📋 Jay · 知识库每日简报 · 2026-06-30 晚间档

检索时间：2026-06-30 21:05 (Asia/Shanghai)
本次主题：Agent Memory 系统专题 · 新晋 arXiv 论文 · RAG 推理成本攻击 · Cloud-Native WASM · SIGIR/ACL 2026 RAG 评测
检索来源：Tavily (web/search)、arXiv (cs.AI/cs.CR/cs.DB)、Substack (Sebastian Raschka/Ahead of AI, ByMachine, UNH IR Lab)、Neo4j Blog、The New Stack

🔍 DATABASE

1. Policy-aware Vector Search — 向量数据库 ACL 细粒度访问控制愿景

  • 来源：arXiv:2606.19803
  • 发布时间：2026 年 6 月
  • 可信度：⭐⭐⭐⭐⭐（arXiv 预印本，ACL / SIGIR 2026 相关工作引用）

核心观点摘要：

向量搜索的细粒度访问控制（FGAC）是生产 RAG 系统被忽视的安全盲区。论文提出"策略感知向量搜索"框架，核心挑战在于 pre-filtering（基于 ACL 预先过滤）和 post-filtering（查询后过滤）的权衡：

  • Pre-filtering：在 ANN 搜索前先按 ACL 过滤，可能导致 HNSW 图搜索效率退化（向量空间被 ACL 分割）
  • Post-filtering：先搜 ANN 再过滤，但候选集膨胀导致性能下降
  • Parallel Post-filtering (PPF)：发起 3 个并行中等选择性查询，覆盖图的不同区域，缓解单一查询的搜索偏差

实验在 PostgreSQL + pgvector 上进行，使用 arXiv 277 万条记录（title + abstract 向量化，模型：all-MiniLM-L6-v2）。

工程评价：

⚠️ 该方向是 2026 年企业 RAG 落地的安全刚需——多租户场景下，用户只能看到授权文档中的向量。传统做法是"先 RAG 再权限过滤"，但这会导致向量检索阶段就引入噪声（被过滤的文档已参与打分排序）。

标签：向量数据库、访问控制、RAG 安全、pgvector、企业 RAG
后续行动：关注该方向是否有后续论文提出完整系统方案；补充至 RAG 安全主题页

2. Qdrant Vector Space Day 2026 — 核心定位更新："我们不是向量数据库，是向量搜索引擎"

核心观点摘要：

Qdrant COO 在 Vector Space Day 上做了一个关键澄清：Qdrant 的定位是 vector search engine，不是 vector database。

技术差异化： - 自研 GridStore 存储层，非依赖外部存储引擎 - 自研 TurboQuant 向量压缩算法 - vendor-agnostic GPU 加速索引 - Rust 核心 + 完全控制存储到查询的完整链路

用例演进路径（2024 → 2026）： - 语义搜索 → RAG → Agentic RAG（Agent 在循环中反复检索）→ 机器人（Robotics）是下一个主战场

工程评价：

Qdrant 主动区分"数据库"和"搜索引擎"是有意义的工程定位——前者强调 ACID / 事务 / 持久化，后者强调检索性能 / 索引效率 / 吞吐量。对于 Agent 循环检索场景，自底可控的存储路径确实比依赖通用存储引擎更有优化空间。

标签：向量数据库、Qdrant、Rust、生产部署、RAG
后续行动：纳入向量数据库选型对比表（Qdrant vs pgvectorscale vs Weaviate）

🔍 BACKEND / 推理系统工程

3. Inference Cost Attacks on RAG — WWW 2026 论文：检索增强生成系统的推理成本攻击

  • 来源：arXiv:2606.02643，Accepted @ WWW '26
  • 发布时间：2026 年 3 月
  • 可信度：⭐⭐⭐⭐⭐（WWW 2026 正式论文，cs.CR / cs.AI / cs.DB 交叉领域）

核心观点摘要：

论文首次系统研究针对 RAG 系统的推理成本拒绝服务攻击：攻击者通过精心构造的检索查询，强制 RAG 系统反复调用昂贵的 LLM 生成，从而消耗目标系统的推理预算。

相关领域：密码学与安全（cs.CR）× 人工智能（cs.AI）× 数据库（cs.DB）
H它首次将安全研究引入 RAG 系统的推理成本层面，不是传统 Prompt 注入或数据投毒，而是经济层面的 DoS。

工程评价：

这是 2026 年 RAG 系统安全的新维度——生产 RAG 系统通常按 token 量计费，攻击者可以让系统反复检索 → 触发 LLM 生成高成本响应。防御手段可能包括：检索频率限制、查询复杂度预算、异常流量检测。

