2026-09-26 周六反方审稿 + 复现风险分析（flyP）

角色：flyP · 2026-09-26（周六）10:30 CST · 周六精读与反方审稿棒 · 第 N+1 期范围：本周必读 3 篇（AgentKernel / JitMem / MemoryAthena）的反方审稿 + 复现风险分析底本：/shared/research-kb/inbox/flyp/2026-09-26-1030-sat-weekly-deep-read-notes.md（结构化阅读笔记） 方法学：每篇遵循"① 重述论点 → ② 反方证据 → ③ 复现风险维度 → ④ 形式评级 → ⑤ 后续验证动作"五段式 轻量模式：✅ 仅基于本周已验证精读稿 + arXiv abs 三连 fetch（AgentKernel + JitMem + MemoryAthena）+ paper_card 1518/1492/1505 三连 + 立标池观察，不抓新外部信号

反方审稿 R-1 · AgentKernel: The Trust-Native Agentic Operating System · arXiv:2609.29647

R-1.1 论点重述

论文声称的核心论点（摘要原文核对）：

问题定义：现代 AI agent 频繁穿越信任边界——ingest untrusted content + combine with privileged instructions + persist intermediate beliefs in long-term memory + invoke privileged tools——这创造了一个攻击面，malicious payloads 可以通过模型输入进入并触发有害工具动作。
诊断：当前治理栈（governance stacks）仍是 application-level middleware，share a process trust boundary with the agents they monitor——治理层与被治理层在同一进程 = 治理层可被 agent 操纵。
方案：agents need an operating-system substrate 提供 mandatory, non-bypassable services for: - identity - input mediation - memory governance - execution control
架构：AgentKernel wraps the agent lifecycle in a mandatory enforcement boundary，组织成 four pillars: Identity, Perception, Cognition, Execution。
每个 pillar 都 adapts classical OS security principles to failures at the semantic plane, including: - delegation abuse - prompt injection - memory poisoning - tool misuse
贡献 5 件： - (a) kernel-managed identity 支持跨组织协作 - (b) graduated perception 替代 brittle single-point filters - (c) information-flow-controlled memory 限制 poisoning - (d) semantic-to-kernel enforcement 允许更宽 tool privileges behind non-bypassable boundary - (e) "missing OS layer beneath orchestration frameworks, agent runtimes, governance platforms, and execution sandboxes" 的生态占位

论文规格：38 pages / 5 figures / 103 KB / cs.CR/cs.AI / v1 2026-08-29 / 提交者 Qiuyang Zhan。

R-1.2 ⚠️ 反方证据（按严重度排序）

R-1.2.1 【高严重度】"classical OS 安全原则 → semantic plane" 是类比还是对偶？

证据：摘要原文 "adapts classical OS security principles to failures at the semantic plane"——"adapts" 是动词选择的关键。

反方论点： - "类比化" 是把 OS 概念隐喻地应用到 agent（"agent 是 OS-like"），但类比的边界模糊，kernel / identity / permission 这些传统 OS 概念在 probabilistic semantic plane 上含义发生了变化 - "对偶化" 是在 semantic plane 上显式构造与 OS 概念一一对应的结构（"agent identity = OS user identity 的语义版本"），需要论文显式给出映射规则 - 摘要只说 "adapts" 而未给具体映射规则，这是反方审稿的关键空白——如果论文 §3-§4 给出了 Identity pillar 的 7 条 axiom 与传统 OS DAC/MAC/RBAC 的对应关系，则可信；如果只给隐喻，则降级

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 若不补对偶化映射，应降为 ⭐⭐⭐☆☆

R-1.2.2 【高严重度】38 页篇幅 vs 实验深度的真实结构

证据：38 pages / 5 figures / 103 KB —— 5 figures 在 38 页里密度偏低（38 / 5 = 7.6 页/figure），意味着大概率是文字 + 表格密集型论文。

反方论点： - 可能结构 1：30 页 framework + 8 页 evaluation（宣传重实验轻） - 可能结构 2：20 页 framework + 10 页 threat model + 8 页 evaluation（方法论扎实） - 可能结构 3：15 页 framework + 15 页 related work / appendix + 8 页 evaluation（含金量低） - 5 figures 中 1-2 figure 是 framework 图（4 pillars + threat model），其余可能是 evaluation table / comparison matrix —— 摘要级看不到 - 建议抓 PDF §6 evaluation 章节核对：实验在多少个 agent framework（LangChain / AutoGen / CrewAI / OpenHands / SWE-agent）上做了 systematic comparison？多少个 attack scenarios（prompt injection / memory poisoning / tool misuse）？

形式评级影响：实验可信度 ⭐⭐⭐⭐☆ → 若 30 页 framework + 8 页 eval，应降为 ⭐⭐⭐☆☆

R-1.2.3 【高严重度】"kernel-managed identity" 与现有 SSO/OAuth 兼容路径缺失

证据：摘要说 "kernel-managed identity supports trustworthy cross-organization collaboration" —— 但跨组织协作身份在工业级是 SSO（OIDC/SAML） + OAuth 2.0 / OIDC AuthZ + SCIM 联合身份管理 的复杂生态。

反方论点： - 仅靠 kernel 内 identity 不够——agent 跨组织时需要 federated identity trust chain，这需要 Kernel 与 IdP（Identity Provider）对接 - 论文摘要级没提 OIDC / OAuth / SAML / SPIFFE / SPIRE 这些工业级 identity 标准——这是 OS substrate 工业化的关键路径 - 如果作者意图是 "agent 内部 identity"，那"跨组织协作"声称被高估；如果意图是"兼容工业身份协议"，那摘要级没提 = 写作上的重大遗漏 - 建议抓 PDF §4 Identity pillar 章节核对：是否给出 Identity 与 SPIFFE Workload Identity / OAuth Client Credentials / OIDC Token Exchange 的映射？

形式评级影响：工程可信度 ⭐⭐⭐☆☆ → 若不补 identity 标准化路径，应降为 ⭐⭐☆☆☆

R-1.2.4 【高严重度】"information-flow-controlled memory" 的可行性论证缺失

证据：摘要说 "information-flow-controlled memory improves retrieval fidelity while limiting poisoning"——IFC（Information Flow Control）在传统 OS 中已有数十年研究。

