赛事详情

删了聊天记录，AI就真能忘掉你的秘密吗？港科广、中科大等推出MEMCUT，揭开Agent记忆“表面失忆”假象

长期记忆已演变为大型语言模型智能体的核心功能模块。然而，目前该领域的探索几乎全部聚焦于“如何更精准、高效地检索与召回信息”，却忽略了另一个关键维度：当用户基于隐私或合规需求（例如《通用数据保护条例》中的“被遗忘权”），要求智能体遗忘某项敏感内容（如医疗诊断结果、未对外公布的商业并购计划）时，记忆系统能否切实彻底地将其抹除？

在长期的交互过程中，即便用户让系统删除直接提及秘密的句子（即披露内容），散落在数周日常对话里的订票记录、办公地点、日程安排或人际关系等看似普通的记录，依然会构成一条隐式的“证据链”。将这些碎片信息拼接起来，原本的秘密依然能被轻易推断出来。更令人担忧的是，有时智能体表面上回答不出问题，仅仅是因为其内置的检索器遗漏了部分线索，而非底层数据真正被清除。

为了应对用户请求式遗忘的评估难题，香港科技大学（广州）联合中国科学技术大学、香港科技大学的研究团队构建了全新的高质量评估基准MEMCUT，并提出了区分“表面检索不到”与“底层证据可还原”的双重评估指标。

论文链接：https://arxiv.org/pdf/2610.21405

在涵盖5种主流记忆架构与4个大模型的全面评测中，他们发现：仅删除直接记录后，底层残余证据的秘密恢复率仍可达到85%至99%；即便引入大语言模型辅助清理关联记录，仍有39%至76%的秘密可被推导还原，并精准定位出“候选池检索覆盖率不足”是制约当前系统实现真正遗忘的核心瓶颈。

图｜删除直接披露后，日常记录依然暴露秘密

MEMCUT首次系统性地揭示了智能体长期记忆在隐私删除上的“表面失忆”假象，将评估维度从单纯的“直接记忆召回”推进到了“多跳隐式证据链的可推导性”。这项工作不仅为构建可信、合规的隐私保护型智能体提供了标准化的诊断工具与测试平台，也为设计专门的记忆擦除机制指明了核心突破口。

一、研究方法

为严格测试“删除是否等于遗忘”，他们从基准构建、评估指标设计和统一清理协议三个维度展开了设计。

1.高质量基准构建：MEMCUT的精巧设计

MEMCUT摒弃了完全依赖大模型凭空生成事实的做法，采用“全人工逻辑设计 + 模型润色成文 + 人工逐句严审”的流程，每个长场景至少耗费12小时进行打磨。基准包含15个跨越1至3个月的多会话日常与工作场景，共490个会话、43402轮对话、约174万token，平均每个场景包含2893轮对话，保护了共计456个敏感秘密。

对于每个秘密，他们不仅标注了直接点明秘密的披露轮次，还精细设计了平均8.1条分散在8个不同会话中的隐式证据，以及26.6条高混淆度的同话题干扰项。单个证据本身毫无泄密风险，但组合起来即可推导出秘密——每个秘密平均包含15.7组极小充分集。要彻底遗忘一个秘密，删除集合必须斩断每一个充分集，即形成一个“割集”，而平均最小割集仅需删除3.04轮证据。

这些证据链全面覆盖了日常信息泄露的四种逻辑：事实拼接，把同一实体的不同属性拼合起来；关系链，跨实体多跳连接；数值汇总，对多笔数值或频次累加计算；时间与状态推理，追踪按时间线演进的状态更新。

图｜MEMCUT样本结构与删除评测流程

2.双重恢复指标与“隐蔽风险”

当删除操作执行后，他们使用包含“拒绝回答”选项的四选一问题来测试，需在两种随机选项顺序下均答对才算恢复，排除了瞎猜的可能——无记忆时盲猜的恢复率为0。原生恢复率通过记忆系统自带的检索器去检索上下文并回答问题，衡量智能体在日常交互中表面上还会暴露多少秘密。残余恢复率则跳过检索器，直接将记忆库中所有存活的、源自该秘密披露或证据的记忆对象提供给阅读模型，衡量底层存储的残余数据在多大程度上仍支持还原秘密。

在此基础上，他们定义了隐蔽风险占比，用于量化那些“底层其实还能推导出来，但因为系统自身检索器没召回而看似被遗忘”的隐蔽风险比例。

3.统一测试框架与三种参考删除基线

不同记忆系统存储的粒度各异，有的存单轮对话，有的存整段会话，有的存总结摘要。为此，他们将所有操作锚定到源对话轮次，通过快照差分追踪每个衍生记忆对象的来源，并执行闭包删除——只要删除某一轮次，所有由它衍生或汇总出的记忆对象一并清除。

