AI 智能体上下文投毒 (AML.T0080)

一句话通俗理解

攻击者不再每次都费劲地骗你的 AI 助手，而是想办法让助手“记住“一条假规矩——从此以后，哪怕开一个全新的对话，它都会自觉按攻击者的意图行事，就像新员工入职时被人在员工手册里偷偷夹了一页假规定，此后每一天都照着执行，还以为这就是公司制度。

难度等级

⭐⭐⭐ Realized（已实现）

官方成熟度评定为 Realized——记忆投毒已被公开研究在实际商用产品上验证（ChatGPT Memories 注入、ZombieAgent 跨会话外传、大规模“AI 推荐投毒“），并非理论推演。实施门槛通常不高：一次成功的直接或间接提示词注入就可能触发写入；真正的难点在于让污染自然发生且不被察觉——注入载体要混入受害者正常工作流（共享文档、邮件、日历邀请、网页），写入的记忆或线程指令要伪装成无害偏好，并能在后续会话中被稳定召回执行。子技术“线程“官方成熟度为 Demonstrated（⭐⭐），本技术整体按已实现评定。

技术描述

通俗解释

现代 AI 助手与智能体越来越“记性好“：它们会把你的偏好、重要事实、历史对话存进长期记忆，会在同一个对话线程里参考此前所有消息。这些机制让 AI 更贴心，也制造了一个全新的攻击面——上下文本身成了可投毒的持久化载体。

攻击者的思路很直白：与其每次都重新骗一遍模型，不如污染一次，长期生效。诱导模型执行一条“请记住……“式的指令，恶意内容就进入了用户级记忆库，此后每次新会话加载记忆时都会被注入上下文；或者把恶意指令埋进线程早期消息里，让它在整个线程剩余生命周期内持续左右模型输出。这正是传统持久化（改注册表、装服务）在智能体时代的对应物——记忆投毒就是智能体时代的“注册表持久化”：不清除记忆，重开多少次会话都没用。

技术原理

依据官方描述，攻击者通过操纵 AI 智能体 LLM 所使用的上下文（context），来影响其生成的响应或采取的动作，从而持久地改变目标智能体的行为。两条实现路径对应两个子技术：

1. 记忆（AML.T0080.000）：诱导 LLM 把指令或“偏好“写入记忆。记忆是 LLM 的常见功能，通过用户专属数据库跨会话保存信息；由于记忆由普通对话控制（如“记住我对……的偏好“），攻击者可借直接或间接提示词注入写入记忆。被注入的记忆可能包含恶意指令（如泄露私密对话），或推动攻击者的隐蔽议程（如操纵用户认知）。官方成熟度 Realized。
2. 线程（AML.T0080.001）：向 LLM 的对话线程引入恶意指令，使行为改变在线程剩余时间内持续生效。一个线程可能跨越多个会话延续很长时间。攻击者拿到用户 LLM API 密钥时可直接向任意线程注入查询（直接注入）；随着 LLM token 上限提升，更大的上下文窗口让恶意指令在线程中存活更久；共享线程服务（如多参与者 Slack 频道里的智能体）中，一名用户的单条恶意消息就能影响智能体此后与其他人的交互。官方成熟度 Demonstrated。

三点值得特别注意：

• 注入是入口，投毒是落点：上下文投毒通常以直接/间接提示词注入（AML.T0051）为前导——注入负责“让模型执行一句话“，投毒负责“把这句话变成永久规则“，二者是执行与持久化的衔接关系；
• 投毒面随记忆功能扩张：从“记住偏好“到自动总结对话、写入经验库，智能体把越来越多的内容固化进持久状态，每一次写入都是一个可被劫持的投毒点；
• 影响跨越会话与用户：记忆投毒跨会话生效；共享线程场景下（Slack 频道智能体）投毒还会横向波及其他用户。

平台覆盖：Generative AI（生成式 AI）/ Agentic AI（智能体 AI）。

记忆投毒 vs 线程投毒（关键差异速览）：

用途影响

• 跨会话持久控制：把一次性注入升级为永久行为改变——受害者清空当前对话、重启应用都无法摆脱，必须定位并删除具体记忆条目或线程；
• 隐蔽操纵用户：被注入的“偏好“可持续影响模型输出倾向（推荐来源、观点偏向），实现长期认知操纵或商业引流；
• 自动化重复数据收集：让智能体在后续会话中持续保留敏感信息、按指定通道外传，把一次入侵改造成常态化窃密流水线；
• 共享环境的横向影响：多人共享线程中的单条投毒消息可影响所有参与者的智能体交互质量与数据安全。