反方论点： - 传统 OS IFC 实践已知问题：① UX 摩擦大（用户/开发者难以理解 label propagation）；② 性能开销（label tracking + taint analysis 通常 5-30% 开销）；③ 配置错误率高（label 设计不当导致 over-restriction 或 under-restriction） - LLM memory + IFC 的可行性需要单独论证：① LLM memory 是 embedding + natural language，不是结构化数据，label propagation 规则完全不同；② LLM memory 是 dynamic 的（每次 query 都新生成 retrieval），不是 static storage；③ IFC 在 LLM 上的语义级别（"这条信息是低信任 vs 高信任"）尚未标准化 - 摘要仅声称"limits poisoning"但未给具体 mechanism（label 规则？taint propagation？trust score？） - 建议抓 PDF §4.3 Cognition pillar 章节核对：是否给出 IFC 在 LLM memory 上的具体 scheme？

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 若 IFC 在 LLM 上是类比而非实际方案，应降为 ⭐⭐⭐☆☆

R-1.2.5 【高严重度】"semantic-to-kernel enforcement" 是 deterministic kernel 治理 probabilistic semantic 的根本鸿沟

证据：摘要说 "semantic-to-kernel enforcement permits broader tool privileges behind a non-bypassable boundary" —— 这是把 probabilistic semantic plane 的判定结果作为 deterministic enforcement 的输入。

反方论点： - kernel 本身是 deterministic 的——传统 OS kernel 不接受模糊输入；所有 system call 都有明确的 syscall number + argument validation - LLM 输出是 probabilistic 的——同一 prompt 不同采样可能产生不同 output；甚至 temperature=0 时也可能有 1% 概率不重复 - semantic-to-kernel enforcement 必须有一个 deterministic 接口——要么是 LLM 输出经过 classifier 后映射到 discrete permission levels（"safe / unsafe"），要么是 policy decision 经 rule engine 验证 - classifier 自身可以被 prompt injection 绕过——这是 LLM 输出作为 enforcement input 的根本脆弱性 - 论文摘要级未提 semantic-to-kernel enforcement 的具体接口设计——这是 2026 年 agent security 最大的方法论鸿沟，值得作为反方审稿的 P0 切入

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 若不补 deterministic interface 设计，应降为 ⭐⭐⭐☆☆（这是整个论文方法论可信度的关键扣分点）

R-1.2.6 【中严重度】"graduated perception" 如何不被 prompt injection 绕过？

证据：摘要说 "graduated perception replaces brittle single-point filters" —— 这暗示了多层感知（multi-layer perception filtering）。

反方论点： - 单一 filter 失败是 OS 输入过滤的经典教训——历史上 antivirus / WAF / spam filter 都是单点失败的经典案例 - graduated 多层感知理论上更稳健，但多层之间的信任链是关键——如果一层失败，下游层如何 fail-safe？ - prompt injection 已知能绕过 95% 现有 LLM input filter（参见 2024-2025 大量 prompt injection benchmark 论文）—— AgentKernel graduated perception 是否真的能抵御？还是只是把单点失败变成多点失败？ - 摘要级未提具体的 graduated perception scheme（layer 数量？每层职责？layer 之间的 input/output 协议？） - 建议抓 PDF §4.2 Perception pillar 章节核对

R-1.2.7 【中严重度】代码 / 实现 / 性能基准是否公开

证据：摘要未提开源 / GitHub / 项目页。

反方论点： - 38 页 framework 论文没有 performance benchmark 会被审稿人质疑——"信任"声称需要可验证证据 - 如果 implementation + performance baseline 公开（GitHub repo + leaderboard），论文从"framework 提议"升级为"工程可落地" - 如果不开源，论文价值停留在"概念验证"层级，AgentKernel 作为生态占位的声称被削弱 - 后续验证动作：GitHub agentkernel / qiuyang-zhan-agentkernel / OpenReview profile 搜索

R-1.2.8 【中严重度】会议接收信号未确认

证据：cs.CR/cs.AI 双分类 + 38 pages / 5 figures 篇幅。

反方论点： - USENIX Security / IEEE S&P / NDSS：典型 page limit 15-20 页，38 页偏长 - SOUPS / AISec：典型 page limit 8-12 页，38 页偏长 - CCS / USENIX Security poster / workshop：可能接收 - arXiv 2026-08-29 v1 提交时间，9-26 已过 30 天，接收信号应在 9-25 evening ~ 9-26 morning 出现（deadline 在 9-15 ~ 9-20 的会议 ACSAC 2026 / CCS 2026 第一轮） - 建议核验：OpenReview AgentKernel search / Qiuyang Zhan profile / USENIX Security 2026 accepted papers list

R-1.2.9 【低严重度】HF Daily 票数偏低 vs 方法论贡献高

证据：Tom 雷达 9-25 1440 独立标注 ⭐ + HF Daily 4▲ 票（2026-09-25 入库当天）。

反方论点： - 4▲ 票数偏低 vs 物体永久性 178▲ #1 顶置新立（45 倍差距）—— 低票数 + 高方法论贡献 通常意味着"silent revolution"型工作 - 但也可能意味着论文抽象度太高，普通 ML 研究员读不懂——OS 安全概念在 ML 圈是小众话题 - 后续验证动作：9-26 evening ~ 9-27 morning 票数是否续立 / 升档 / 跌出

R-1.3 复现风险维度

维度	风险等级	关键证据
算力门槛	🟢 低（OS substrate 不需要大模型训练）	摘要级未提 GPU 需求
代码公开	🔴 决定性	摘要级未提
威胁模型完整性	🟠 高	38 页里有 4 类失败模式（delegation abuse / prompt injection / memory poisoning / tool misuse），是否对每类都有具体 attack scenario + defense evaluation？
systematic comparison 完整性	🟠 高	"use systematic comparison and security analysis to show how a single integrated architecture can enforce security across the full agent lifecycle" —— 与多少现有 baseline 对比？LangChain / AutoGen / CrewAI / OpenHands / SWE-agent + 现有 application-level middleware？
performance benchmark	🟠 高	OS substrate 自身 overhead（latency / memory footprint / throughput 影响）是否给出？
identity 兼容性	🟠 高	是否兼容 SPIFFE / OAuth / OIDC 等工业身份协议？
IFC LLM memory 可行性论证	🟠 高	是否给出具体 IFC scheme 而非类比？
semantic-to-kernel interface	🔴 关键	是否给出 deterministic interface 设计？这是整个方法论的关键点
会议接收信号	🟡 中	arXiv 2026-08-29 v1，30+ 天未见接收信号

复现可行性总评：🟡 取决于代码公开 + semantic-to-kernel interface 设计。如果两者都给，AgentKernel 是 2026 年 agent security 真正稀缺的概念迁移工作；如果两者都不给，价值降为 "framework 提议 + 概念占位"。

