AI 越来越像"贴心秘书"，可没人给它的"记事本"立规矩——直到这篇综述把它拽回学术语言
- 关联论文：2604.16548
你有没有这种感觉——ChatGPT 现在能"记住"你昨天说过的话，能从你上周的项目里抽出上下文，能在你下次开会时主动提示"上次你说要 follow-up 那件事"。
越来越像真人秘书了对吧？
可问题是：这个"记事本"从来没被严肃地审计过。它写进去的东西谁都能进、谁都能看、被污染了怎么办、被覆盖了能不能回滚、被错误地记住了能不能"删除"——所有这些"安全基本功"，主流 Agent 框架一个都没做。
最近 arXiv 上的 2604.16548（MemTensor + 上海交大，2026-06-11 v2），是第一篇把"持久记忆"当独立安全底座来梳理的综述。它提出一个 Memory Lifecycle Framework（六阶段 × 四安全目标）作为分类骨架，并把"治理（governance）"从一句口号转化为带谓词、带 ε 上界、带依赖塔的五大架构原语。
简单说：它给"AI 秘书的记事本"画出了第一张合规蓝图。
传统 AI 安全为什么"看不见"这种攻击
过去两年，AI 安全的论文主要盯着两件事：
- 模型权重里的知识（训练数据投毒、模型抽取）
- 单轮 / 多轮 prompt 注入（"忽略之前所有指令，做这件事"）
但当 Agent 有了持久、可写、跨会话的长期记忆（profile、episodic log、refined lesson、跨 Agent 共享 store），传统防御在三个维度上全面失效：
- Persistence（持久性）：一条被污染的记忆条目可以在原 context 早已关闭后，在未来任意会话里被重新拉回上下文——你下次问 AI 一个毫不相关的问题，它会"想起"被污染的内容。
- Statefulness（状态性）：分析单元从"单条输入"迁移到"Agent 不断演化的记忆状态"——许多细微偏置累积足够多后，Agent 会出现行为漂移，远早于任何单条记忆触发传统 safety classifier。
- Propagation（传播性）：在多 Agent 与共享 state 系统中，污染会沿 inter-agent message、shared store、tool argument 横向扩散，跨 session / role / user 边界逃逸。
论文里最震撼的一组数字是：单条对抗输入经 pairwise exchange 可扩散到约 100 万 multimodal agents（这是 Gu and others 的估算，方向可信，落地不应作为精确数字引用）。
一句话总结:这篇综述做对了什么
它把"AI 秘书记事本"的安全问题拆成六个生命周期阶段 × 四个安全目标的矩阵：
- 六个阶段：Write（写）→ Store（存）→ Retrieve（取）→ Execute（用）→ Share & Propagate（传）→ Forget & Rollback（忘 & 滚）
- 四个目标：Integrity（完整性）/ Confidentiality（机密性）/ Availability（可用性）/ Governance（治理）
然后它沿这条生命周期，梳理了完整的攻击-防御图谱——揭示"何时下毒→如何活下来→何时被激活→如何劫持行为→如何传播→如何逃逸清理"的端到端链。
最核心的洞察：单轮检测看不见链的两端——攻击在 Web 浏览时被埋下、在几天后的新会话中以新任务形态被激活。任何"一次性检测"的方案都注定漏掉。
五大原语:把"治理"从口号变成可审计的系统属性
论文最大的贡献是把"治理"从一句口号上升为带谓词、带 ε 上界、带 design pre-order 的形式化框架。五大原语：
- WA — Write Authorization（写授权）：每条记忆必须可归属到经过身份认证的源主体，并在合并前通过显式写授权检查。
- PV — Provenance Visibility（溯源可见）：每条记忆必须携带可查询、lineage-complete 的 provenance 记录，能向前追到原始 write event，并能穿过 summarization / merging / distillation。
- PS — Principal-Scoped Retrieval（主体范围检索）：检索函数必须严格限制"哪些记忆能被当前用户读到"，不能靠 embedding 相似度做隔离。
- RB — Rollbackability（可回滚）：系统必须能通过版本化快照与 write log 任意 t0<t 时刻还原 M_t0。
- VF — Verified Forgetting（可验证遗忘）：删除操作后，剩余 store 通过探测 query 重新暴露已删内容的概率 ≤ ε。
关键诊断：论文给出一个"依赖塔"判断——VF ⪯ RB ⪯ PV ⪯ WA。这意味着：
- 实现 verified forgetting 的前置是 rollbackability
- 实现 rollbackability 的前置是 provenance visibility
- 实现 provenance visibility 的前置是 write authorization
PS 与此链正交，但任何跨主体机密性主张都依赖 PS。
目前已发表的 LTM 架构中，PV 仍非常稀少——这意味着更高阶原语（RB / VF）的架构前提尚未建立，近期工程重点应当放在"先把溯源基础设施打牢"，而不是去追逐缺乏前提的 RB/VF 顶层能力。
攻击有多猛?几个数字给你直观感受
论文（§3）转引的代表性工作：
- AgentPoison：<0.1% 投毒率、≥80% 攻击成功率（训练语料里掺一点点毒数据，就能拿下 8 成 Agent）
