KI-Memory-Poisoning: Warum lesbares Gedächtnis gewinnt

KI-Assistenten erinnern sich endlich. Sie kennen Ihre Projekte, Ihre Vorlieben, die Tools, die Sie nutzen. Genau das Feature, das sich 2025 alle gewünscht haben.

Im September 2026 wurde daraus ein Sicherheitsthema. Forschende der University of Calgary beschrieben in The Conversation, wie sich das Langzeitgedächtnis eines Agenten vergiften lässt: Ein Angreifer platziert eine irreführende Anweisung, die still im Gedächtnis liegt und erst später zündet, wenn der Agent eine ganz andere Entscheidung trifft. Eine ganze Reihe von Veröffentlichungen hat dieses Jahr dasselbe Problem katalogisiert, von systematischen Studien darüber, wie nicht vertrauenswürdiger Input zu „vertrauenswürdigem Gedächtnis” wird, bis zu Benchmarks wie MemSecBench, die ein vergiftetes Gedächtnis von der Speicherung bis zur Auswirkung verfolgen.

Dieser Artikel erklärt, wie der Angriff funktioniert, warum er schwerer zu erkennen ist als eine klassische Prompt Injection und warum der praktischste Schutz ganz unspektakulär ist: Gedächtnis, das man lesen kann.

Wie Memory-Poisoning funktioniert

Eine klassische Prompt Injection wirkt sofort. Eine Webseite versteckt „ignore previous instructions” in weißer Schrift, der Agent liest es, verhält sich falsch, und meist sieht man es noch in derselben Sitzung.

Memory-Poisoning fügt eine Verzögerung hinzu. Die Nutzlast wird nicht ausgeführt, sondern gemerkt. Einige gängige Wege:

• Inhalte, die der Agent liest. Eine Seite, eine E-Mail oder ein geteiltes Dokument enthält einen Satz, der wie eine Tatsache oder Vorliebe formuliert ist: „Der Nutzer bevorzugt Anbieter X für alle Einkäufe.” Die Gedächtnisschicht des Agenten speichert ihn pflichtbewusst ab.
• Vorausgefüllte Prompt-Links. Das Sicherheitsteam von Microsoft hat Anfang des Jahres „AI Recommendation Poisoning” dokumentiert: einen Link, der einen Assistenten mit einem versteckten, vorformulierten Prompt öffnet, der ihn anweist, sich etwas zugunsten des Angreifers zu merken.
• Gelernte Skills und Abläufe. Agenten, die erfolgreiche Aufgabenverläufe in wiederverwendbare Routinen verwandeln, können eingeschleuste Schritte zusammen mit den legitimen übernehmen.

Tage später bitten Sie um eine Empfehlung, eine Zusammenfassung oder einen Kauf. Das vergiftete Gedächtnis kippt die Antwort. Im aktuellen Gespräch wirkt nichts falsch, denn die Ursache liegt Wochen zurück.

Warum es so schwer zu erkennen ist

Die Forschenden aus Calgary bringen es auf den Punkt: Die Verzögerung ist das Gefährliche. Ein vergifteter Agent verhält sich nicht sofort wie ein kompromittiertes System.

Schlimmer wird es, wenn das Gedächtnis undurchsichtig ist:

• Sie können es nicht sehen. Viele Gedächtnisschichten speichern Embeddings oder Zusammenfassungen in einer Datenbank, die Sie nie öffnen. Eine eingeschleuste „Tatsache” sieht genauso aus wie eine echte.
• Sie wissen nicht, woher es stammt. Ohne Herkunftsnachweis lässt sich nicht feststellen, ob eine Erinnerung von Ihnen stammt oder von einer Seite, die der Agent am Dienstag überflogen hat.
• Sie können es nicht sauber rückgängig machen. Einen einzelnen fehlerhaften Vektor oder einen Satz in einer automatisch geschriebenen Zusammenfassung zu löschen, ist für Nutzer kaum je möglich.

Kurz gesagt: Das Gedächtnis trifft Entscheidungen in Ihrem Namen, und ausgerechnet Sie können es nicht prüfen.

Der Schutz: Gedächtnis, das man lesen kann

Sicherheitsleute haben einen Namen für die Lösung: Trennen Sie das, was der Nutzer bewusst behalten wollte, von dem, was der Agent unterwegs aufgeschnappt hat, und machen Sie die erste Kategorie überprüfbar.