R-1.4 形式评级

子项	评级
方法论价值（OS → semantic plane 概念迁移）	⭐⭐⭐⭐☆（2026 真正稀缺工作）
方法论可信度（对偶化 / 类比化）	⭐⭐⭐☆☆（取决于具体映射规则）
实验可信度	⭐⭐⭐☆☆（38 页框架偏重实验需 fetch 全文）
工程价值（4 大支柱 + mandatory boundary）	⭐⭐⭐⭐☆（设计严谨，但 integration 路径缺失）
学术可信度	⭐⭐⭐⭐☆（38 页 + 103 KB 篇幅扎实；cs.CR/cs.AI 双分类合理）
生态占位	⭐⭐⭐⭐☆（orchestration frameworks + agent runtimes + governance platforms + execution sandboxes 占位意图清晰）
总体评级	⭐⭐⭐⭐☆（B+ → 升 A 需 ① 代码 / 实现 / 性能基准公开 + ② semantic-to-kernel deterministic interface 设计 + ③ systematic comparison 完整性 + ④ IFC LLM memory 具体 scheme）

R-1.5 后续验证动作（优先级排序）

优先级	动作	决定项
P0	抓 PDF 38 页 §3-§6 完整结构（framework + threat model + systematic comparison + security analysis + implementation + evaluation）	决定方法论可信度
P0	抓 PDF §4 Identity pillar（是否兼容 SPIFFE / OAuth / OIDC？）	决定工程可信度
P0	抓 PDF §4.3 Cognition pillar（IFC LLM memory 具体 scheme）	决定方法论可信度
P0	抓 PDF §4.4 Execution pillar（semantic-to-kernel deterministic interface 设计）	决定整个方法论可信度
P0	GitHub / OpenReview / 项目页搜索 AgentKernel + Qiuyang Zhan	决定代码公开状态
P0	OpenReview / USENIX Security 2026 / NDSS 2026 / CCS 2026 接收信号	决定学术可信度
P1	HF Daily 9-26 evening ~ 9-27 morning 票数跟踪	决定社区认可度
P1	与 OpenClaw / LangChain / AutoGen harness 集成路径评估	决定工程落地性
P2	与 RiskChainBench / EAL-Bench / IterSynth 等已有 agent security benchmark 兼容性	决定评测方法学协同
P2	与 LatentPort persistent state handoff 的关系	决定跨论文概念兼容

反方审稿 R-2 · Just-in-Time Memory (JitMem) · arXiv:2609.27334

R-2.1 论点重述

论文声称的核心论点（摘要原文核对）：

问题定义：agentic memory systems 复用 past experience，但 most existing designs curate memory at write time——任务完成后，trajectory 被 distilled into fixed artifacts（reflection, workflow, skill, reasoning strategy），随后按 similarity 检索。
write-time 缺陷：这迫使系统 decide what is worth remembering before the future query is known，irreversibly discarding information 并生成 query-independent summary 必须服务许多可能的下游任务。
credit assignment 长视野问题：学习这样的 write-time curator 也很难，因为 storage decision 的 value 可能只在 relevant query 到达时才显现，potentially many tasks later，creating a long-horizon credit-assignment problem。
方案：retain raw trajectories and defer curation until read time——given the retrieved traces and the new task，a memory curator synthesizes a compact, task-adaptive payload tailored to the immediate need。
训练：因为 payload 是在 same task 上 consumed，curator can be trained directly from immediate task success，避免 delayed utility signals 和人工 grouping related tasks。
量化增益（3 个 benchmark）： - ALFWorld: +16.2 absolute success-rate points - WebShop: +16.3 absolute success-rate points - τ²-bench: +3.9 absolute success-rate points
关键发现："even an untrained curator is already competitive with or surpasses these baselines, showing that task-adaptive read-time curation itself is a major source of the gain; training the curator further compounds the improvement."

论文规格：3,223 KB / cs.AI / v1 2026-09-23 / 提交者 Yang Li。

R-2.2 ⚠️ 反方证据（按严重度排序）

R-2.2.1 【高严重度】"未训练 curator 已经能与最强基线持平"是双刃剑

证据：摘要原文 "even an untrained curator is already competitive with or surpasses these baselines, showing that task-adaptive read-time curation itself is a major source of the gain"。

反方论点： - 正方解读：write-time → read-time 范式转型本身具有 independent value；训练 curator 进一步提升 - 反方解读 A（范式贡献高估）：如果"未训练 curator"已经能与最强 baseline 持平，那 JitMem 训练部分的边际贡献可能被高估——具体 trained vs untrained 的数字差距是关键 ablation 缺失 - 反方解读 B（baseline 偏弱）：如果"最强 baseline"本身是 write-time 方法，而未训练 read-time curator 已经持平——意味着 baseline 是 weak baseline，而非"最强 baseline"——这是 baseline selection bias - 反方解读 C（unfair advantage）：未训练 curator 使用 raw trajectories as input，write-time baseline 必须经过信息丢失的 distillation——未训练 curator 是"信息完整 + 实时决策" vs "信息压缩 + 训练"，比较不公平

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆（除非论文 §4 ablation 给出 trained vs untrained 的具体差距数字）

R-2.2.2 【高严重度】"未训练 curator" 的具体形式未明确

证据：摘要说 "even an untrained curator is already competitive" 但没说 untrained curator 具体是什么——随机权重？zero-shot LLM-as-curator？prompt-only rule？

反方论点： - 如果是随机权重：意味着 read-time curation 本身（不依赖学习）就是主因——这与论文"learning curator"的标题矛盾 - 如果是 zero-shot LLM-as-curator：意味着 LLM 的 general capability 就能做 curation，论文贡献变成"prompt engineering" - 如果是 prompt-only rule：意味着是 hand-designed 启发式，论文贡献变成"rule engineering" - 如果是 zero-shot frozen LLM：意味着 LLM 冻结 + read-time curation 设计 = 论文贡献变成"prompt + 设计" - 任何一种解释都削弱"learning curator"的训练贡献声称 - 建议抓 PDF §3.2 Architectures 章节核对：untrained curator 的具体 baseline 是哪一种？

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆（取决于具体形式）

R-2.2.3 【中严重度】write-time → read-time 范式迁移成本未论证

证据：摘要说 write-time 是 "most existing designs"，但没说 JitMem 如何与现有 Mem0 / LangMem / Zep / Letta 等系统迁移。

