共享文件变成「AI 病毒」载体：记忆跳跃攻击能传 8 跳感染 80% 智能体
源论文：Share-Borne AI Virus: Memory-Hopping Attacks Across LLM Agents（arXiv:2609.35576，剑桥+CISPA+Mila 等，2026-09-28）
智能体越来越像「有记忆的员工」：跨会话记住事情，还替你读写文件。这篇论文指出这两件事拼在一起的黑暗面——共享的文件，可以成为智能体之间传播恶意指令的「病毒载体」。
攻击怎么传播：文件 → 记忆 → 新文件 → 下一个智能体
作者提出的攻击模型叫「制品介导传播」，链条四步：
- 攻击者把恶意内容植入一份制品（比如一份报告） 2. 智能体 A 读这份报告时，把恶意内容存进持久记忆 3. A 后来替用户写新报告，恶意内容被复述进新制品 4. 智能体 B 读到 A 写的新制品，同样中招——继续传
关键在于：两个智能体从没直接通信过，它们只通过「读同一批文件」建立了间接通道。Grok Bot、Muse 这类常驻型个人智能体（永远在线、跨会话、代管文件）正是这种攻击的完美温床。
实测：8 跳传播，60-80% 感染率
在模拟「时间流转的多人-多智能体宇宙」（独立运行的智能体随时间交换制品）中测量三个量：攻击能否挺过一次次交接、传几跳、扩散多广。
结果：攻击能在多个独立智能体间持续传播，长交互序列下不死。最大模拟环境里，连 GPT-5.6 Luna（顶级模型）也出现大面积扩散——感染 60-80% 的智能体，传播链长达 8 跳。模型强度挡不住这种攻击，因为漏洞不在模型能力，在「共享制品+持久记忆」这个架构本身。
这改变了安全模型的三件事
- 隔离失效：传统安全边界是「别让攻击者和你的智能体对话」。记忆跳跃攻击不需要对话——受害路径是文件，而读文件就是智能体的本职工作。 2. 攻击长寿命：恶意状态存在制品里，比任何一次会话都活得久。杀会话、换模型都没用，制品还在流转。 3. 责任链消失：谁传播的病毒？每个中间智能体都「只是正常读文件+正常写报告」。没有恶意主体，只有被污染的管道。
防御方向与工程动作
论文给的防御思路围绕「记忆入口的来源校验」：制品内容进记忆前，验证其与来源的可信关系；对「跨来源转述的内容」降权。
落到工程上的三件立刻能做的事：
- 别让「读到的」和「记住的」自动等价——制品内容进记忆前过一道来源标注
- 共享制品打可信链：谁生成、谁读过，可追溯（BuddyMe 的经验循环里「出处验证的轨迹」就是这个思路的小型版：经验教训必须携带机械验证过的引文才能晋升——不带出处的信息进不了知识层）
- 跨来源内容隔离存储：从共享文件读来的信息单独打标，影响行为前需要额外门槛
多智能体的安全叙事三连更（监控逃逸→欺骗者占比→今天的共享病毒）：每次都在说同一件事——智能体系统里，「信任」必须显式设计，默认的信任范围越大，攻击面越大。
🎁 BuddyMe 每日免费 4500 万 Token