子技术列表

该技术共有 2 个子技术：

注：以上 2 个子技术文档均已完成，点击 ID 直达对应文档。

攻击流程

典型攻击流程

graph TD
    A["选择投毒载体<br/>共享文档 / 邮件 / 日历邀请 / 网页 / 直接对话"] --> B["埋入注入载荷<br/>诱导模型执行'记住……'或在线程早期埋指令"]
    B --> C["受害者正常使用智能体<br/>检索文档 / 查看日程 / 继续对话"]
    C --> D["注入触发<br/>恶意指令随上下文进入模型"]
    D --> E["写入持久上下文<br/>记忆库新增条目 / 线程历史携带指令"]
    E --> F["跨会话持续生效<br/>新会话加载记忆 / 线程延续"]
    F --> G["实现攻击目标<br/>长期行为操纵 / 重复数据收集 / 外传"]

步骤详解：

1. 选择投毒载体

   • 通俗描述：挑一个受害者“必然会喂给 AI“的内容位置。
   • 技术细节：间接注入常选共享 Google Docs（受害者会让 ChatGPT 引用）、连接邮箱中的邮件（Deep Research 场景会被检索）、日历邀请（受害者会询问日程）、网页（浏览类智能体会读取）；具备 API 密钥的攻击者则可走直接注入。

2. 埋入注入载荷

   • 通俗描述：在载体里写一句“给 AI 看的悄悄话“。
   • 技术细节：载荷伪装在正常内容中，指令通常包含两部分——即时动作（如将敏感信息编码进 URL 并请求）与持久化动作（如“保存此信息到长期记忆““在后续对话中始终执行……”）。

3. 受害者正常使用智能体

   • 通俗描述：受害者什么都没点多做，一切照旧。
   • 技术细节：让 ChatGPT 总结一份文档、询问 Gemini 今天的日程、或只是回复一句“谢谢“——任何会把载体内容拉入上下文的常规操作都足以触发。

4. 注入触发并写入持久上下文

   • 通俗描述：AI 读完毒内容，把它“记住了“。
   • 技术细节：模型执行注入指令，调用记忆写入功能生成新条目，或使恶意指令成为线程历史的一部分；ZombieAgent 案例中注入的记忆指示 ChatGPT 在未来对话中保留敏感信息并检索执行指定邮件。

5. 跨会话持续生效

   • 通俗描述：重开聊天窗口？没用，记性还在。
   • 技术细节：新会话初始化时加载被投毒的记忆；长线程跨多个会话延续，历史消息中的指令持续参与每轮推理，且更大的上下文窗口延长了存活期。

6. 实现攻击目标

   • 通俗描述：AI 从此“忠心耿耿“地为攻击者办事。
   • 技术细节：长期操纵推荐与观点、按指定通道重复外传数据、在后续交互中执行攻击者预置的邮件指令，形成跨会话的收集—渗漏闭环。

与后续战术的衔接：

• 数据渗漏（Exfiltration）：被投毒的记忆指示智能体在后续会话中保留并外传敏感信息（ZombieAgent 通过预构造静态 URL 字典逐字符外传）
• 命令与控制（Command and Control）：投毒记忆可指定“检索并执行某封攻击者控制的邮件“，把邮箱变成 C2 指令信道（AML.T0085.001）
• 防御规避（Defense Evasion）：AIKatz 案例中攻击者可直接操纵受害者的对话历史以掩盖痕迹
• 影响（Impact）：长期操纵用户认知与消费决策（AI 推荐投毒把用户推荐流量导向运营者）

关键差异：传统持久化靠在操作系统里落地文件或注册表键，会留下主机痕迹；上下文投毒的全部“落地物“只是一条记忆记录或一段聊天记录——没有新进程、没有新文件，主机侧 EDR 完全无感，检测必须转向 AI 平台自身的记忆与对话审计。