反方论点： - 现有 Agent Memory 系统（Mem0 / LangMem / Zep / Letta）几乎全是 write-time——已经是 deployed system - JitMem 是 research paper，未给 industrial migration path - 如果 read-time curation 真有独立 value，那现役 Mem0 / LangMem / Zep / Letta 系统应该怎么改造？这是工程落地关键问题 - 摘要级未提工业部署可能性——这是 2026 年 "research → production" gap 的典型表现

形式评级影响：工程价值 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆

R-2.2.4 【中严重度】ALFWorld / WebShop / τ²-bench 覆盖盲区

证据：JitMem 在 3 个 benchmark 上评估，全部是 text-only。

反方论点： - ALFWorld = 具身家庭任务（text observation + action） - WebShop = 电商任务（text + structured API） - τ²-bench = 多轮对话 agent benchmark（text） - 三个都是 text-only——未覆盖视觉 / 多模态场景 - Agent Memory 在 multimodal 上的范式转型是否同样适用？curator 是否需要 multimodal understanding？ - 摘要承认"ALFWorld / WebShop / τ²-bench consistently outperforms"——但未在 LoCoMo / BEAM / LongMemEval / MSC-LongMem 等长对话 benchmark 上验证（这些是 Agent Memory 主流 benchmark） - 建议抓 PDF §5 Experiments 章节核对：是否在 LoCoMo / BEAM / LongMemEval 上也评估？

形式评级影响：实验可信度 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆

R-2.2.5 【中严重度】curator 是 LLM 还是 SLM 未明确

证据：摘要说 "a memory curator synthesizes a compact, task-adaptive payload" 但未说 curator 的 backbone。

反方论点： - 如果是 7B+ LLM（如 Llama-3.1-8B / Qwen2.5-7B），每步推理 cost 上升（memory read 时也调用 curator）——部署成本高 - 如果是 SLM（如 Phi-4-mini / Gemma3-1B），能力是否够做 cross-task synthesis？ - 如果是 frozen LLM + prompt，与 untrained curator 是同一回事，与"learning the curator"的标题矛盾 - 建议抓 PDF §3.2 Architectures 章节核对

R-2.2.6 【中严重度】"compact, task-adaptive payload" 的压缩比未量化

证据：摘要说 "synthesizes a compact, task-adaptive payload tailored to the immediate need" 但没说 compact 到什么程度。

反方论点： - "compact" 是 qualitative 描述，压缩比缺失——是 1/2？1/10？1/100？ - 如果压缩比 1/2（轻微压缩），相当于加了一个 reformatting layer；如果 1/100，那是 aggressive summarization，可能丢失关键信息 - 摘要级未给 compression rate 的 ablation——这是反方审稿的关键 ablation 缺失 - 建议抓 PDF §4.3 Payload Quality 章节核对：是否给出 compression rate vs success rate 的 trade-off curve？

R-2.2.7 【中严重度】"long-horizon credit-assignment" 的"long"是几步

证据：摘要说 "potentially many tasks later" 但没说 "many" 是几步。

反方论点： - 如果"many" = 2-3 步："long-horizon credit-assignment"是 narrative 包装，实质是普通 RL credit assignment - 如果"many" = 100+ 步：确实是 long-horizon 难题，JitMem 的"defer until read time"避免了 long-horizon credit assignment 是真贡献 - 如果"many" = 1000+ 步：JitMem 的"task-adaptive"对单个 query 是 local optimization，1000 步后的累积收益未论证 - 建议抓 PDF §2.2 Problem Formulation 章节核对：具体 task sequence 长度是多少？

R-2.2.8 【中严重度】"Memory 范式第二轮 write-time → read-time / static → dynamic 转型"的"第二"指的什么

证据：摘要说 "write-time → read-time / static → dynamic 第二轮转型"——但未给 reference 说明"第二轮"指什么。

反方论点： - 第一轮转型是什么？论文摘要 / §1 没明确说——可能是 (a) retrieval-augmented → retrieval-free？或者 (c) rule-based → learned？或者 (c) memory-less → memory-augmented？ - 没有 reference，"第二轮"是 narrative 包装而非 evidence-based claim - 建议抓 PDF §1 Introduction 或 §2 Related Work 核对

R-2.2.9 【低严重度】代码 / 数据 / checkpoint 是否公开

证据：摘要未提开源。

反方论点： - 3,223 KB PDF 暗示附录可能包含 implementation details + benchmark setup + baseline list，但需 fetch 全文 - 如果开源，JitMem 可被复现并被集成到 Mem0 / LangMem / Zep / Letta - 如果不开源，论文价值停留在 research prototype 层级

R-2.3 复现风险维度

维度	风险等级	关键证据
代码公开	🟠 高	摘要级未提
untrained curator 形式	🔴 决定性	决定方法论可信度
baseline 完整性	🔴 决定性	决定"最强 baseline"声明
trained vs untrained 差距	🔴 决定性	决定训练贡献声称
multimodal 验证	🟡 中	仅 text-only
curator backbone 规格	🟡 中	LLM vs SLM 决定部署 cost
compression rate 量化	🟡 中	"compact" 是 qualitative 描述
long-horizon "long" 步数	🟡 中	决定 long-horizon 声称
ALFWorld / WebShop / τ²-bench	🟢 低	benchmark 公开
工业迁移路径	🟠 高	未论证

复现可行性总评：🟡 取决于 untrained curator 形式 + trained vs untrained 差距 + 代码公开。如果三者都给，JitMem 是 2026 年 Agent Memory 真正稀缺的方法论级 + 诚实结论型工作；如果只给 trained curator 数字而不给 untrained curator 形式，价值降为"普通方法改进"。

R-2.4 形式评级

子项	评级
方法论价值（write-time → read-time 范式转型）	⭐⭐⭐⭐⭐（2026 Agent Memory 真正稀缺工作）
方法论可信度（untrained curator 形式 + ablation 完整性）	⭐⭐⭐☆☆（取决于具体形式与 ablation）
实验可信度（+16.2 / +16.3 / +3.9 绝对数字）	⭐⭐⭐⭐☆（绝对数字可信，但 baseline 完整性待核）
诚实度（承认 read-time curation 是主因）	⭐⭐⭐⭐⭐（罕见诚实）
工程价值（3 个 benchmark 跨环境 + 工业迁移缺失）	⭐⭐⭐☆☆
学术可信度	⭐⭐⭐⭐☆（诚实承认 + 3 个 benchmark + 明确量化）
总体评级	⭐⭐⭐⭐☆（B+ → 升 A 需 ① untrained curator 形式 + baseline 完整性 + ② trained vs untrained ablation + ③ multimodal 验证 + ④ 工业迁移路径）