⚠️ 值得关注的是，该论文同时被归类在 cs.DB（数据库），说明 RAG 的检索层攻击属于数据库安全范畴。

标签：RAG 安全、推理成本、WWW 2026、DoS 攻击、RedTeam
后续行动：精读论文；补充至 AI 安全主题页

4. Disaggregated LLM Serving — 多轮场景下的增量 Prefill 路由

  • 来源：arXiv:2606.01839
  • 发布时间：2026 年 6 月
  • 可信度：⭐⭐⭐⭐⭐（arXiv 系统论文，AMPD/PPD 两系统联合分析）

核心观点摘要：

disaggregated LLM serving（解耦预填充与解码）是 2026 年大模型推理工程的核心方向之一。论文系统分析多轮对话中的增量 prefill 路由决策，主要系统对比：

系统 路由单位 决策依据
AMPD Turn（每轮） 实时队列状态 + 离线成本模型
PPD Turn（每轮） 离线查表（context 长度 + I/O 比 + 负载）

关键洞察：两者都以"对话轮"为决策粒度，但最优决策本身依赖本轮不可提前获知的信息（如 prefetch 完成后的实际 KV 传输量）。

工程评价：

对于构建生产级推理系统的团队，该方向直接影响 GPU 资源利用率和多用户场景下的延迟体验。解耦Serving 在 vLLM / SGLang 中已有支持，但多轮场景下的智能路由仍是 open problem。

标签：LLM 推理、解耦 Serving、GPU 调度、vLLM、SGLang
后续行动：跟进 AMPD/PPD 开源情况；补充至推理系统工程主题页

🔍 CLOUD-NATIVE

5. WebAssembly on Kubernetes — SpinKube 生产路径分析

核心观点摘要：

SpinKube = Kubernetes + WASM 的生产级组合，核心路径：

1. 应用 RuntimeClass manifest 定义 wasmtime-spin handler
2. containerd-shim 拦截 WASM 工作负载
3. 绕过 runc，直接由 Wasmtime/WasmEdge 执行字节码

优势（相对于容器）： - 冷启动 < 1ms（容器通常 100-500ms） - 资源开销接近零（WASM 字节码直接执行，无 OS 抽象层） - 强隔离（沙箱执行，不依赖 Linux namespace）

典型生产场景： - 无状态 HTTP 路由 - 高频事件消费者 - 第三方插件引擎（安全隔离） - 边缘 AI 微服务

工程评价：

2026 年 WASM 在 Serverless 场景的落地已从实验进入生产，SpinKube 提供了一个标准化的 Kubernetes 集成路径。Rust 生态向 Kubernetes 的渗透也与此相辅相成（Qdrant 同样用 Rust）。对于边缘推理和高密度多租户场景，WASM 路径值得优先考虑。

标签：WASM、Kubernetes、SpinKube、Serverless、边缘计算、Rust
后续行动：补充至 Cloud-Native 主题页；评估 SpinKube vs gVisor vs Kata Containers 的定位差异

6. Fluid — CNCF Incubating 项目：云原生 AI 数据访问加速

核心观点摘要：

Fluid 是一个数据抽象层，通过将数据本地化到 Kubernetes 计算节点来加速云原生 AI 和大数据工作负载，避免了异构存储环境中的 I/O 开销。

  • 核心问题：大数据/AI 训练中，数据源（对象存储、分布式文件系统）和计算节点之间的 I/O 延迟是瓶颈
  • Fluid 方案：在 Kubernetes 层面做数据本地化调度，让数据去计算，而非计算去数据
  • 2026 年 6 月正式进入 CNCF Incubating

工程评价：

Fluid 对 LLM 推理的数据管道加速和分布式训练场景都有价值。与 vLLM 的 PagedAttention KV Cache 管理是两个不同维度的优化（内存 vs 存储 I/O）。在多模态 RAG（图片/视频 embedding）场景下，数据 I/O 瓶颈会更突出。

标签：CNCF、Kubernetes、数据访问、AI Infra、Fluid
后续行动：评估 Fluid vs JuiceFS vs Alluxio 的定位，补充至 AI Infra 主题页

🔍 REPRODUCTION / 可复现工程

7. Context Graph Layer for Multi-Agent Memory — Neo4j + LangChain 复现指南

核心观点摘要：

纯向量 RAG 在多 Agent 共享记忆场景下存在根本局限：向量相似性无法表达因果链、时间序、层级包含等结构关系。作者提出在向量检索层之上增加 Context Graph Layer（基于 Neo4j），用于：

  • 跨 Agent 共享状态图（不是向量相似性，而是实体关系图）
  • 追踪每个 Agent 的行动历史节点
  • 支持"Agent A 的上一步输出 → 触发 Agent B 的下一步行动"的可视化推理