真实案例

以下精选 4 个代表性案例（官方数据共关联 6 个案例研究），全部源自 MITRE ATLAS 案例库。

案例1：Hacking ChatGPT’s Memories——共享文档投毒记忆（2024年2月，AML.T0080.000）

• 时间: 2024年2月
• 攻击者: Embrace the Red（安全研究人员）
• 手法: 研究者证明 ChatGPT 的记忆功能可被提示词注入操纵：将注入载荷藏在一份共享 Google Doc 中，当用户引用该文档时，其内容经 Connected App 功能进入 ChatGPT 上下文，注入指令随即执行，向记忆写入虚假事实。被注入的记忆被证明可跨聊天会话持久存在；又因载荷借共享资源分发，其他引用者同样暴露，形成对系统的持续驻留。
• 影响: 证实商用 AI 助手的记忆功能可被间接注入持久劫持，跨会话、跨用户生效
• 参考链接: ChatGPT: Hacking Memories with Prompt Injection

案例2：ZombieAgent——记忆投毒驱动的跨会话数据外传（2025年9月，AML.T0080.000）

• 时间: 2025年9月25日
• 攻击者: Radware 安全研究人员
• 手法: 针对 ChatGPT Deep Research 与 Connector 功能的间接注入 PoC：向已连接的 Gmail 邮箱发送含隐藏指令的邮件，用户让 ChatGPT 处理日常收件箱任务时即检索并执行该邮件指令，且全程未打开或点击该邮件。注入指令让 ChatGPT 收集连接服务中的信息并经 URL 请求外传——为绕过 OpenAI 禁止动态构造外传 URL 的控制，研究者提供预构造静态 URL 字典，指示 ChatGPT 逐字符打开对应 URL 完成渗漏。更关键的是，恶意指令可操纵 ChatGPT 记忆：指示其在未来对话中保留敏感信息、并在后续交互中检索执行指定邮件，构建了跨会话的重复收集—外传机制；被攻陷的智能体还能从受害者邮箱收集地址继续投递恶意邮件实现自传播。
• 影响: 证明记忆投毒可把一次性注入升级为持久的自动化窃密流水线
• 参考链接: ZombieAgent: New ChatGPT Vulnerabilities Let Data Theft Continue (and Spread)

案例3：AI 推荐投毒——大规模商业记忆操纵（2026年2月，AML.T0080.000）

• 时间: 2026年2月10日
• 攻击者: 多家商业实体（微软在约 60 天邮件流量中识别出 31 家公司、14 个行业的 50 余种推广用记忆操纵提示词）
• 手法: 多数主流 AI 助手接受通过 URL 查询参数预填提示词，运营者据此把“正常摘要请求 + 追加指令“打包成“用 AI 总结“按钮与分享组件（部分经邮件分发）。用户点击后，提示词填入助手输入框，其中持久化子句让助手把运营者域名记录为未来对话的可信/权威来源，写入持久记忆条目，使其后的推荐持续偏向运营者。微软报告效果因平台而异，且随厂商防护演进部分行为已无法复现。
• 影响: 首次被系统披露的大规模、商业化滥用记忆功能——全部来自“正规企业“而非传统威胁行为者，部分提示词瞄准健康与金融建议场景
• 参考链接: Manipulating AI memory for profit: The rise of AI Recommendation Poisoning

案例4：Prompt-Based Attacks Against Gemini——日历邀请投毒线程（2025年8月，AML.T0080.001）

• 时间: 2025年8月6日
• 攻击者: SafeBreach 研究团队
• 手法: 攻击者把恶意指令嵌入日历邀请标题等生产力内容（邮件、共享文件同理）。受害者询问 Gemini 近期日程时，恶意事件标题被检索进入对话上下文；受害者随口一句“谢谢“即可触发内嵌指令，操纵 Gemini 滥用受害者的授权工具与连接服务。研究在 Gemini Web 端与 Android 端均演示成功：可生成恶意推广内容、以受害者权限增删日历事件、控制 Google Home 设备（窗户/锅炉/灯具）、打开攻击者网站暴露 IP 定位、调起 Zoom 向指定会议推流、将日历与 Gmail 数据编码进攻击者 URL 外传。
• 影响: 证明“投毒内容进入线程上下文 → 后续消息触发“的线程投毒链在真实商用助手上成立，且波及物联网与视频设备
• 参考链接: Invitation Is All You Need: Hacking Gemini

红队视角

⚠️ 免责声明：以下内容仅用于合法授权的安全测试与教育目的。未经授权对他人系统或第三方 AI 服务进行测试是违法行为。

实战技巧

1. 记忆写入面盘点 评估目标智能体平台哪些路径会触发记忆写入：显式的“记住这条“指令、自动的对话总结入库、经验库（experience store）写入。重点检验：间接内容（文档/邮件/网页）能否驱动一次记忆写入，以及记忆条目有无来源标注与审批。

