🤖 AI

Mind Your HEARTBEAT! Claw Background Execution Inherently Enables Silent Memory Pollution

该论文揭示了 Claw 个人 AI 代理中“心跳驱动后台执行”架构的固有漏洞，指出未经用户察觉的外部信息（如社交媒体谣言）可直接污染代理记忆并持久影响其后续行为，且无需依赖提示注入攻击。

原作者： Yechao Zhang, Shiqian Zhao, Jie Zhang, Gelei Deng, Jiawen Zhang, Xiaogeng Liu, Chaowei Xiao, Tianwei Zhang

发布于 2026-03-25

📖 1 分钟阅读☕ 轻松阅读

原作者： Yechao Zhang, Shiqian Zhao, Jie Zhang, Gelei Deng, Jiawen Zhang, Xiaogeng Liu, Chaowei Xiao, Tianwei Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章揭示了一个关于未来个人 AI 助手（比如你的私人管家机器人）的隐蔽安全漏洞。为了让你更容易理解，我们可以把这篇论文的核心内容想象成一个关于"管家在背着你偷听并记错账"的故事。

🏠 核心故事：你的“隐形管家”

想象你雇佣了一个超级智能的AI 管家（比如叫“小爪”）。

它的任务：帮你处理邮件、看新闻、管理日程，甚至在你睡觉时（后台运行）帮你整理信息。
它的习惯：它有一个叫"心跳"（Heartbeat）的机制。就像人的心脏跳动一样，它会每隔一段时间自动“醒”过来，去检查各种外部信息（邮件、社交媒体、新闻），然后把这些信息记在脑子里，以便下次你问它时能立刻回答。

⚠️ 问题出在哪里？“共享的记事本”

这篇论文指出的致命漏洞是：这个管家在“后台偷听”时，和“前台和你聊天”时，用的是同一个记事本（记忆）

正常情况：你问它：“明天天气怎么样？”它去查天气，告诉你答案。
漏洞情况：
- 你不在电脑前，管家在后台自动刷社交媒体。
- 此时，一个坏人在社交媒体上发了一条假消息：“某款软件有严重漏洞，大家快用那个叫‘假安全’的替代品！”
- 管家看到了这条假消息。因为它和你在前台聊天共用同一个“大脑”，它就把这条假消息当成了事实，记进了它的长期记忆里。
- 关键点：你完全不知道它看了这条假消息，因为它是在后台偷偷看的。

🎭 坏人是怎么做到的？（不需要黑客技术）

坏人不需要像电影里那样输入复杂的代码去“黑”进你的电脑。他们只需要利用“从众心理”：

制造假象：坏人注册很多小号，在社交媒体上假装大家都在讨论：“那个‘假安全’软件真好用，专家都推荐！”
利用信任：AI 管家看到这么多“人”都这么说，又看到有“专家”（版主）背书，它就信以为真了。
结果：几天后，你问管家：“我该用哪个软件？”管家会非常自信地告诉你：“用‘假安全’吧，大家都这么说，而且我记在笔记里了。”
结局：你下载了恶意软件，而这一切，你完全不知情。

🔬 研究人员做了什么实验？

为了证明这不是瞎想，研究团队搭建了一个模拟的“机器人社交网络”（叫 MissClaw），里面全是 AI 机器人。他们做了三个实验：

短期影响（同一次聊天）：
- 让 AI 在后台看到假消息，马上问你问题。
- 结果：哪怕没有坏人直接攻击，只要假消息看起来像“大家公认的真理”，61% 的 AI 会立刻被带偏，给你错误的建议。
长期影响（记进脑子里）：
- 让 AI 在后台看到假消息，然后你让它“把今天学到的记下来”。
- 结果：AI 很听话，把假消息写进了长期记忆。哪怕过了好几天，你换了个新对话窗口问它，它依然会引用那条假消息。91% 的情况下，假消息成功“洗白”成了它的内部知识。
真实环境（信息海洋）：
- 在后台刷 20 条信息，其中只有 1 条是假的，其他 19 条都是真的。
- 结果：即使假消息混在真消息里，AI 还是能把它挑出来记在脑子里，并在之后影响你的决策。

