST の目標はすべて探求されている:

1. プライバシーの侵害: Claude 組織内において、ユーザーの会話が攻撃者の Google Drive アカウントに窃取される;
2. 可用性の破壊: モデルがユーザーのプロンプトに対して「オフラインです。もう一度お試しください」と応答する;
3. 完全性の侵害: 偽情報および有害コンテンツの生成;
4. 悪用の可能化: 一般的な悪用を可能にし、上記の目標を支援するジェイルブレイク。

特に、Claude 組織は、上記の目標すべてがワークスペース内のすべてのユーザーに影響を与えるように攻撃され得る。

本研究全体で探求される機能は以下の通りである: メモリ、MCP コネクタ、Claude スキル、Claude エンタープライズ検索、Claude プロジェクト、および Claude 組織の指示 (すなわち、組織全体のシステムプロンプト)。

構成

このリポジトリは以下のように構成されている:

• Reproduction steps and artifacts: 攻撃を再現するためのステップバイステップの手順。必要に応じて補助資料を含む;
• Datasets: 本研究全体で使用されるプロンプトやその他の文字列、および対応するモデルの出力;
• Screenshots: 攻撃の証拠。