2. 线程存活期验证 在授权环境中测试恶意指令注入线程后的存活时长：上下文窗口多大、线程是否跨会话保留、摘要机制是否会把恶意指令“浓缩“进更长存活的摘要，据此评估线程投毒的实际有效期。

3. 记忆召回率测量 投毒写入只是第一步，被稳定召回才有价值。测量不同措辞（偏好式/规则式/角色式）的记忆条目在后续无关会话中的召回与执行率，识别召回最稳的伪装形态——这直接决定防御方应重点审计哪类条目。

4. 共享线程横向影响评估 对部署在 Slack/Teams 等多人环境的智能体，验证一名成员的单条投毒消息能否影响智能体对其他成员的响应，量化投毒的横向波及面。

常用工具

注意事项

• 只在自有账号与隔离环境验证：向他人共享文档、他人邮箱或商用服务投毒超出任何授权范围
• 演练用无害标记载荷（如让记忆条目包含唯一 canary 字符串），便于事后完整清除与举证
• 报告聚焦“写入是否可能、召回是否稳定、清除是否彻底“三个检测能力问题，而非炫技

蓝队视角

检测要点

1. 记忆写入审计

   • 日志来源：AI 平台记忆操作日志、智能体平台审计日志
   • 关注字段：写入时间、触发会话、条目内容、来源（用户显式/自动总结/检索内容）
   • 异常特征：会话中引用外部文档/邮件后紧邻的记忆写入、非用户发起的自动写入、同一会话高频写入、条目内容含指令式语句（“始终/必须/发送到/忽略此前”）、记忆条目出现 URL/域名/邮箱等外传通道信息

2. 跨会话行为漂移监控

   • 日志来源：智能体响应日志、记忆加载记录
   • 关注字段：加载的记忆条目、输出内容、工具调用
   • 异常特征：新会话首轮即执行与提问无关的动作、推荐来源突然集中于特定域名、对特定话题出现稳定的倾向性输出、会话中出现指向外部的 URL 请求（尤其静态 URL 逐字符访问模式）

3. 线程与共享环境监控

   • 日志来源：线程历史、群组频道智能体日志
   • 关注字段：消息来源用户、消息内容、智能体响应
   • 异常特征：单条外部内容进入上下文后智能体行为模式突变、智能体开始对未提及该内容的成员表现出同样的行为改变

监控建议

• 记忆条目全量留痕：每次写入记录来源会话与触发内容，形成“记忆血缘“，使投毒条目可回溯到注入载体
• 记忆内容静态扫描：对新写入与存量记忆条目定期跑指令式语句检测（正则 + 分类器），命中即标记人工复核
• 会话启动基线比对：对高价值智能体记录“干净状态“响应基线，定期以标准探针问题比对漂移
• 外传通道收敛：限制智能体可请求的 URL 域名白名单，监控静态 URL 字典式逐字符访问（ZombieAgent 绕过手法特征）

检测建议

网络层检测

检测方法： 监控智能体产生的异常外联模式。

• 智能体运行环境向未见过的域名发起请求，尤其短时间内按字符/字典序访问大量仅路径不同的静态 URL
• 智能体请求的外部资源与其当前任务无关联（如日程查询会话中出现对已知 Markdown 渲染器/追踪域名的访问）

主机层检测

检测方法： 借助本地客户端遥测补充平台侧盲区。

• LLM 桌面应用认证令牌的异常读取与使用（AIKatz 场景：令牌被盗后直接注入线程并篡改对话历史）
• 对话历史存储文件的异常修改（非用户操作时间段的写入）

应用层检测（AI 遥测）

检测方法： 利用 AI 平台自身的记忆与对话审计能力。

• 记忆写入事件与上下文内容关联分析：写入前的上下文中是否包含注入特征文本
• 记忆删除/编辑事件异常稀少但写入频繁（投毒者只写不清）
• 智能体工具调用序列在加载特定记忆条目后发生模式转变

