AI 推薦投毒：摘要連結夾帶指令，企圖改寫助理的長期記憶

在長期記憶寫入服務中，先將來自外部內容的記憶提案放進隔離區，所有待審查內容都不得被讀取。只有獨立審查者或可信政策核准的確切租戶、內容雜湊值、儲存區及版本，才能移入可信區。這道邊界確實生效時，摘要請求就無法悄悄變成可信的推薦偏好。部署方須保留外部來源標記，禁止模型自行核准自己的提案，並驗證重試及中斷後的處理；這需要控制平台的記憶服務。

在長期記憶讀取服務中，將外部或隔離中的紀錄與可信使用者偏好分開儲存，再由中央授權服務決定個人化回答可以讀取哪些信任層級。若可信個人化流程不允許讀取外部層級，遭投毒的紀錄就不能影響這次後續回答。只隔離不同租戶並不足夠，因為本案發生在同一位使用者的帳號內。服務須驗證來源、回傳紀錄與授權有效期間，驗證失敗就不回傳內容，也不能讓模型自行選擇可讀取的儲存區。

能控制推理入口的團隊，應在模型收到請求前，檢查從網址解碼出的提示詞，並依綁定該次請求的內容檢查結果阻擋可疑輸入。偵測器必須能辨識未經使用者同意的長期品牌推薦指令；只檢查不當內容，或確認網址屬於合法 AI 服務，都不夠。檢查服務出錯時也要阻擋。這是有條件的預防措施，一般 SaaS 租戶未必能部署，語意變形仍可能繞過檢查。

讀回的記憶加入模型輸入前，逐筆檢查確切版本是否含有推銷品牌或自稱權威來源的指令。使用經校準的提示詞安全偵測器，並將結果綁定租戶、這次讀取請求與內容雜湊值。這能協助發現先前寫入的投毒內容，但看似正常的改寫仍可能避開偵測。掃描器本身不會阻擋或刪除記憶，後續必須由另一道受理政策處理；缺少掃描結果或偵測器出錯，也不能視為安全。

確認記憶遭投毒後，由儲存服務的負責人刪除核准範圍內的確切紀錄及其索引、快取副本，留下防止重新寫入的刪除標記，再用獨立的唯讀身分確認新啟動的 agent 無法重新載入這些內容，同時保留正常記憶。這是事後移除持續影響的措施，無法收回先前已給出的建議。一般 SaaS 使用者可透過服務提供的功能刪除可疑記憶，但供應商若未提供後端證據，就無法自行證明所有副本都已清除。