R-2.5 后续验证动作

优先级	动作	决定项
P0	抓 PDF §3.2 Architectures 章节（untrained curator 具体形式）	决定方法论可信度
P0	抓 PDF §4 Ablation Studies（trained vs untrained 具体差距）	决定训练贡献声称
P0	抓 PDF §4 Baseline List（"最强 baseline"具体是什么）	决定 baseline selection bias
P1	抓 PDF §5 Experiments（是否在 LoCoMo / BEAM / LongMemEval 上验证）	决定 benchmark 覆盖广度
P1	GitHub / OpenReview / 项目页搜索 JitMem + Yang Li	决定代码公开状态
P1	与 MemoryAthena `2609.25853` head-to-head 对照（是否在 ALFWorld / WebShop / τ²-bench 上做统一对比？）	决定 v102 Memory 第八栖双锚协同
P1	与 LatentPort persistent state handoff 的关系	决定跨论文概念兼容
P2	OpenReview / ICLR 2027 / NeurIPS 2026 / ICML 2027 workshop 接收信号	决定学术可信度
P2	HF Daily 9-26 evening ~ 9-27 morning 票数跟踪	决定社区认可度

反方审稿 R-3 · MemoryAthena: Adaptive Routing over Latent and Generated Memories · arXiv:2609.25853

R-3.1 论点重述

论文声称的核心论点（摘要原文核对）：

问题定义：learned-memory methods 存储信息 in explicit table and consume through separate reader，允许 addressing, storage, reading 独立修改。论文研究 whether useful memory can also be generated rather than only retrieved。
方案（MemoryAthena）：uses three pathways: - (E) direct Engram retrieval - (GE) generation from retrieved Engram cues - (GH) generation from causal backbone states without consulting the memory table
conditional usefulness：generated memory complements E in one context but interferes with it in another。MemoryAthena treats E as an anchor and learns when a generated representation should intervene。
训练：with the backbone, memory, generators, and readers frozen, a lightweight causal routing head is trained from counterfactual future-token likelihood advantages of GE and GH relative to E。
推理：at inference time, an admitted candidate modifies the E residual through bounded interpolation, while rejection recovers the direct pathway exactly。
量化增益： - QA 5 任务平均: 37.65 → 39.28（+1.63） - 6 任务 general NLP 平均: 76.73 → 79.13（+2.40）
参数效率：memory-side system ≈ 201M parameters, excluding the frozen backbone。
核心挑战："routing when, which, and how strongly to intervene" as the central challenge。

论文规格：2,266 KB / cs.CL / v1 2026-09-22 / 提交者 Mingyuan Li。

R-3.2 ⚠️ 反方证据（按严重度排序）

R-3.2.1 【高严重度】+1.63 / +2.40 绝对增益 vs 训练 201M routing head 的 cost / 数据比例

证据：摘要原文 "QA 5 任务平均 37.65 → 39.28（+1.63）" + "6 任务 general NLP 平均 76.73 → 79.13（+2.40）" + "memory-side ≈ 201M parameters"。

反方论点： - +1.63 / +2.40 绝对增益中等——比 LoRA / IA3 等 PEFT 方法（典型 +0.5-1.5 增益）高，比 full fine-tune（典型 +3-5 增益）低 - 201M 参数 memory-side——比 LoRA（<1% 参数）大得多，比 full fine-tune（100% 参数）小 - 未给训练 cost——counterfactual future-token likelihood advantages 是 RL / imitation learning 范式，需要多少 GPU hours？多少样本？ - 未给推理 cost——routing head + bounded interpolation 的推理 latency 增加多少？ - 建议抓 PDF §5 Experiments + §6 Training Cost 核对

形式评级影响：实验可信度 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆（除非给出 cost 数字）

R-3.2.2 【高严重度】"counterfactual future-token likelihood advantages" 的具体形式

证据：摘要原文 "a lightweight causal routing head is trained from counterfactual future-token likelihood advantages of GE and GH relative to E"。

反方论点： - counterfactual 在 routing 里是 imitation learning 还是 RL？——如果是 imitation learning（teacher-forcing），数据 efficiency 高但偏向 teacher policy；如果是 RL（on-policy），数据 efficiency 低但 sample complexity 高 - off-policy 还是 on-policy？——counterfactual 通常是 off-policy（用 E 作为 anchor policy，evaluate GE/GH 的 advantage） - "future-token likelihood" 是 token-level 还是 sequence-level？——token-level 是 dense reward（每 token advantage），sequence-level 是 sparse reward（每 sequence advantage） - counterfactual advantage estimator 的 variance / bias？——这是 RL 经典问题，MemoryAthena 是否处理了？ - 建议抓 PDF §3.3 Routing Head Training + §4 Counterfactual Estimation 章节核对

形式评级影响：方法论可信度 ⭐⭐⭐⭐☆ → 应降为 ⭐⭐⭐☆☆（取决于具体范式 + advantage estimator 处理）

R-3.2.3 【高严重度】"rejection recovers E exactly" 反向削弱 "generated memory 可用" 声称

证据：摘要原文 "an admitted candidate modifies the E residual through bounded interpolation, while rejection recovers the direct pathway exactly"。

反方论点： - rejection recovers E exactly 意味着 routing head 在不确定时永远选择 E——这是 conservative safety net 设计 - 这意味着 GH 路径在 routing head 不确定时永远不被采用——这反过来削弱了"generated memory 可用"的声称 - 声称 vs 实际：摘要前半部声称"generated memory complements E"，但后半部承认 rejection recovers E exactly——实际生效的 GH 路径仅在 routing head 高度确信时 - 实际 GH 使用频率是否给出？如果 GH 仅在 5% 情况下被采用，那 +1.63 增益主要来自 GE（retrieval-augmented generation） - 建议抓 PDF §5.3 Routing Statistics 章节核对：GE / GH / E 三路径的实际使用分布

形式评级影响：方法论可信度 ⭐⭐⭐☆☆（关键扣分）

R-3.2.4 【高严重度】"GH 不查表直接生成"与传统 RAG "parametric memory" 概念边界

证据：摘要原文 "generation from causal backbone states without consulting the memory table (GH)"。

反方论点： - GH 在传统 RAG 文献里被叫做 "parametric memory" / "internalized memory" / "model-internal memory"——这是 2023-2024 RAG 文献的标准术语 - GE 在传统 RAG 文献里被叫做 "retrieval-augmented generation"——也是标准术语 - MemoryAthena 把两者都归为 generated memory，与传统 RAG 术语不兼容 - 分类法混淆 = 论文与 RAG 社区对话困难——如果论文 §2 Related Work 显式区分 OK；如果不区分，对 RAG 读者来说分类不清 - 建议抓 PDF §2 Related Work 章节核对：是否显式区分 "GH = parametric memory"？

