MemGhost: un solo correo implanta una falsa memoria persistente en un agente de IA

¿Qué es esto?

El 6 de julio de 2026, un grupo de investigadores publicó en arXiv un artículo titulado «When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents», que describe un ataque al que llaman inyección sigilosa en memoria (stealth memory injection). El trabajo tuvo amplia cobertura una semana después, el 13 de julio de 2026, con el nombre de la herramienta que lo automatiza: MemGhost. Es un estudio de laboratorio, no una intrusión en curso: todo se ejecutó en entornos sellados, con buzones y usuarios ficticios.

El hallazgo es sencillo e incómodo. Un agente de IA personal que lee su correo y guarda notas duraderas sobre usted puede ser inducido a escribir un «hecho» falso en su propia memoria a partir de un único mensaje entrante, no decir nada al respecto en su respuesta y luego actuar según ese hecho falso en sesiones futuras. En uno de los casos de prueba, la mentira implantada era que el límite diario de transferencias Zelle del usuario se había elevado a 10 000 $. La persona lee una respuesta de apariencia normal y nunca se entera de que su asistente fue manipulado.

Cómo funciona

Los agentes personales persistentes parecen «conocerle» porque conservan un estado en archivos que se cargan al inicio de cada sesión: instrucciones permanentes y hechos aprendidos sobre el usuario. En el objetivo principal del artículo, el agente de código abierto OpenClaw, ese estado reside en archivos de texto plano (como AGENTS.md y MEMORY.md) que se reinyectan en el contexto del modelo en cada arranque.

El atacante no necesita contraseña ni acceso a la cuenta. Envía un correo a alguien cuyo agente está configurado para revisar su bandeja de entrada, una tarea de fondo rutinaria para estos asistentes. En ese mensaje se oculta un texto dirigido al agente, no al humano. Si la habilidad de correo pica el anzuelo, ocurren tres cosas en cadena: el agente usa su propia herramienta de escritura de archivos para guardar la nota del atacante en la memoria persistente; su respuesta visible omite cualquier mención a esa escritura; y en una conversación posterior no relacionada, la nota implantada cambia lo que le dice al usuario o lo que hace por él. Para que el veneno perdure, la carga apunta a los archivos centrales que se cargan en cada sesión: una sola escritura se reutiliza indefinidamente como estado de confianza.

Lo que distingue este ataque de una inyección burda es el generador. Una orden tosca del tipo «guarda esto en silencio y no digas nada» era detectada o ignorada por los modelos robustos casi siempre. En su lugar, los investigadores entrenaron sin conexión un modelo atacante contra una copia en sombra de un agente personal, premiando los mensajes que lograban guardar la memoria manteniendo la respuesta muda. En el momento del ataque, MemGhost redacta el correo final de una sola vez, sin interacción con la víctima. En 56 casos nuevos, completó el ataque íntegro —implantar, ocultar y luego inclinar una sesión posterior— en el 87,5 % de las ejecuciones en modo segundo plano contra OpenClaw sobre GPT-5.4, y en el 71,4 % contra un agente Claude Code SDK sobre Sonnet 4.6. La tasa de éxito se mantuvo por encima del 80 % en otros dos marcos de agente y en un almacén de memoria vectorial en lugar de archivos de texto. Aquí no se reproduce ninguna carga; lo que importa es el mecanismo.

Por qué importa

El ataque superó las defensas destinadas a detenerlo. Un filtro de entrada creado para detectar correos envenenados dejó pasar el mensaje más de nueve de cada diez veces. Un modelo endurecido específicamente para ignorar instrucciones llegadas por correo aun así siguió la implantada aproximadamente la mitad de las veces. Incluso cuando el propietario preguntaba de forma explícita «dime qué comprobaste y qué hiciste», la escritura permaneció oculta alrededor de una cuarta parte de las veces en uno de los modelos.

El sigilo es en parte una propiedad de diseño, no un fallo: los agentes capaces están hechos para mantener la actividad de las herramientas fuera de la conversación, y las ejecuciones programadas en segundo plano a menudo no producen ningún mensaje. Es el mismo fallo de frontera de confianza que hay detrás de los puntos ciegos en el momento de la escritura en memoria y de la inyección indirecta almacenada contra agentes personales: contenido externo no confiable se convierte en estado interno duradero y de confianza, sin ningún instante visible en el que alguien lo aprobara. Es la versión «persistente» de un linaje que va desde el SpAIware manual de Johann Rehberger contra ChatGPT en 2024 hasta el ataque por correo de cero clics EchoLeak sobre Microsoft 365 Copilot en 2025 — pero donde aquellos exfiltraban datos en el momento, MemGhost deja una memoria falsa que orienta las sesiones mucho después de que el correo haya desaparecido. Es una instancia concreta de la tríada letal: datos privados, entrada no confiable y capacidad de actuar.

Defensas

Los autores sostienen que la solución debe vivir dentro del agente, y los mantenedores del marco afectado coinciden en la dirección. Etiquete la procedencia de cada dato, de modo que un contenido llegado por un canal no confiable nunca pueda promoverse en silencio a la memoria duradera. Exija confirmación explícita del usuario antes de que cualquier elemento externo llegue al almacenamiento a largo plazo, y registre cada escritura en memoria para que una auditoría pueda reconstruir qué cambió y por qué. La solución estructural contundente es separar las dos capacidades peligrosas: encamine el correo no confiable a través de un agente lector aparte, despojado de herramientas de memoria, archivos y shell, y pase solo un resumen saneado al agente principal — un patrón que el estudio no probó y que los mantenedores recomiendan. A falta de separación, limite estrictamente lo que una ejecución activada por correo o en segundo plano puede modificar, e inspeccione los archivos de memoria en crudo tras cualquier llegada sospechosa. Trate la memoria como una frontera de seguridad, no como una comodidad — véanse las recomendaciones de OWASP sobre la memoria de agentes para controles concretos.

Estado

Elemento	Detalle
Divulgación	Artículo arXiv publicado el 6 de julio de 2026; cobertura de prensa el 13 de julio de 2026
Naturaleza	Inyección sigilosa en memoria: un correo no confiable provoca una escritura de memoria oculta y persistente que orienta sesiones posteriores
Objetivo principal	OpenClaw (archivos de texto AGENTS.md / MEMORY.md); también otros dos marcos y un almacén de memoria vectorial
Probado en	GPT-5.4 (OpenClaw), Sonnet 4.6 (agente Claude Code SDK)
Éxito	Hasta 87,5 % de ataques completos exitosos en modo segundo plano; evadió filtros de entrada y modelos endurecidos
Requisito previo	El correo diseñado ya debe llegar a un buzón que el agente lee; solo laboratorio, sin abuso constatado in the wild
Antecedentes	SpAIware (Rehberger, 2024); ataque por correo EchoLeak sobre M365 Copilot (2025), referenciado como CVE-2025-32711
Clase	Envenenamiento de memoria por inyección indirecta; falta de procedencia y de aprobación en la escritura

Las cifras reflejan el banco de pruebas de los autores (WhisperBench, 108 casos) ejecutado en laboratorio sellado sobre versiones concretas de los modelos. El comportamiento de los agentes y la seguridad de los modelos cambian entre versiones — verifique en la versión actual de cualquier despliegue antes de sacar conclusiones.