MAFIA: 프로빙 및 사실 주입을 통한 감사형 LLM 에이전트에 대한 쿼리 기반 메모리 공격

MAFIA: Query-Only Memory Attacks via Probing and Factual Injection against Audited LLM Agents

메모리를 활용한 LLM 에이전트는 장기적인 추론과 실행을 위해 풍부한 컨텍스트에 의존하지만, 이러한 메모리 모듈은 악의적인 데이터를 삽입하기 쉬운 취약점을 가지고 있어, 메모리 손상 위협에 대한 연구가 필수적입니다. 그러나 기존의 쿼리 기반 공격은 종종 대규모의 안전한 메모리 풀과 능동적인 입력 감사라는 두 가지 현실적이고 일반적인 환경에서 효과를 유지하지 못합니다. 결과적으로, 현재의 접근 방식은 높은 검색 경쟁률과 엄격한 의미론적 검증이라는 이중적인 어려움에 직면할 때 한계를 드러냅니다. 이러한 제한 사항을 극복하기 위해, 우리는 확장된 위협 모델에 맞춰 설계된 쿼리 기반 메모리 공격 프레임워크인 MAFIA를 제안합니다. 구체적으로 MAFIA는 다음과 같은 기능을 제공합니다: (1) 메모리 프로빙, 예산 할당 및 스케줄링을 통해 검색 경쟁력을 확보하는 삽입 전략; (2) 압축된 사실적 은폐(factual cloaks)를 사용하여 감사를 우회하고 악의적인 영향을 유지하면서 높은 의미론적 유사성을 유지하는 페이로드 설계. 광범위한 실험 결과, MAFIA는 최대 90.7%의 공격 성공률을 달성했으며, 감사 탐지율을 최고 83.3%에서 최소 7.4%로 낮추어 에이전트 메모리 시스템의 중요한 취약점을 드러냈습니다. 코드 공개는 https://github.com/JiamingChen1234/MAFIA 에서 확인할 수 있습니다.

Memory-augmented LLM agents rely on rich context for long-horizon reasoning and acting, yet their memory modules expose a persistent attack surface for malicious records, making the study of memory poisoning threats imperative. However, existing query-only attacks often fail to remain effective in two realistic and prevalent settings: large-scale benign memory pools and active input auditing. Consequently, current approaches fall short when facing the dual challenges of high retrieval competitiveness and rigorous semantic checks. To overcome these limitations, we propose MAFIA, a query-only Memory Attack framework via probing and Factual Injection against Audit, tailored to this extended threat model. Specifically, MAFIA introduces: (1) a placement strategy that ensures retrieval-competitive injection via memory probing, budget allocation, and scheduling; and (2) a payload design that bypasses audits using compact factual cloaks, preserving malicious effects while maintaining high semantic similarity. Extensive evaluations reveal that MAFIA achieves up to a 90.7% attack success rate while suppressing audit detection from a peak of 83.3% to at most 7.4%, exposing critical vulnerabilities across agentic memory systems. Code will be made publicly available at https://github.com/JiamingChen1234/MAFIA.