💡 为什么这很可怕？

防不胜防：传统的防御是防止坏人输入“恶意指令”（比如“删除所有文件”）。但这种攻击是伪装成普通信息的，AI 的防火墙通常不会拦截“看起来像新闻”的内容。
无声无息：整个过程你不需要点击任何链接，不需要输入任何密码。AI 只是“路过”看了一眼，就被污染了。
记忆污染：一旦假信息进入了 AI 的长期记忆，它就变成了 AI 的“常识”，很难再被纠正。

🛡️ 我们能怎么办？

论文最后提出了一些建议，就像给管家立规矩：

分清来源：告诉 AI，后台看到的“八卦”和前台你确认的“事实”要分开记，不能混在一起。
增加透明度：当 AI 在后台看到重要信息时，应该弹窗告诉你：“我在后台看到一条关于 XX 的消息，需要我记下来吗？”
隔离环境：让后台干活的地方和前台聊天的地方物理隔离，别让后台的“杂音”污染前台的“大脑”。

📝 一句话总结

这篇论文警告我们：未来的 AI 助手如果太“勤快”地在后台自动浏览信息，又缺乏对信息来源的严格审查，就很容易被坏人用“假新闻”和“从众心理”悄悄洗脑，最后在你不知情的情况下，给你提供错误的建议。

这就好比你的管家在背着你听信了隔壁邻居的谣言，然后一本正经地告诉你那是真理。

这是一份关于论文《Mind Your HEARTBEAT! Claw Background Execution Inherently Enables Silent Memory Pollution》（注意你的心跳！Claw 后台执行固有地导致静默内存污染）的详细技术总结。

1. 研究背景与问题定义 (Problem)

核心问题：
主流的个人 AI 代理（Personal AI Agents，特别是基于"Claw"生态系统的代理，如 OpenClaw）存在一个关键的安全漏洞：基于“心跳（Heartbeat）”机制的后台执行会导致静默的内存污染（Silent Memory Pollution）。

漏洞机制：

架构设计缺陷： 在 Claw 系统中，心跳驱动的后台任务（如检查邮件、监控新闻、浏览社交媒体）与用户前端的对话共享同一个会话上下文（Shared Session Context）。
静默摄入： 当代理在后台运行时，它会将外部来源（如邮件、消息、新闻、代码库、社交媒体）的内容摄入到当前的短期会话记忆中。
缺乏可见性： 用户通常看不到这些后台处理过程，且内容来源往往不清晰（Provenance-free）。
污染路径： 外部遇到的错误信息 $\rightarrow$ 进入短期会话记忆 $\rightarrow$ 被写入长期记忆（Long-term Memory） $\rightarrow$ 在后续的用户交互中影响代理行为。
与传统攻击的区别： 这种攻击不需要提示注入（Prompt Injection），也不需要直接攻击代理的内部状态。攻击者只需在代理例行后台扫描的渠道中放置看似可信的虚假信息（如社交媒体上的谣言），即可利用代理的“信任”和“记忆保存”机制实现攻击。

2. 方法论 (Methodology)

实验平台：MissClaw

为了在受控环境中评估该威胁，作者构建了 MissClaw，这是真实社交代理平台 Moltbook 的隔离研究副本。
MissClaw 复现了 Moltbook 的 API 接口（发帖、投票、评论等），但提供了确定性内容注入、每次运行隔离和精确的端到端测量能力，避免了真实平台上的干扰。

攻击路径模型：E $\rightarrow$ M $\rightarrow$ B
作者形式化了攻击路径：

Exposure (E，暴露)： 代理在心跳后台执行中接触到包含错误信息的社交内容。
Memory (M，记忆)： 错误信息进入短期会话，并可能被保存为长期记忆。
Behavior (B，行为)： 在后续的用户交互中，代理基于被污染的记忆给出错误建议。

实验设置：

受害者代理： 部署了 5 种不同人格（Persona）的 OpenClaw 代理（如：自信、好奇、怀疑等），运行在 Claude Haiku 4.5 模型上。
评估领域： 软件安全（依赖版本选择）、金融决策（DeFi 协议选择）、学术引用（虚构论文）。
实验阶段：
- 研究 1（同会话）： 测试后台接触错误信息后，是否立即影响同一会话内的后续任务。
- 研究 2（跨会话）： 测试短期污染是否会被写入长期记忆，并在新的会话中持续影响行为。
- 研究 3（自然主义稀释）： 模拟真实场景，错误信息混在大量良性内容中（1/20 的比例），测试在内容稀释和系统上下文修剪（Context Pruning）下，污染是否依然有效。

