Injeção de Memória: Tornando Injeções de Prompt e Jailbreaks Persistentes no ChatGPT, Claude e Gemini

Visão Geral

Este trabalho explora injeções de memória contra o Anthropic Claude (Sonnet 4.6), o Google Gemini (Flash) e o OpenAI ChatGPT (Instant 5.3). Os ataques de injeção de memória exploram recursos nativos baseados em memória de longo prazo para armazenar injeções de prompt. Como resultado, os efeitos da injeção persistem entre sessões de chat. Todos os objetivos do NIST identificados no relatório do NIST sobre aprendizado de máquina adversarial são explorados:

1. Comprometimento da privacidade: dentro de uma organização Claude, as conversas dos usuários são exfiltradas para a conta do Google Drive do atacante;
2. Quebra de disponibilidade: o modelo responde "Offline, please try again" ao prompt do usuário;
3. Violação de integridade: geração de desinformação e conteúdo prejudicial;
4. Facilitação de uso indevido: jailbreaks que possibilitam uso indevido geral e sustentam os objetivos acima.

Em particular, organizações Claude podem ser atacadas de modo que todos os objetivos acima afetem todos os usuários dentro do workspace.

Os recursos explorados ao longo deste trabalho são: memórias, conectores MCP, Claude skills, Claude enterprise search, Claude projects e instruções de organização do Claude (ou seja, prompts de sistema em nível de organização).

Organização

Este repositório está dividido da seguinte forma:

• Reproduction steps and artifacts: instruções passo a passo para reproduzir os ataques, incluindo material auxiliar quando necessário;
• Datasets: prompts e outras strings usadas ao longo do trabalho e as saídas correspondentes do modelo;
• Screenshots: provas dos ataques.