技术栈：Neo4j + LangChain + NetworkX

工程评价：

该方案对于需要多 Agent 协作编排的生产系统有直接参考价值。代码仓库 context-graph-rag 有完整实现和测试套件。⚠️ 但需要注意：Neo4j 作为状态存储在高并发写入场景下有扩展性瓶颈，需要评估 Agent 循环频率与图数据库写入吞吐的匹配度。

标签：多Agent、RAG、知识图谱、Neo4j、LangChain、Context Graph
后续行动：标记为高价值复现指南；补充至 Agent 系统工程主题页

📚 ARXIV 精选 — Agent Memory 系统专题（2026 年 6 月）

本节专门梳理 2026 年 6 月新晋 arXiv 论文，聚焦 LLM Agent 长期记忆机制

8. Are We Ready For An Agent-Native Memory System? — 数据管理视角

  • 来源：arXiv:2606.24775
  • 发布时间：2026 年 6 月
  • 可信度：⭐⭐⭐⭐⭐（arXiv 预印本，作者群包含 Luo et al. 2026、Khan et al. 2025 等 LLM Agent 记忆研究核心作者群）

核心观点摘要：

本文首次将 Agent Memory 明确作为数据管理系统问题来研究，而非算法问题。核心框架：

  • 时间轴：短期记忆（会话内）↔ 长期记忆（跨会话）
  • 功能轴：情景记忆（Episodic）、语义记忆（Semantic）、程序记忆（Procedural）、用户偏好

关键主张：Agent Memory 应该被设计为独立的数据管理基础设施，而不是 LLM pipeline 的附属算法组件。这与 Context Graph Layer（条目 7）的工程思路一致。

9. Learning What to Remember — 可观测性安全的记忆保留（arXiv:2606.10616）

核心观点摘要：

给定长度为 N tokens 的任务轨迹（观察、推理痕迹、检索事实），但上下文窗口只有 C < N，应该保留哪 C 个 tokens？

本文将记忆保留建模为约束优化问题，并引入"可观测性约束"——保留的信息必须足以让 Agent 无歧义地推断当前状态。这比"保留最近 N tokens"的启发式删除策略在数学上更严谨。

10. Less Context, Better Agents — 企业场景的工具响应上下文压缩（arXiv:2606.10209）

  • 来源：ByMachine.news
  • 可信度：⭐⭐⭐⭐⭐（arXiv + ByMachine 解读）

核心观点摘要：

识别了一个企业 Agent 部署中的具体失败模式：企业系统（数据库查询、API 调用、日志文件）的工具响应往往非常冗长，单次工具调用可能返回 10,000 tokens，Rapid 耗尽上下文预算。

本文提出 Context Engineering：对工具响应进行过滤，仅保留下一步行动所需的信息。这是比完整记忆管理系统更轻量的解决方案，直接针对"verbose tool response → context overflow → stale-state errors"这一具体问题。

11. E-mem — 多 Agent 情景记忆重建（arXiv:2601.21714）

  • 来源：arXiv:2601.21714
  • 发布时间：2026 年 1 月
  • 可信度：⭐⭐⭐⭐⭐（arXiv，完整技术框架，有系统原型）

核心观点摘要：

E-mem 提出情景上下文重建方法，核心组件：

  • Master Agent：中央推理器，聚合多个 Assistant 产生的证据元组
  • Multi-Pathway Routing (ℛ)：给定查询 q，通过策略 π 生成激活分布，过滤记忆档案，而非简单摘要
  • 融合全局叙事对齐（预计算摘要）、符号实体触发、潜在语义向量关联三种信号

12. Infini Memory — 基于主题文档的长期 Agent 记忆（arXiv:2606.10677）

  • 来源：arXiv:2606.10677v1
  • 发布时间：2026 年 6 月
  • 可信度：⭐⭐⭐⭐⭐（arXiv 预印本，完整方法论）

核心观点摘要：

现有记忆系统将观察存储为孤立记录或索引片段，导致：证据聚合难、事实修正难、记忆维护难。

Infini Memory 的核心思路：以主题文档为语义单元，每个主题文档收集相关证据、保存元数据、支持事实修订。新观察先进入缓冲区，周期性地合并为连贯的文本上下文。检索时 Agent 通过迭代工具调用"读取"记忆，而非一次性将所有记忆灌入上下文。