- InjecMEM：在 MemoryOS 上 ASR 达 76.6%（单次交互级，门槛更低）
- eTAMP：8× frustration amplification（攻击者完全不需要和 Agent 交互，只需污染 Agent 浏览到的网页）
- MINJA：仅通过查询就让 Agent 自我产出恶意 memory
- MCFA：检索记忆可覆盖用户显式指令——Agent"想起"一条足够显眼的记忆后，可能直接违反你的明确指令去调用工具
- 传播规模：单条对抗输入经 pairwise exchange 可扩散到约 100 万 multimodal agents
主流框架的体检结果:全部不及格
论文给出了一个令人警醒的对照表——主流 LTM 框架（LangChain ConversationBufferMemory、Mem0、Letta）在 VMG 五原语上的覆盖情况：
| 原语 | LangChain | Mem0 | Letta |
|---|---|---|---|
| WA | ✗ | 部分（API key 认证） | 部分（session-level） |
| PV | ✗ | ✗ | ✗ |
| PS | ✗ | ✗ | ✗ |
| RB | ✗ | ✗ | 部分（snapshot） |
| VF | ✗ | ✗ | ✗ |
结论：主流框架目前全部处于"WA 未建立"阶段——也就是说，你正在用的 Agent 框架，溯源能力几乎为零。
这不是批评 LangChain / Mem0 / Letta——是整个行业还没意识到这个问题的重要性。这篇综述的最大价值，就是把"为什么需要 WA / PV / PS / RB / VF"这五件事说清楚了。
谁应该读这篇
- Agent 安全 / 红蓝队：要把"记忆"从 prompt 层下移到状态层的视角——传统的 prompt 注入检测在 LTM 面前几乎全部失效。
- Agent 平台架构师 / 工程 SRE：建立可审计、可回滚、可遗忘的 LTM 后端的依据。
- LLM 应用开发者：如果你开发的 Agent 突然"性格变了"或者"回答得越来越怪"——答案常在持久记忆里。
- 法学 / 政策研究者：privacy / right-to-be-forgotten 在 Agent 时代对应到 VF 谓词。
- 学术研究者：寻找可发力的方向（跨 session 污染检测、share-time anomaly、forget-time 残留验证）。
- 不太适合：纯做模型权重的安全研究者（本文不覆盖训练数据 / 模型权重侧）。
现实里它也不是"开箱即用"
- 综述性质：作者自身没有自建统一 benchmark 复现所有原工作。
- 攻防覆盖度严重失衡：Store / Share / Forget 阶段防御稀少——这既是机会也意味着没有现成 baseline。
- 术语偏学术（如"lineage-based deletion"、"design pre-order"），落地到生产级 LangChain / Mem0 / Letta 等主流 memory 框架还需额外映射工作。
- 没有提供可下载 artifact / 代码 / 数据集（原文未明确指向任何 repo）。
- ε 取值无经验区间：如何选定 ε、跨场景如何比较 ε，论文仅在形式层做定义。
一句话总结
"AI 秘书"的记事本一直没人管。这篇综述第一次把"持久记忆"作为独立安全底座来梳理，把"治理"从口号升级为带谓词、带 ε 上界、带依赖塔的形式化框架。
它在做的是：给所有 Agent 框架的"记忆系统"画出一张合规蓝图，并指明"先建 WA、再建 PV、再建 RB、最后建 VF"的工程顺序——搞反顺序就会白做。
如果你在做 Agent 产品、做 LLM 应用、或者在评估"AI 秘书能放心用吗"这件事，这是 2026 年最值得精读的安全综述之一。
三个标题变体
- AI 越来越像"贴心秘书"，可没人给它的"记事本"立规矩——直到这篇综述
- 当 ChatGPT "记住"你所有对话：你的 Agent 框架溯源能力几乎为零，这篇论文把原因说穿了
- 为什么 AI "性格突变"总是查不到原因？答案藏在它的长期记忆里，而主流框架一个都没审计
小红书风格卡片文案（可直接发布）
🤖 ChatGPT 越来越像"贴心秘书"了——可你确定它的"记事本"安全吗？🤖
它能"记住"你昨天说过的话 能从你上周的项目里抽上下文 能主动提示"上次你说要 follow-up 那件事"
✨ 越来越像真人秘书了对吧？
可问题是：这个"记事本"从来没被严肃审计过 💀
它写进去的东西谁都能进、谁都能看、被污染了怎么办、被错误记住了能不能"删除"—— 所有这些安全基本功，主流 Agent 框架一个都没做 😩
最近 arXiv 2604.16548（MemTensor + 上海交大）把这件事一次性说破了 ✨
核心发现： 🔥 攻击可以"沉睡式"植入：污染发生在你浏览网页时，几天后新会话才被激活 🔥 单条毒记忆可覆盖你的明确指令：Agent"想起"一条显眼记忆后，可能直接违反你的指令 🔥 单条对抗输入可扩散到约 100 万 multimodal agents 🔥 主流框架（LangChain / Mem0 / Letta）溯源能力几乎为零
它提出的五大原语（WA / PV / PS / RB / VF）第一次把"治理"从口号变成可审计的系统属性——并明确指出"先建 WA、再建 PV、再建 RB、最后建 VF"的工程顺序 🔒
搞反顺序就会白做——这是所有 Agent 产品经理 / 架构师 / 安全工程师必读的一份安全蓝图 📋
📎 论文 ID：2604.16548 💬 评论区聊聊：你觉得 AI 长期记忆应该"被审计"吗？你信任现在的 Agent 框架吗？