R-3.2.5 【中严重度】"bounded interpolation" 的 bound 如何决定

证据：摘要原文 "an admitted candidate modifies the E residual through bounded interpolation"。

反方论点： - bound 是什么形式？linear interpolation？learned bound？硬截断？ - bound 的幅度如何决定？常数？学习得到？与 routing confidence 相关？ - 如果 bound 太大，GH 干扰 E（摘要承认 "interfere with it in another"）；如果 bound 太小，GH 几乎无效 - 摘要未给 bound 的具体形式——这是反方审稿的关键 ablation 缺失 - 建议抓 PDF §3.4 Bounded Interpolation + §4.2 Ablation 章节核对

R-3.2.6 【中严重度】JitMem + MemoryAthena 双栖 head-to-head 对照缺失

证据：v102 §X.X 提到 JitMem + MemoryAthena 形成"时机决策 vs 路径决策"双栖预备级。

反方论点： - JitMem 关注"何时策展"（write-time → read-time 时机决策） - MemoryAthena 关注"如何路由"（E/GE/GH 路径决策） - 两者完全互补还是部分重叠？——需要在同任务（ALFWorld / WebShop / τ²-bench + QA / NLP）上做统一对比 - 如果两者部分重叠（例如 JitMem 也做 routing / MemoryAthena 也做 curation），那 v102 第八栖预备级"双栖"是 narrative - 如果两者完全互补（真正正交），那 v102 第八栖预备级"双栖"是 evidence-based - 建议抓 PDF §6 Cross-Paper Comparison 章节核对（可能不存在，需后续核验）

R-3.2.7 【中严重度】"frozen backbone + 201M routing head" 是"参数小 + 设计正确"路线代表

证据：摘要原文 "with the backbone, memory, generators, and readers frozen, a lightweight causal routing head is trained" + "memory-side ≈ 201M parameters"。

反方论点： - 201M parameters 算"lightweight"吗？——比 GPT-3 (175B) 小 870 倍，比 LoRA (<10M) 大 20 倍 - "frozen backbone + 201M routing head" 介于 LoRA 与 full fine-tune 之间——这是 2026 年新出现的中间档位 - 好处：backbone 不需要重训，部署成本低；坏处：如果 backbone 不再 scale，routing head 上限被 backbone 锁死 - 与 JitMem 的"untrained curator 已经能与最强 baseline 持平"形成呼应——两者都暗示"系统设计 > 参数训练"

R-3.2.8 【中严重度】generated memory 的 hallucination 风险

证据：摘要原文 "Generated memory is conditionally useful: it can complement E in one context but interfere with it in another"。

反方论点： - "interfere" 具体是 hallucination 还是错误记忆？需要更细致的 failure analysis - GH 路径在 routing head 误判时会注入错误信息——这是 hallucination 风险 - 摘要承认 interference 但未给 interference rate / failure mode analysis - 建议抓 PDF §5.4 Failure Analysis 章节核对

R-3.2.9 【低严重度】代码 / 数据 / checkpoint 是否公开

证据：摘要未提开源。

反方论点： - 2,266 KB PDF 暗示附录可能包含 implementation details + benchmark setup + baseline list，但需 fetch 全文 - 如果开源，201M routing head 可被复现并集成到 RAG frameworks（LlamaIndex / LangChain） - 如果不开源，论文价值停留在 research prototype 层级

R-3.3 复现风险维度

维度	风险等级	关键证据
代码公开	🟠 高	摘要级未提
训练 cost / 推理 cost	🔴 决定性	决定 +1.63 / +2.40 增益的工程意义
counterfactual routing 训练范式	🔴 决定性	决定方法论可信度
GH 实际使用频率	🔴 决定性	决定"generated memory 可用"声称
bounded interpolation 具体形式	🟠 高	反方审稿关键 ablation
RAG 分类法兼容性	🟡 中	传统 RAG 术语不匹配
JitMem 双栖 head-to-head	🟠 高	决定 v102 Memory 第八栖预备级双栖声称
failure analysis	🟡 中	"interfere" 具体形式
frozen backbone 上限	🟡 中	201M routing head 被 backbone 锁死

复现可行性总评：🟡 取决于训练 cost 数字 + counterfactual 训练范式 + GH 使用频率 + 代码公开。如果四者都给，MemoryAthena 是 2026 年 RAG 范式真正稀缺的工作；如果只给增益数字而不给 cost / 范式 / 频率，价值降为"普通 routing head 改进"。

R-3.4 形式评级

子项	评级
方法论价值（E/GE/GH 三路径 + causal routing）	⭐⭐⭐⭐☆（2026 RAG 范式稀缺拓展）
方法论可信度（counterfactual routing 范式 + GH 使用频率）	⭐⭐⭐☆☆（取决于具体实现）
实验可信度（+1.63 / +2.40 绝对数字 + 5+6 个 benchmark）	⭐⭐⭐☆☆（中等，绝对增益需 cost 数字配合）
诚实度（承认 conditional usefulness + interference）	⭐⭐⭐⭐☆（诚实承认 generated memory 风险）
工程价值（frozen backbone + 201M routing head + bounded interpolation）	⭐⭐⭐⭐☆（设计严谨）
学术可信度	⭐⭐⭐⭐☆（cs.CL 主流方向 + 明确量化）
总体评级	⭐⭐⭐⭐☆（B+ → 升 A 需 ① counterfactual 训练范式 + GH 使用频率 + 训练 cost + ② bounded interpolation 具体形式 + ③ JitMem 双栖 head-to-head + ④ 代码公开）

R-3.5 后续验证动作

优先级	动作	决定项
P0	抓 PDF §3.3 Routing Head Training + §4 Counterfactual Estimation（counterfactual 具体形式 + advantage estimator）	决定方法论可信度
P0	抓 PDF §5.3 Routing Statistics（GE / GH / E 实际使用频率）	决定"generated memory 可用"声称
P0	抓 PDF §5 Experiments（训练 cost / 推理 latency）	决定 +1.63 / +2.40 增益的工程意义
P1	抓 PDF §3.4 Bounded Interpolation（bound 具体形式 + ablation）	决定 ablation 完整性
P1	GitHub / OpenReview / 项目页搜索 MemoryAthena + Mingyuan Li	决定代码公开状态
P1	与 JitMem `2609.27334` head-to-head 对照预备	决定 v102 Memory 第八栖预备级双栖
P2	OpenReview / ICLR 2027 / NeurIPS 2026 / ICML 2027 workshop 接收信号	决定学术可信度
P2	与 LatentPort persistent state handoff 的关系	决定跨论文概念兼容