13. Preference-Aware Memory Update — ACL 2026 Findings

核心观点摘要：

长期 LLM Agent 记忆更新的核心挑战：如何让记忆更新反映用户偏好，同时不遗忘重要事实？

本文提出"偏好感知记忆更新"，在记忆写入阶段引入偏好建模，避免通用摘要化导致个性化信息丢失。这是记忆管理 + 个性化推荐的交叉方向。

📚 Substack / Newsletter 高价值条目

14. Sebastian Raschka — LLM Research Papers 2026 (Jan–May) 完整列表

  • 来源：Ahead of AI — LLM Research Papers: The 2026 List
  • 发布时间：2026 年 6 月（持续更新）
  • 可信度：⭐⭐⭐⭐⭐（Sebastian Raschka，AI 研究界权威 Newsletter，每篇论文有结构化解读）
  • 范围：Architecture、Training Efficiency、KV Cache、Long Context、Reasoning、RLVR、Agent/Tool Use、Coding Agents、Diffusion LM、Benchmarks

重点关注条目（本次简报未覆盖的 2026 新论文）： - Nemotron 3 Super（NVIDIA，2026-04-13）：Mamba-2 + Transformer 混合架构，120B-A12B（MoE），长上下文效率优化；亦有 Nano 4B 版本可在消费级 GPU 运行 - MiniMax-M2 Series（2026-05-25）：MiniMax 发布新一代系列 - Delta Attention & Gated DeltaNet-2（2026-05）：解耦 Erase/Write 的线性注意力机制 - Agentic RAG Survey（2026）：RAG 系统的 4 种 Agentic Pattern

工程价值：Raschka 的列表是 2026 年上半年 LLM 研究的最佳索引，每个分类下都有简短评价，是构建研究知识图谱的优质起点。

标签：LLM 研究索引、2026 论文列表、Raschka、Agentic RAG、Nemotron 3
后续行动：精读 Nemotron 3 技术报告；按分类更新研究知识图谱

15. UNH IR Lab — SIGIR 2026 / ACL 2026 RAG 评测系列

  • 来源：LinkedIn — Laura Dietz (UNH IR Lab)
  • 发布时间：2026 年 6 月
  • 可信度：⭐⭐⭐⭐⭐（SIGIR 2026 Full Paper + ACL 2026 Workshop，作者群为 RAG 评测领域核心研究者）

SIGIR 2026 论文： 1. Learning to Rank with Multi-Criteria LLM-Judge Annotations（Full Paper）— 多标准 LLM-Judge 排序 2. Auto-Judge（Resource Paper）— 面向引用 RAG 系统的 LLM Judge 横评基准 3. Too Many Questions（Short Paper）— Nugget Bank 精简与高效提取

ACL 2026 Workshop： - Sycophancy Negatively Affects LLM-as-a-Judge in Conflict Evaluation — LLM-as-Judge 的谄媚偏差在冲突评估中会系统性地给出错误判断

工程评价：

UNH IR Lab 是 RAG 评测领域最活跃的学术团队之一。Auto-Judge 基准对构建 RAG 评估流水线的团队有直接参考价值；Sycophancy 发现对依赖 LLM 自动评估的团队是重要的方法论警示——在有争议的问题上，LLM Judge 会倾向于给出"政治正确"而非准确的判断。

标签：RAG 评测、LLM Judge、SIGIR 2026、ACL 2026、Auto-Judge
后续行动：追踪 Auto-Judge 开源情况；补充至 RAG 评测主题页

🏷️ 本次新增标签汇总

agent-memory llm-agent context-engineering vector-search acl-access-control rag-security inference-attack www2026 disaggregated-serving wasm spinkube kubernetes fluid cncf neo4j context-graph multi-agent arxiv arxiv-memory arxiv-security sigir2026 acl2026 llm-judge nemotron3 raschka qdrant cloudnative serverless rust reproduction

📋 建议写入路径

分类 文件路径
DATABASE /shared/research-kb/inbox/jay/2026-06-30-agent-memory-arxiv-inference-attack-cloudnative.md（本文档）
主题页更新 research-kb/topics/agent-memory-systems.md（新增或更新）
主题页更新 research-kb/topics/rag-security.md（新增，条目 3 推理成本攻击）
主题页更新 research-kb/topics/vector-db-comparison.md（补充 Qdrant 定位差异）

✅ 精读 / 审稿 / 主题页更新建议

优先级 行动 原因
🔴 高 精读 arXiv:2606.02643（推理成本攻击） WWW 2026 论文，安全视角新颖，需原文核验
🔴 高 精读 arXiv:2606.24775（Agent-Native Memory 系统） 数据管理视角首次系统化定义 Agent Memory
🟡 中 追踪 Auto-Judge 开源（SIGIR 2026 Resource Paper） RAG 评测实践价值高
🟡 中 评估 SpinKube vs containerd-shim-wasm 对比 云原生 WASM 生产路径
🟢 低 更新向量数据库选型表（Qdrant vs pgvectorscale） 补充 Qdrant "搜索引擎"定位差异