程序化检测思路（无需 EDR 侧改造）：

在记忆写入接口挂接统一校验钩子：新条目先过“指令式语句 + 外传通道特征（URL/域名/邮箱）“双规则过滤 → 命中则进入隔离区并通知用户确认，未命中正常入库。再配合每日批量任务对全量记忆跑一次分类器复扫，即可用极低成本覆盖记忆投毒的主要写入路径；线程侧则对“外部内容首次进入上下文“与“随后 N 轮内的行为突变“做关联告警。

Sigma 规则思路示例

title: 智能体记忆写入内容含指令式语句与外传通道特征
status: experimental
description: 检测 AI 平台记忆写入接口产生的新条目同时包含
    指令式语句与外部 URL/域名，可能为记忆投毒（AML.T0080.000）
logsource:
    category: application
    product: ai_agent_platform
detection:
    selection:
        event_type: 'memory_write'
    keyword_instruction:
        entry_content|contains:
            - 'always'
            - 'from now on'
            - '必须'
            - '始终'
            - 'ignore previous'
    keyword_channel:
        entry_content|re: 'https?://|[a-z0-9.-]+\.(com|net|io|xyz)|@'
    condition: selection and keyword_instruction and keyword_channel
    timeframe: 5m
level: high
tags:
    - atlas.aml_t0080
    - attack.t1112

缓解措施

优先级1：关键措施

AML.M0031 记忆加固（Memory Hardening）

保护 AI 智能体使用的持久状态——保存的偏好、情景/语义记忆、对话摘要、存储的聊天历史与智能体经验库。与交互中评估内容的护栏不同，记忆加固控制的是持久智能体状态如何被创建、修改、隔离、审计与恢复。落地要点（贯穿记忆全生命周期）：

• 记忆访问控制：对记忆操作认证，并在合适的用户/租户/智能体/会话作用域内授权
• 强记忆安全策略：限制记忆大小与更新频率、校验记忆完整性、定义保留与删除策略
• 保留记忆溯源（provenance）：记录所有记忆更新的来源并保存已知良好版本历史，可疑条目隔离或回滚
• 审计与监控记忆操作：审计安全相关的读写，监控异常更新频率与反复出现的“自作者“更新

内容过滤可由生成式 AI 护栏（AML.M0020）提供，但不能替代记忆访问控制、隔离、溯源、完整性与恢复能力。可落地的开源工具包括 OWASP Agent Memory Guard、Microsoft Agent Governance Toolkit；Mem0、LangGraph Persistence 等记忆管理工具亦可支持部分加固能力。

优先级2：重要措施

AML.M0035 AI 红队（AI Red Team）

建立负责常态化、授权、威胁驱动红队演练的 AI 红队，在部署前及运营全程发现并修复 AI 系统漏洞。演练必须覆盖完整 AI 系统——模型与数据、智能体（含记忆与工具）、数据流、决策过程、应用逻辑、检索系统、身份与权限、依赖、非 AI 组件、基础设施、界面与人工流程；按“规划与界定 → 执行演练 → 评估与整改“三阶段组织，并使用 ATLAS 战术技术（含记忆/线程投毒场景）模拟真实对手行为，验证记忆加固控制是否真的拦截了写入与召回。

MITRE ATLAS 缓解措施映射

优先级为本库基于缓解措施特性的落地建议：记忆加固直接封堵投毒的写入与驻留路径，是本技术的对症措施；AI 红队则持续验证加固在真实攻击手法下是否有效。注意官方缓解数据中 M0031 未覆盖线程子技术（AML.T0080.001）——线程侧目前只能依靠红队演练与护栏类控制发现和弥补。

关联 ATT&CK 技术

• 修改注册表 (T1112) — 同为“把恶意配置藏进系统持久化存储“的思路，注册表键之于操作系统，正如记忆条目之于智能体
• 账户操纵 (T1098) — 通过给账户追加恶意配置（如 SSH authorized_keys、邮箱委托规则）实现静默持久访问，与记忆投毒同样“改一次、长期生效“
• 不安全凭证 (T1552) — LLM API 密钥保管不当是线程投毒直接注入路径的前置条件（AIKatz 从桌面应用内存提取令牌）
• 通过 Web 服务渗漏 (T1567) — 记忆投毒驱动的数据外传通常复用合法 Web 请求通道（URL 查询参数、Markdown 图片渲染）
• Web 服务 (T1102) — 被投毒的记忆指定“检索并执行某封邮件“，把公开 Web 信道变成异步 C2