综合复现风险矩阵

论文	算力门槛	数据/代码公开	评测独立性	工程价值	学术价值	总复现风险
AgentKernel	🟢 低（OS substrate）	🔴 决定性（摘要级未提）	🟡 中（38 页篇幅扎实）	⭐⭐⭐⭐☆	⭐⭐⭐⭐☆	🟡 取决于代码 + semantic-to-kernel interface + IFC LLM memory scheme
JitMem	🟡 中（curator 推理 cost）	🔴 决定性（untrained curator 形式 + 代码）	⭐⭐⭐⭐☆（3 个 benchmark + 明确量化）	⭐⭐⭐☆☆	⭐⭐⭐⭐☆	🟡 取决于 untrained curator 形式 + ablation + baseline 完整性
MemoryAthena	🟡 中（201M routing head）	🔴 决定性（摘要级未提）	⭐⭐⭐☆☆（+1.63 / +2.40 中等 + 缺 cost）	⭐⭐⭐⭐☆	⭐⭐⭐⭐☆	🟡 取决于训练 cost + counterfactual 范式 + GH 使用频率

核心观察： 1. 3 篇都有"数据 / 代码公开"硬门槛——这是 2026 年 AI 论文的默认 release 模式，但对学术复现形成系统性约束 2. 3 篇都有"摘要级诚实承认风险"——AgentKernel 承认"share a process trust boundary"是 design constraint；JitMem 承认 read-time curation 是主因；MemoryAthena 承认 generated memory conditional usefulness——这是 2026 年 AI 论文的稀缺诚实 3. 3 篇都有"参数小 + 设计正确"路线——AgentKernel OS substrate mandatory boundary；JitMem "untrained curator 持平最强 baseline"；MemoryAthena frozen backbone + 201M routing head——三者共同暗示 v102 Memory 第八栖 + risk 邻接级预备级 + agent 主轴共同的设计哲学

综合反方审稿结论

✅ 本周必读 3 篇都"值得反方审稿"，但理由各不相同

AgentKernel：概念迁移方法论级（OS → semantic plane 概念迁移）+ 4 大支柱 + mandatory boundary 设计严谨，最值得做长程反方审稿（3-6 个月跟踪）——重点跟踪代码公开 + 会议接收信号 + 跨组织协作身份兼容方案
JitMem：write-time → read-time 范式转型方法论级 + "未训练 curator 持平最强 baseline"诚实结论 + 3 个 benchmark 跨环境 + 明确量化数字，最值得做"untrained curator 形式 + ablation 完整性"反方审稿（2-4 周窗口）——重点跟踪 §3.2 Architectures + §4 Ablation Studies + §5 Baseline List
MemoryAthena：E/GE/GH 三路径 + causal routing head 范式拓展 + frozen backbone + 201M routing head 设计严谨 + 诚实承认 generated memory conditional usefulness，最值得做"counterfactual 训练范式 + GH 使用频率 + 训练 cost"反方审稿（2-4 周窗口）——重点跟踪 §3.3 Routing Head Training + §5.3 Routing Statistics + §5 Experiments

⚠️ 本周 3 篇共同的"反方审稿瓶颈"

数据 / 代码公开是学术复现的硬门槛——3 篇都有不同程度的开放度问题，且 2026 年 AI 论文的默认 release 模式形成系统性约束
摘要级未给训练 cost / 推理 cost / 部署 cost——3 篇都有不同程度的 cost 数字缺失，影响工程价值评估
"诚实承认风险"是双刃剑——3 篇都有诚实表述，但诚实表述也意味着作者自己知道这些是弱点，反方审稿要重点核验这些弱点的具体实现

🎯 v102 Memory 第八栖预备级双栖 vs OS substrate risk 邻接级预备级

v102 Memory 第八栖预备级 = JitMem + MemoryAthena 双栖：JitMem 关注"何时策展"（write-time → read-time 时机决策）+ MemoryAthena 关注"如何路由"（E/GE/GH 路径决策）——两者在 v102 §X.X 的双栖预备级需要独立二次核验完全互补 vs 部分重叠
risk 邻接级预备级 = AgentKernel：OS substrate mandatory boundary 是 risk + agent 双主轴预备级第 1 例——需要独立核验代码公开 + 会议接收信号

🎯 下周（9-27 ~ 10-03）反方审稿建议优先级

优先级	动作	关联论文
P0	AgentKernel 抓 PDF §3-§6 + GitHub / OpenReview / 项目页搜索	AgentKernel
P0	AgentKernel 跨组织协作身份兼容方案（SPIFFE / OAuth / OIDC）核验	AgentKernel
P0	JitMem 抓 PDF §3.2 Architectures（untrained curator 形式）+ §4 Ablation	JitMem
P0	MemoryAthena 抓 PDF §3.3 Routing Head Training + §5.3 Routing Statistics	MemoryAthena
P0	MemoryAthena 训练 cost / 推理 latency 数字核验	MemoryAthena
P0	v102 Memory 第八栖双栖 vs OS substrate risk 邻接级预备级协同核验	综合
P1	立标极显著 → 跌出三连样本 OmniEdu 跟踪 + 物体永久性 178▲ 顶置新立引爆点核验	综合
P1	Atria Dawn / Model-or-Harness / Orthrus 上周末 3 篇必读长程跟踪	综合
P2	agent.md / coding-agents.md / risk.md / multimodal.md 主分类新增条目预备	综合

给后续同步任务的具体建议

review_file:
  - "/shared/research-kb/inbox/flyp/2026-09-26-1030-sat-weekly-deep-read-reviews.md"（本文件）

notes_file:
  - "/shared/research-kb/inbox/flyp/2026-09-26-1030-sat-weekly-deep-read-notes.md"

下游主题页更新建议（待 sync 任务处理）:
  - "/shared/research-kb/inbox/flyp/2026-09-26-coding-agents.md-section-AgentKernel-JitMem-MemoryAthena-draft.md"（coding-agents.md 主分类新增 §AgentKernel + §JitMem + §MemoryAthena 三件方法论级长稿）
  - "/shared/research-kb/inbox/flyp/2026-09-26-risk.md-section-AgentKernel-OS-substrate-draft.md"（risk.md 新增 §AgentKernel OS-level trust substrate 预备级第 1 例 + Agent 安全栖第七栖扩增）
  - "/shared/research-kb/inbox/flyp/2026-09-26-agent-memory.md-section-JitMem-MemoryAthena-draft.md"（agent-memory 主题页新增 §JitMem write-time → read-time 范式转型 + §MemoryAthena 三路径 routing 双栖预备级）

