誤歸因差距：Agent AI 系統中的記憶投毒攻擊被誤認為模型失敗

多智能 AI 管道通常假設不當行為源自模型對齊失敗，但研究發現這種假設存在結構性缺陷，稱為「誤歸因差距」。在這種情況下，記憶層攻擊產生的行為與模型失敗無法區分，導致防禦者採用錯誤的修復方案。研究將「語義規範漂移」(Semantic Norm Drift, SND) 確立為第三種 Agent 不當行為路徑，其區別於突發性對齊失敗與共謀。在 SND 機制中，格式化的政策文件透過正常上傳進入共享向量儲存庫，隨後在來源證明透過「信任洗滌鏈」(Trust Laundering Chain) 喪失後，以可信系統上下文的形式重新出現。

針對 64 個記錄在案的失敗案例，歸因系統一致將責任歸咎於模型缺陷。四種安全分類器，包括一種針對記憶投毒訓練的分類器，在 510 個檢查點中產生了零次偵測。在 65 個有效案例中的 59 個案例裡，Agent 明確引用了注入的文件作為規範權威，隨後才予以配合。該攻擊無需觸發器、模型訪問權限或重複互動，僅需五個會話即可達成完整效果，並能無限期持續。

研究提出了反事實組合測試 (Counterfactual Composition Testing)，能以 87.5% 的準確率和零誤報率識別因果輸入，而基礎法醫分析在所有 25 個場景中均告失敗。研究同時證明了「檢索覆蓋困境」(Retrieval-Coverage Dilemma)，顯示更強的隱蔽性會削弱攻擊效果，從而限制適應性繞過策略。最後，研究提出了「記憶持久資訊流控制」(Memory-Persistent Information-Flow Control)，在先前防禦失效的跨會話邊界阻擋了 97% 的攻擊。研究團隊發布了 SND Corpus，這是首個具有時間持久性和多 Agent 組合作用的對抗性記憶基準，涵蓋金融與醫療保健領域。