Lucid : une image imperceptible peut réécrire la mémoire d'un agent multimodal

De quoi s’agit-il ?

Le 20 juillet 2026, Halima Bouzidi, Mboutidem Ekemini Mkpong et Mohammad Abdullah Al Faruque ont publié sur arXiv un article intitulé « Do Agents Dream of False Memories? Black-box Visual Attacks on Long-term Memory in Multimodal AI Agents ». Il introduit un cadre d’attaque baptisé Lucid. Il s’agit d’une étude de laboratoire menée en environnement contrôlé, et non d’un incident réel.

Le constat est circonscrit mais net. Les agents multimodaux qui conservent une mémoire à long terme — un stock d’images et de textes passés qu’ils peuvent rappeler ensuite — font confiance aux images de cette mémoire comme s’il s’agissait de traces fidèles. Lucid montre qu’un attaquant ne contrôlant qu’une seule image, sans accès au modèle, au système de recherche ni au texte qui l’entoure, peut y glisser une perturbation imperceptible et modifier ce que l’agent rappellera et affirmera plus tard. L’utilisateur voit une image ordinaire et une réponse ordinaire, et n’apprend jamais que la mémoire a été altérée.

Comment ça marche

Lucid opère selon un modèle de menace en boîte noire strictement borné à l’image. L’attaquant n’a pas besoin de voir l’intérieur du modèle vision-langage, ni l’encodeur de recherche qui indexe les mémoires, et ne touche pas au canal texte. Il n’influence que les pixels d’une image que l’agent va stocker ou traiter. La perturbation est conçue pour être visuellement imperceptible, afin de survivre à une relecture humaine sommaire.

L’article décrit ensuite deux modes de défaillance distincts. Dans l’empoisonnement de mémoire, une attaque en contexte, l’image adverse remplace une image bénigne dont le sens était renforcé par le texte environnant ; cela corrompt le rappel visuel de l’agent et l’oriente vers un récit choisi par l’attaquant lors des tours suivants. Dans l’injection de mémoire, une attaque hors contexte, l’image adverse arrive dans un tour de conversation sans ancrage textuel préalable : il n’y a donc aucun signal correctif issu de la mémoire, et l’agent génère directement des réponses influencées par l’attaquant.

C’est la portée qui frappe. Les auteurs évaluent Lucid sur plusieurs domaines de conversation et cinq architectures de mémoire en boîte noire, dont une mémoire à structure de graphe, une mémoire résumée par LLM et un système déployé commercialement. Ils atteignent un taux de réussite de 61,6 % en empoisonnement et de 58,4 % en injection. Aucune recette de perturbation ni charge utile n’est reproduite ici ; c’est le mécanisme qui compte.

Pourquoi c’est important

La plupart des attaques de mémoire publiées passent par le texte — un e-mail piégé, un document forgé, une instruction cachée dans une page web. Lucid ferme l’hypothèse selon laquelle une image serait plus sûre qu’un texte. Si un agent photographie un reçu, capture un tableau de bord, accepte une image partagée ou en récupère une sur une page pour la classer en mémoire longue, cette image devient une écriture non fiable dans un état durable. La corruption persiste d’une session à l’autre et façonne des décisions bien après que le tour d’origine a disparu de l’écran ; et comme le changement vit dans les pixels et non dans les mots, les filtres d’entrée textuels et le durcissement des instructions ne le voient jamais.

Cela s’inscrit dans une littérature en pleine expansion sur la mémoire multimodale comme surface d’attaque, notamment l’empoisonnement déclenché des mémoires multimodales d’agents web et l’empoisonnement de mémoire contre les recommandeurs agentiques. C’est le pendant visuel des écritures furtives par le canal texte comme MemGhost : dans chaque cas, un contenu externe devient un état interne de confiance sans qu’aucun moment visible n’ait vu quiconque l’approuver — le même angle mort au moment de l’écriture qui traverse la mémoire des agents en général.

Défenses

Traitez chaque image stockée comme une entrée non fiable, et non comme une vérité de terrain. Étiquetez la provenance des mémoires pour qu’un agent puisse juger si une image rappelée provient d’une capture de confiance ou d’une source externe accessible à un attaquant, et refusez que des images non fiables se promeuvent silencieusement en mémoire durable, structurante pour les décisions. Comme Lucid est en boîte noire et imperceptible, l’œil humain ne la détectera pas : les défenseurs doivent s’appuyer sur des ensembles et des recoupements — corroborer une image rappelée avec le texte qui l’accompagnait, signaler les tours où une seule image sans ancrage textuel dicte une décision, et exiger une confirmation avant qu’un rappel basé sur la seule image ne déclenche une action à conséquence. Le prétraitement de purification et de robustesse adverse des images entrant en mémoire renchérit le coût d’une perturbation exploitable, même si les résultats en boîte noire de l’article invitent à ne considérer aucun filtre isolé comme suffisant. Surtout, maintenez les écritures et lectures de mémoire dans un périmètre de sécurité journalisé, afin qu’un rappel empoisonné puisse être tracé et annulé — voir les recommandations de l’OWASP sur la mémoire des agents pour des contrôles à mettre en place.

Statut

Élément	Détail
Divulgation	Article arXiv annoncé le 20 juillet 2026
Nature	Attaque adverse en boîte noire, image seule, sur la mémoire longue d’agents multimodaux (empoisonnement et injection)
Modèle de menace	Aucun accès au MLLM cible, à l’encodeur de recherche ni au canal texte ; seule une perturbation d’image imperceptible
Testé sur	Cinq architectures de mémoire en boîte noire, dont graphe, résumé par LLM et système commercial déployé
Réussite	61,6 % de réussite (empoisonnement) ; 58,4 % (injection)
Prérequis	L’image adverse doit atteindre le pipeline de mémoire de l’agent ; laboratoire uniquement, aucun abus constaté en conditions réelles
Classe	Empoisonnement de mémoire multimodale par perturbation adverse ; absence de provenance et d’approbation à l’écriture

Les chiffres reflètent le banc d’essai des auteurs, exécuté en environnement de laboratoire scellé sur des versions précises de modèles et de mémoire. Le comportement des agents et les défenses évoluent d’une version à l’autre — vérifiez sur la version courante de tout déploiement avant de conclure.