Memory-Dateien und Kontextdaten halten den Zustand einer Nutzersitzung fest und langfristig auch die generellen Vorlieben eines Anwenders. Genau deshalb sind sie für Angreifer attraktiv, die KI-Anwendungen kompromittieren und sich dauerhaft einnisten wollen. „Man gewinnt den Komfort, dieselben Dateien, Abhängigkeiten und Verzeichnisse nicht erneut laden zu müssen – im Gegenzug öffnet man sich aber womöglich für ein Risiko“, sagt Chang.
Cisco ist mit dem Befund nicht allein. Forscher der Princeton University und von Sentient AI fanden heraus, dass Angreifer gefälschte Erinnerungen in die von der KI genutzten Daten einschleusen und so deren Antworten und Entscheidungen manipulieren können. Bedrohungsforscher von Radware zeigten, wie sich mittels indirekter Prompt-Injection (IPI) die Connectoren kompromittieren lassen, über die OpenAIs ChatGPT an Drittdienste angebunden wird. Cisco wiederum hatte in einem früheren Bericht festgestellt, dass externe Datenquellen, sogenannte Model-Context-Protocol-Server (MCP), bereits erhebliche Risiken für KI-Anwendungen darstellen.
Die jüngste Untersuchung verdeutlicht ein grundlegendes Problem beim Absichern von KI-Systemen. Sicherheitsfachleute betrachten ausführbare Dateien seit jeher als potenzielle Gefahr, und Code findet sich häufig auch in eigentlich nicht ausführbaren Dateien – etwa in Excel-Makros oder in Python-Opcodes innerhalb von Pickle-Dateien. Nun kann jede Textdatei Informationen enthalten, die in eine Memory-Datei aufgenommen schädliches Verhalten auslösen. „Selbst Markdown-Dateien können zum Vektor werden“, sagt Chang.
Ciscos jüngster Angriff nutzte die Post-Install-Hooks des Node Package Manager (NPM), um die Datei memory.md von Claude Code zu verändern. Da die ersten 200 Zeilen dieser Datei in den System-Prompt von Claude Code einflossen, überdauerte der Angriff einzelne Sitzungen. Weitere Abhängigkeitsdateien wie claude.md (Anthropics Claude), agents.md (OpenAIs Codex) und soul.md (OpenClaw) sind laut Chang ebenfalls Risiken, die Nutzer agentischer KI prüfen und pflegen müssen.
Basismodelle sind im Kern zustandslos: Jeder Aufruf ist unabhängig, die Gewichte ändern sich nicht. Zustand entsteht nur, wenn Informationen im Kontextfenster vorliegen – als Teil des Prompts, aus einer Datenquelle wie Vektordatenbanken oder durch zusätzliche Anpassung etwa über Low-Rank-Adapter (LoRA) und Retrieval-Augmented Generation (RAG).
„Die eigentliche Ursache ist Prompt-Injection, und die bleibt ein offenes, ungelöstes Problem“, sagt Jay Chen, Senior Principal Security Researcher bei Palo Alto Networks, das im vergangenen Oktober eine Untersuchung zur Memory-Manipulation veröffentlichte. „Jeder KI-Agent und jede GenAI-Anwendung, die ein Sprachmodell zur Verwaltung des Gedächtnisses einsetzt, kann anfällig für Memory-Poisoning sein.“
Schädliche Ergänzungen in Memory-Dateien sind schwer zu erkennen. Mehrere Anbieter, darunter Cisco, Palo Alto Networks, Snyk, Meta und SentinelOne, haben Werkzeuge entwickelt, die Memory-Dateien auf bösartige Änderungen durchsuchen und Angriffe blockieren. „Wir haben zahlreiche quelloffene Scanner veröffentlicht, die solche Abhängigkeitsdateien prüfen und etwa eine vergiftete Memory-Datei zutage fördern“, sagt Chang.
Chen rät Unternehmen zudem, Memory-Dateien regelmäßig zu löschen, vor allem bei Zweifeln an deren Integrität. „Wie lange schädliche Anweisungen fortbestehen, hängt von der Aktualisierungsfrequenz und den Aufbewahrungsrichtlinien ab und ist schwer zu bestimmen. Im Zweifel ist es am sichersten, das Gedächtnis vollständig zu leeren.“