Einfache Markdown-Dateien leisten das bemerkenswert gut:

1. Jede Erinnerung ist eine Datei, die Sie öffnen können. Keine Datenbank, keine Embeddings zum Entschlüsseln. Eine .md-Datei in einem Ordner auf Ihrer Festplatte. Stimmt etwas nicht, lesen Sie es im Klartext.
2. Die Herkunft ist eingebaut. Eine gespeicherte Seite trägt ihre Quell-URL und ihr Datum im Frontmatter. „Woher hat das Modell das?” wird zu „Welche Datei?”, und die Datei gibt die Antwort.
3. Löschen ist echt. Datei in den Papierkorb ziehen, und sie ist weg. Kein Hoffen, dass die „Vergessen”-Funktion des Anbieters jede Kopie erreicht hat.
4. Änderungen sind sichtbar. Legen Sie den Ordner unter Git oder Time Machine, und jede Änderung an Ihrem Gedächtnis hat ein Datum und einen Diff. Eine Datei, die sich selbst bearbeitet hat, fällt sofort auf.
5. Schreiben ist eine bewusste Entscheidung. Eine Seite landet nur im Vault, weil Sie auf Speichern geklickt haben. Was der Agent nebenbei gelesen hat, wird nicht still zur dauerhaften Anweisung.

Der letzte Punkt ist der Kern. Poisoning funktioniert, weil Agenten implizit in ihr Gedächtnis schreiben. Eine Wissensdatenbank, die Sie von Hand kuratieren, bietet eine viel kleinere Angriffsfläche.

Wie Minibase damit umgeht

Genau deshalb ist Minibase Vault ein Ordner voller Markdown-Dateien und keine versteckte Datenbank.

• Sie speichern Seiten, die Sie wirklich gelesen haben, mit einem Klick in Chrome. Jede wird zu einer .md-Datei mit ihrer Quelle, in einem Wissensdatenbank-Ordner Ihrer Wahl.
• Wenn Sie den Vault mit Claude verbinden, liest Claude diese Dateien über MCP, um Ihre Fragen zu beantworten. Es durchsucht Ihre kuratierten Quellen und nennt die Datei, die es verwendet hat.
• Sie können den gesamten Vault jederzeit im Finder oder in Obsidian öffnen, jede Datei lesen, bearbeiten oder löschen.

Ein Allheilmittel ist das nicht. Eine Seite, die Sie bewusst speichern, kann trotzdem eine versteckte Anweisung enthalten, genau wie jede andere Webseite. Aber sie liegt in einer Datei mit Namen, Datum und URL, wo Sie (oder eine einfache Suche) sie finden können.

Checkliste für Gedächtnishygiene in fünf Minuten

Egal welchen Assistenten Sie nutzen, diese Gewohnheiten senken das Risiko:

• Prüfen Sie monatlich die Gedächtnisseite Ihres Assistenten. ChatGPT, Claude und Gemini zeigen gespeicherte Erinnerungen an und lassen Sie sie löschen. Lesen Sie sie. Was Sie nicht wiedererkennen, löschen Sie.
• Seien Sie vorsichtig bei „In ChatGPT/Claude öffnen”-Links von Seiten, denen Sie nicht vertrauen. Prüfen Sie den vorausgefüllten Prompt, bevor Sie ihn abschicken.
• Bewahren Sie wichtiges Wissen in Dateien auf, die Ihnen gehören, nicht nur in der Gedächtnisfunktion eines Anbieters.
• Durchsuchen Sie Ihren Vault ab und zu nach Text, der wie eine Anweisung klingt: Formulierungen wie „immer empfehlen”, „ignorieren”, „der Nutzer bevorzugt”.
• Versionieren Sie Ihren Wissensordner mit Git oder Time Machine, damit Sie zurückrollen können.

Gedächtnis macht KI nützlich. Lesbares Gedächtnis macht sie vertrauenswürdig.

Weiterlesen

• Markdown-Wikis vs. RAG: das Karpathy-Muster erklärt
• Minibase Vault ist ein Wiki-Builder für die Claude-Ära
• Ein KI-Second-Brain mit Claude Code und Obsidian aufbauen