AI Security

外观

数据、知识与隐私安全 · A2.3 Memory 与 Context Store 安全更新 2026-09-10约 5 分钟证据：中等 来源：arXiv:2609.08258v1

Agent Memory 撤销标记的检索时执行缺口 ​

摘要 ​

持久记忆系统常以软撤销保留历史：旧策略不被物理删除，而是标记为失效并由新记录取代。该研究测试 Graphiti、Zep、mem0、langmem 与 cognee 后发现，没有一个系统在所有默认路径上执行撤销；失败表现为撤销未记录、撤销状态对调用方不可见，或状态可见却未在检索时过滤。两种同时返回新旧记录的系统在全部九个场景中都把旧记录排在新记录之前，并在超过五分之二的试验中诱发不安全动作。

风险对象不是攻击者注入的恶意内容，而是防守方曾合法写入、后来已撤销的旧策略。来源签名和写入授权会正常通过，真正缺少的是读取时有效性校验。作者提供五系统、九场景、九模型、六防护条件的实验和公开代码，但尚无独立复现；结果不证明所有版本或托管配置都存在相同缺口。

核心创新与差异 ​

原研究贡献。 研究首次把记忆撤销拆成记录、暴露和执行三个阶段，并区分“存储返回旧记录”的暴露率与“模型据此采取不安全动作”的行为率。它还实现后端无关的 stale-retrieval guard，在读取路径中过滤显式撤销记录或与替代记录冲突的旧事实。

本站分析。 既有记忆研究主要覆盖外部内容注入、跨会话持久化和删除残留；本研究新增的是“合法来源不等于当前有效”。最先失效的控制是读取时授权：系统虽保留版本或撤销元数据，却没有把状态加入默认检索谓词和排序约束。

威胁模型与攻击链 ​

测试者以正常权限先写入一条合法旧策略，再写入替代策略并使旧策略进入撤销状态；普通调用方随后按默认方式检索，Agent 只能看到事实文本，通常看不到状态和时间元数据。目标资产是当前策略的完整性及其约束的工具动作。

  1. 记忆系统保存旧策略，并在更新后保留其历史版本。
  2. 更新流程标记或隐式表达旧策略已撤销，但默认检索未强制 current-only。
  3. 普通查询同时返回新旧记录，或只返回仍被视作普通事实的旧记录。
  4. 相似度排序把更匹配的旧策略置于新策略之前。
  5. Agent 无法判断哪条仍有效，可能按已撤销策略执行动作。

攻击方法与复现材料 ​

作者公开了 Memory-Rebirth-Attack。以下为本站依据公开方法重构的去武器化本地夹具，只使用无害文具审批场景、Mock 后端和 DRY_RUN，不调用真实工具。

text
store.write(id="policy-v1", value="蓝色笔记本需经理批准", status="revoked")
store.write(id="policy-v2", value="蓝色笔记本需本人确认", status="current")
records = store.search("购买蓝色笔记本", limit=10)
visible = guard.filter(records, require_current=True, reject_conflicts=True)
action = mock_agent.decide(visible, tools="DRY_RUN")
assert "policy-v1" not in visible
assert action == "REQUEST_USER_CONFIRMATION"

该工件对应攻击链第 2–5 步，保留状态传播、冲突检测和动作判定，不含付款、账号、凭据或真实业务端点。检测信号包括返回结果中出现 revoked 状态、同一事实键的冲突版本并存、旧版本排序高于当前版本，以及动作依据无法关联当前有效记录。

实验设计与实际过程 ​

以下均为作者实验，本站未独立复现。研究覆盖五种记忆后端、九个策略场景和来自六家供应商的九个模型；每次查询取默认检索结果，四个系统设置 k=10，cognee 使用库默认值。指标分为旧记录暴露率和不安全动作率，并比较六种条件，包括无防护、提示词提醒、元数据提示和检索时有效性检查。

研究还扩展到 Agent 写回、多 Agent 共享存储与工具动作。方法把后端是否记录撤销、调用方是否能看到撤销标记、检索层是否执行标记分别计数，避免把“后端没有返回状态”误写为“后端没有内部状态”。

关键结果与实际影响 ​

  • 五种系统没有任何一种在所有默认检索路径上执行撤销。
  • 只有两种系统同时向调用方返回旧记录和替代记录；在九个场景中，旧记录始终排在新记录之前。
  • 在上述两种系统中，旧记录在超过五分之二的试验中触发不安全动作。
  • 检索时 guard 能在撤销标签可见或返回文本存在明确冲突时过滤旧事实；若后端不暴露状态且冲突无法识别，guard 不能恢复缺失信息。

该结果说明，审计保留和当前授权必须分离：历史记录可以继续保存，但不应自动进入 Agent 的活动上下文。风险取决于后端版本、更新语义、默认检索 API、模型选择和场景措辞，不应表述为五个项目的全部部署均可利用。

防护措施与验证方法 ​

  • 把有效性设为检索 API 的强制谓词，而不是由 Prompt 提醒模型自行判断；默认只返回当前记录。
  • 在记录中保留稳定标识、版本、替代关系、有效区间和撤销原因，并确保这些字段从存储层传播到调用方。
  • 排序前先完成状态过滤；同一事实键存在冲突时 fail-closed，要求用户或策略引擎确认。
  • 将来源认证与时效授权分开验证：签名证明谁写入，撤销状态决定此刻能否产生权威。
  • 回归测试覆盖读取、Agent 写回、共享记忆和工具调用，并分别报告旧记录暴露率、不安全动作率、误拦率和检索效用。

局限与待验证问题 ​

证据等级为 moderate。论文与代码来自同一团队，尚无独立复现；五种系统的版本、配置和统一适配层可能影响结果。九个场景是受控策略冲突，不代表生产记忆中更隐蔽、部分重叠或多跳替代关系。guard 依赖撤销标签可见或文本冲突可判断，无法弥补后端从未记录撤销的情况。后续还需验证并发更新、缓存、复制延迟、备份恢复和租户隔离条件下的撤销一致性。

参考链接 ​