上下文投毒 vs 传统持久化：

一句话总结：T1112 把后门写进操作系统的“配置数据库“，AML.T0080 把后门写进智能体的“认知数据库“——后者由 AI 自己在每次会话中忠实地读出来执行。

动手实验

⚠️ 重要提示：所有实验必须在自有账号与隔离环境中进行，禁止对他人系统、共享文档或第三方服务投毒。实验载荷仅使用无害标记（canary 字符串）。

实验环境准备

实验1（初级）：观察记忆的跨会话生命力

实验目标： 直观理解“记忆 = 智能体的持久化存储“。

实验步骤：

1. 在自有账号对话中说“请记住：我偏好用蓝色标注示例“（无害标记指令）
2. 新开一个全新会话，问“给我写一个示例“——观察是否自动应用蓝色标注
3. 进入记忆管理界面，找到该条目，观察其记录的来源信息（有无会话溯源）
4. 删除该条目后重复步骤 2，验证影响消失

预期结果： 亲手验证记忆写入 → 跨会话召回 → 删除清除的完整生命周期。

实验2（中级）：复现间接注入写记忆（自有环境）

实验目标： 验证“外部内容可以驱动记忆写入“。

实验步骤：

1. 在自有的共享文档中写入一段包含“请记住以下偏好：……（含 canary 标记）“的正常内容
2. 让自有账号的助手引用并总结该文档
3. 检查记忆管理界面是否出现新条目，记录其内容与来源标注
4. 新开会话验证召回，随后彻底清除；对照案例1理解共享文档的跨用户威胁

预期结果： 理解 CS0040 的攻击链，并识别平台对“外部来源记忆写入“有无提示或审批。

实验3（高级）：本地复现线程投毒与存活期测量

实验目标： 量化线程投毒的有效期与召回稳定性。

实验步骤：

1. 本地部署开源 LLM，配置对话持久化（或用带长线程的智能体框架），模拟“多用户共享线程“
2. 在线程早期消息中植入无害指令（如“从现在起，每次回答末尾附上 canary 词“）
3. 持续对话 20+ 轮、跨“会话“重启，记录指令存活轮数与召回率
4. 引入消息摘要机制，观察指令是否被摘要继承而延长存活
5. 整理为组织的线程留存策略建议（保留期限、摘要过滤、定期重置）

预期结果： 输出一份线程投毒存活期与召回率的量化报告，支撑留存策略决策。

术语解释

参考资料

📚 官方文档

• MITRE ATLAS - AI Agent Context Poisoning (AML.T0080) - 官方技术页面
• MITRE ATLAS 矩阵
• MITRE ATLAS Data (GitHub)

📰 案例报告（真实攻击与安全研究）

• ChatGPT: Hacking Memories with Prompt Injection - Embrace the Red - 共享文档间接注入投毒 ChatGPT 记忆的完整演示
• ZombieAgent - Radware - 记忆投毒构建跨会话重复收集与外传机制
• Manipulating AI memory for profit - Microsoft Defender Security Research Team - 31 家公司大规模商业记忆操纵（AI 推荐投毒）披露
• Invitation Is All You Need: Hacking Gemini - SafeBreach - 日历邀请投毒线程上下文的完整攻击链
• AIKatz - Lumia Security - 从 LLM 桌面应用提取令牌后投毒上下文并篡改对话历史
• Exploring the Security Risks of AI Assistants like OpenClaw - HiddenLayer - 间接注入向未来系统提示词植入持久指令，将智能体变为 C2 植入体

🔧 工具与资源

• OWASP Agent Memory Guard - 记忆加固开源控制实现
• Microsoft Agent Governance Toolkit - 智能体治理工具包
• Mem0 Entity Partitioning Playbook - 按实体分区隔离记忆的实践
• LangGraph Persistence - 智能体持久状态管理
• OWASP Top 10 for LLM Applications - LLM 应用十大安全风险
• GenAI Red Teaming Guide - OWASP - GenAI 红队指南（AML.M0035 参考）

🔗 关联阅读

• LLM 提示词注入 (AML.T0051) - 本技术的前导执行手段：先注入，后持久化
• 构造 AI 助手链接 (AML.T0131) - AI 推荐投毒案例的投递入口技术
• 修改注册表 (T1112) - 传统侧的对应物：把后门写进系统的配置数据库
• 持久化战术 (AML.TA0006) - 本技术所属战术的概览页

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 技术文档 v1.0