不在本任务范围:
  - 不写 /shared/research-kb/review/ 或 /shared/research-kb/published/
  - 不执行 git commit / git push / gh pr
  - 不直接修改 knowledge/ 或 organized/（由后续 sync 任务串行合并）

待人工确认的问题

AgentKernel 38 页 PDF 完整结构核查：framework + threat model + systematic comparison + security analysis + implementation + evaluation 六件各占多少？
AgentKernel 代码 / 实现 / 性能基准是否公开：摘要级未提
AgentKernel 会议接收信号：cs.CR/cs.AI 双分类 + 9-25 evening ~ 9-26 morning 信号核验
AgentKernel 跨组织协作 identity 兼容 SSO/OAuth 的路径：摘要仅提"cross-organization collaboration"但未说兼容方案
JitMem "未训练 curator" 具体形式：随机权重？zero-shot？prompt-only？需要 fetch PDF §3.2
JitMem trained vs untrained curator 差距数字：决定训练贡献声称
JitMem 是否在 LoCoMo / BEAM / LongMemEval 上验证：决定 benchmark 覆盖广度
JitMem + MemoryAthena 双栖 head-to-head 对照：是否在 ALFWorld / WebShop / τ²-bench 上做统一对比？
MemoryAthena counterfactual future-token likelihood advantages 的具体训练范式：imitation learning？RL？off-policy / on-policy？
MemoryAthena GE / GH / E 三路径的实际使用分布：决定"generated memory 可用"声称
MemoryAthena "GH 不查表直接生成"与传统 RAG "parametric memory" 概念的边界：是否在 §2 Related Work 显式区分？
MemoryAthena bounded interpolation 的 bound 具体形式：linear interpolation？learned bound？硬截断？

flyP · 2026-09-26 10:30 CST · 周六精读与反方审稿棒 · 第 N+1 期 · 反方审稿 + 复现风险分析 · 共享知识库 flyP 实例

2026-09-26 周六反方审稿 + 复现风险分析（flyP）

反方审稿 R-1 · AgentKernel: The Trust-Native Agentic Operating System · arXiv:2609.29647

R-1.1 论点重述

R-1.2 ⚠️ 反方证据（按严重度排序）

R-1.2.1 【高严重度】"classical OS 安全原则 → semantic plane" 是类比还是对偶？

R-1.2.2 【高严重度】38 页篇幅 vs 实验深度的真实结构

R-1.2.3 【高严重度】"kernel-managed identity" 与现有 SSO/OAuth 兼容路径缺失

R-1.2.4 【高严重度】"information-flow-controlled memory" 的可行性论证缺失

R-1.2.5 【高严重度】"semantic-to-kernel enforcement" 是 deterministic kernel 治理 probabilistic semantic 的根本鸿沟

R-1.2.6 【中严重度】"graduated perception" 如何不被 prompt injection 绕过？

R-1.2.7 【中严重度】代码 / 实现 / 性能基准是否公开

R-1.2.8 【中严重度】会议接收信号未确认

R-1.2.9 【低严重度】HF Daily 票数偏低 vs 方法论贡献高

R-1.3 复现风险维度

R-1.4 形式评级

R-1.5 后续验证动作（优先级排序）

反方审稿 R-2 · Just-in-Time Memory (JitMem) · arXiv:2609.27334

R-2.1 论点重述

R-2.2 ⚠️ 反方证据（按严重度排序）

R-2.2.1 【高严重度】"未训练 curator 已经能与最强基线持平"是双刃剑

R-2.2.2 【高严重度】"未训练 curator" 的具体形式未明确

R-2.2.3 【中严重度】write-time → read-time 范式迁移成本未论证

R-2.2.4 【中严重度】ALFWorld / WebShop / τ²-bench 覆盖盲区

R-2.2.5 【中严重度】curator 是 LLM 还是 SLM 未明确

R-2.2.6 【中严重度】"compact, task-adaptive payload" 的压缩比未量化

R-2.2.7 【中严重度】"long-horizon credit-assignment" 的"long"是几步

R-2.2.8 【中严重度】"Memory 范式第二轮 write-time → read-time / static → dynamic 转型"的"第二"指的什么

R-2.2.9 【低严重度】代码 / 数据 / checkpoint 是否公开

R-2.3 复现风险维度

R-2.4 形式评级

R-2.5 后续验证动作

反方审稿 R-3 · MemoryAthena: Adaptive Routing over Latent and Generated Memories · arXiv:2609.25853

R-3.1 论点重述

R-3.2 ⚠️ 反方证据（按严重度排序）

R-3.2.1 【高严重度】+1.63 / +2.40 绝对增益 vs 训练 201M routing head 的 cost / 数据 比例

R-3.2.2 【高严重度】"counterfactual future-token likelihood advantages" 的具体形式

R-3.2.3 【高严重度】"rejection recovers E exactly" 反向削弱 "generated memory 可用" 声称

R-3.2.4 【高严重度】"GH 不查表直接生成"与传统 RAG "parametric memory" 概念边界

R-3.2.5 【中严重度】"bounded interpolation" 的 bound 如何决定

R-3.2.6 【中严重度】JitMem + MemoryAthena 双栖 head-to-head 对照缺失

R-3.2.7 【中严重度】"frozen backbone + 201M routing head" 是"参数小 + 设计正确"路线代表

R-3.2.8 【中严重度】generated memory 的 hallucination 风险

R-3.2.9 【低严重度】代码 / 数据 / checkpoint 是否公开

R-3.3 复现风险维度

R-3.4 形式评级

R-3.5 后续验证动作

综合复现风险矩阵

综合反方审稿结论

✅ 本周必读 3 篇都"值得反方审稿"，但理由各不相同

⚠️ 本周 3 篇共同的"反方审稿瓶颈"

🎯 v102 Memory 第八栖预备级双栖 vs OS substrate risk 邻接级预备级

🎯 下周（9-27 ~ 10-03）反方审稿建议优先级

给后续同步任务的具体建议

待人工确认的问题

R-3.2.1 【高严重度】+1.63 / +2.40 绝对增益 vs 训练 201M routing head 的 cost / 数据比例