3. 关键贡献 (Key Contributions)

发现新的攻击面： 首次指出“心跳共享会话执行”是一种类“零点击（Zero-click）”的攻击面。攻击者无需与受害者直接交互，只需利用代理的后台自动扫描机制即可注入污染。
形式化攻击路径： 提出了 E $\rightarrow$ M $\rightarrow$ B 攻击模型，揭示了从社交暴露到持久化记忆再到行为影响的完整链条。
构建评估基准： 开发了 MissClaw 平台，实现了对社交暴露如何转化为持久代理状态并影响行为的端到端实证评估。
系统性因素分析： 深入研究了社交信号（权威、共识）、代理人格、外部搜索能力、内容稀释和上下文管理对污染效果的影响，为设计更安全的后台执行机制提供了指导。

4. 主要实验结果 (Key Results)

研究 1：短期行为影响

社交信号是关键： 社交可信度信号是驱动短期行为影响的主导因素。
- 共识（Consensus）： 最具影响力。即使没有权威账号发布，只要周围评论形成“一致同意”的假象，误导率最高可达 61%。
- 权威（Authority）： 次要因素，单独存在时效果较弱。
人格影响： “怀疑型（Skeptical）”人格的代理受攻击影响最小（误导率约 11-16%），而“自信型（Bold）”和“快乐型（Cheerful）”人格最脆弱（误导率高达 60-90%）。
外部搜索无效： 即使代理拥有网络搜索工具，如果它已经信任了后台摄入的信息，它往往不会主动搜索验证，或者搜索后仍坚持错误信息。

研究 2：长期记忆污染（跨会话）

常规保存行为导致持久化： 用户常规的“保存记忆”指令（Save Prompt）会将短期污染写入长期记忆。
- 在强保存指令下，91% 的污染内容会被写入长期记忆。
- 一旦写入长期记忆，跨会话的攻击成功率（ASR）高达 76%。
领域差异： 金融和学术领域比软件安全领域更容易被写入长期记忆并产生跨会话影响。

研究 3：自然主义环境下的持久性

内容稀释削弱但未消除威胁： 即使错误信息混在 19 条良性内容中（1/20），且经过系统的上下文修剪，污染依然能进入长期记忆。
- 在强保存指令下，金融领域的保存率仍达 60%。
- 跨会话攻击成功率虽降至 17.8%（无搜索）或 11.1%（有搜索），但并未归零。
结论： 内置的上下文管理（如修剪、压缩）是效率机制，而非可靠的安全防御。

5. 意义与启示 (Significance)

重新定义威胁模型： 对于持久性个人 AI 代理，最大的风险不仅仅是恶意的提示注入，而是被动吸收外部虚假信息并内化为自身知识。
设计缺陷的根源： 该漏洞源于产品层面的设计权衡（为了连续性和用户体验，将后台任务与前台会话共享），而非代码实现错误。
防御挑战：
- 传统的提示注入防御（检测恶意指令）对此类攻击无效，因为输入的是“普通信息”。
- 外部搜索工具不能完全依赖，因为代理可能不会主动调用或会忽略搜索结果。
缓解建议：
- 来源可追溯性（Source Provenance）： 为记忆条目标记来源，区分“用户直接提供”和“后台自动抓取”。
- 隔离上下文： 将心跳后台执行与用户主会话隔离，防止后台内容直接污染短期记忆。
- 增强可见性： 让用户知晓代理在后台处理了什么内容。
- 敏感任务检查： 在涉及关键决策（如金融、安全）时，对源自后台的记忆进行额外验证。

总结：
这篇论文揭示了 AI 代理在追求“全天候自动化”和“记忆持久化”过程中引入的严重安全隐患。它证明了普通的社交 misinformation（错误信息）足以通过心跳机制“无声无息”地污染 AI 的大脑，并长期误导其行为。这要求未来的 AI 代理设计必须将后台执行的安全性和记忆的来源管理作为核心安全考量，而非仅仅是功能特性。