Инъекция в память: как сделать промпт-инъекции и джейлбрейки постоянными в ChatGPT, Claude и Gemini

Обзор

Эта работа исследует инъекции в память против Anthropic Claude (Sonnet 4.6), Google Gemini (Flash) и OpenAI ChatGPT (Instant 5.3). Атаки с инъекцией в память эксплуатируют встроенные функции долговременной памяти для сохранения промпт-инъекций. В результате эффекты инъекции сохраняются между сессиями чата. Исследуются все цели NIST, определённые в отчёте NIST о состязательном машинном обучении:

1. Нарушение конфиденциальности: в рамках организации Claude пользовательские беседы эксфильтруются в аккаунт Google Drive атакующего;
2. Нарушение доступности: модель отвечает на промпт пользователя «Offline, please try again»;
3. Нарушение целостности: генерация дезинформации и вредоносного контента;
4. Создание условий для злоупотребления: джейлбрейки, позволяющие общее злоупотребление и поддерживающие вышеуказанные цели.

В частности, организации Claude могут быть атакованы так, что все вышеперечисленные цели затрагивают всех пользователей в рабочем пространстве.

Функции, исследуемые в данной работе: memories, MCP connectors, Claude skills, Claude enterprise search, Claude projects и Claude organization instructions (то есть системные промпты уровня организации).

Структура

Этот репозиторий разделён следующим образом:

• Reproduction steps and artifacts: пошаговые инструкции по воспроизведению атак, включая вспомогательные материалы при необходимости;
• Datasets: промпты и другие строки, используемые в работе, и соответствующие выходные данные моделей;
• Screenshots: доказательства атак.