MemGhost: KI-Agenten mit Falsch-Erinnerungen manipuliert

Stell dir vor, dein KI-Assistent merkt sich eine Lüge — und du bekommst nie mit, dass jemand sie ihm untergeschoben hat. Genau das führen Forscher jetzt vor. Der Angriff heißt MemGhost, und er braucht nur eine einzige E-Mail.

SCHOCK: Eine Mail reicht — und der Bot glaubt für immer

Moderne KI-Assistenten führen ein dauerhaftes Gedächtnis. Sie speichern deine Vorlieben, Kontakte und Aufgaben in Notiz-Dateien und lesen sie zu Beginn jeder neuen Sitzung ein. Genau deshalb fühlt es sich an, als würde der Assistent dich kennen.

MemGhost missbraucht exakt diesen Mechanismus. Der Angreifer schickt eine präparierte Mail. Der Agent verarbeitet sie, speichert daraus einen falschen „Fakt“ – und versteckt die Änderung. Die sichtbare Antwort bleibt völlig unauffällig. Die Lüge aber bleibt im Speicher und steuert alle späteren Antworten.

So perfide ist der Trick

In einem Testfall der Studie pflanzten die Forscher die Lüge ein, das tägliche Zelle-Überweisungslimit des Nutzers sei auf 10.000 Dollar angehoben worden. Der Clou: MemGhost ist ein Ein-Schuss-Verfahren – ein automatisch erzeugter Payload verwandelt eine Mail in eine dauerhafte Falsch-Erinnerung, die auch noch Sitzungen später wirkt, lange nachdem die Nachricht gelöscht ist.

Frühere Angriffe mussten von Hand gestrickt werden oder leckten Daten nur im Moment der Anfrage. MemGhost fügt das hinzu, was sie gefährlich macht: Persistenz. Das Paper trägt den Titel „When Claws Remember but Do Not Tell“ und ist am 6. Juli 2026 auf arXiv erschienen.

EXTRA-TIPP: Was du selbst tun kannst

Behandle das Langzeitgedächtnis deiner KI-Tools wie eine ungeprüfte Datenquelle. Wenn dein Assistent Speicher-Einträge anlegt, sollten die einsehbar und löschbar sein. Sei besonders wachsam, wenn ein Agent eingehende Mails automatisch „verinnerlicht“. Und: Für sensible Aktionen – Überweisungen, Passwortänderungen – sollte nie allein die „Erinnerung“ des Bots die Grundlage sein.

Häufige Fragen

Was genau ist MemGhost?

MemGhost ist eine Angriffstechnik, bei der externe Inhalte still ins dauerhafte Gedächtnis eines KI-Agenten aufgenommen und später als vertrauenswürdiger Fakt wiederverwendet werden – ohne dass der Nutzer es merkt. Sie wurde in einem arXiv-Paper vom 6. Juli 2026 beschrieben.

Bin ich als normaler Nutzer betroffen?

Betroffen sind vor allem KI-Assistenten mit persistentem Gedächtnis, die Mails oder Dokumente automatisch verarbeiten. Reine Chatbots ohne Langzeitspeicher sind weniger anfällig. Wer Agenten mit Mail-Zugriff nutzt, sollte besonders aufpassen.

Wie kann ich mich schützen?

Halte Speicher-Einträge deiner KI-Tools einsehbar und löschbar, misstraue automatisch „gemerkten“ Fakten und lass sensible Aktionen nie allein auf Basis der Bot-Erinnerung ausführen. Ein zweiter, menschlicher Prüfschritt bleibt Pflicht.

Gab es schon echte Angriffe?

Bislang handelt es sich um eine Forschungs-Demonstration, kein bekannter Massen-Exploit. Aber das Verfahren ist automatisierbar – die Forscher haben ein Tool gebaut, das die Angriffs-Mails selbst schreibt.

Quellen: The Hacker News, arXiv 2607.05189. Mehr Empfehlungen findest du jederzeit unter /empfehlungen/.

KI-SPUK! Eine einzige Mail pflanzt deinem Assistenten falsche Erinnerungen ein — so schützt du dich