在此基础上，他们评估了复用现有检索与读写组件的三种删除基线。S0仅删除直接说出秘密的轮次及其衍生对象。S1在S0基础上，将用户的自然语言删除请求输入系统检索器，获取Top-20候选轮次池，直接删除排名前10的轮次。S2同样在S0基础上，让大模型根据存储文本对Top-20候选轮次进行相关性打分重排，挑选得分最高的10轮进行删除。

二、研究结果

他们在5种代表性记忆架构——2种原文检索库与3种带不同程度总结演化的记忆系统，以及4个主流大模型构成的20种组合上进行了全面实验。

1.各记忆系统与模型的恢复结果

恢复结果显示，清理后仍可恢复的秘密在两类原文检索库中都大量存在。以LLM引导清理为例，Turn RAG的残余恢复率为41.4%至45.6%，Session RAG为54.2%至64.3%；与此同时，两者的原生恢复率分别只有7.5%至10.7%和4.2%至10.7%。这些配置不依赖衍生总结，说明仅凭存活的原始对话，仍然可能推导出系统表面上已答不出的秘密。

表｜两个检索库的恢复结果

下表展示了不同记忆组织方式的差异。在相同的LLM引导清理方案下，MemoryBank、Nemori和LightMem的残余恢复率分别为71.7%至76.3%、52.4%至57.2%和39.3%至43.0%。同一系统在四个写入模型之间的差距约为4至5个百分点，而系统之间的差异更大。这一结果提示，评估遗忘能力时，需要同时考察记忆组织、候选检索与删除选择，而不能只看使用了哪个大模型。

表｜三个记忆系统的恢复结果

2.删除直接消息只是“掩耳盗铃”

实验显示，仅删除直接披露消息时，各系统的原生恢复率大幅下降了12至50个百分点，从外部提问来看，智能体似乎已经“忘掉”了不少事实。然而，此时的残余恢复率依然高达85%至99%！这是因为仅有1.8%的隐式证据与直接披露处于同一会话，绝大多数间接线索依然无损。

图｜“表面失忆”背后的残留风险

上图把“表面失忆”与进一步清理后的残留风险放在了一起：横轴看仅删直接披露后，系统自己还能答出多少秘密；纵轴看采用更强的LLM引导清理后，底层证据还能还原多少秘密。两轴对应不同的删除阶段，却指向同一个问题：系统回答得越来越少，并不代表底层线索已经被清除干净。即便继续清理关联记录，散落在记忆中的证据仍可能拼回原本的秘密。

3.删除反而推高“隐蔽风险”

当使用检索排名清理额外删除10轮记录后，残余恢复率依然停留在48%至86%。即便升级为更强的LLM引导清理，虽然相比检索排名清理进一步降低了7至17个百分点的恢复率，但跨所有配置的残余恢复率仍然高达39%至76%；其中在无衍生总结的Turn RAG中仍有41%至46%存活，排除总结残留因素后依然无法彻底遗忘。

更值得警惕的是，随着清理从Full推进到LLM引导清理，所有20个配置的隐蔽风险占比不降反升，在14个配置中超过50%，Turn RAG与Session RAG甚至高达76%至92%。这意味着越是通过现有检索器去删，剩下的证据越容易躲过常规提问，给用户造成“已经彻底删干净”的虚假安全感。

图｜LLM引导清理后，关系链的隐蔽风险占比仍然居高不下

进一步按推导类型拆开来看，最容易被“藏起来”的是关系链。在上图中，代表关系链的紫色柱在四种系统中都超过了80%，其中Turn RAG和MemoryBank更达到90.3%和93.7%。也就是说，即便经过LLM引导清理，那些仍能从底层证据还原的关系链秘密，绝大多数也不会在常规提问中暴露。可恢复的秘密虽然减少了，剩下的风险却更加隐蔽——这正是“看起来删干净了”最容易让人放松警惕的地方。

4.为什么遗忘会失败？

为什么给了充足的10轮删除预算，秘密还是删不掉？他们在144个秘密子集上对候选池大小和删除预算进行了控制变量扫描分析。结果发现，盲目增加删除预算收效很小：当固定候选池为20轮时，即便把删除预算从10轮拉满到20轮，残余恢复率相比LLM引导清理最多仅下降6.5个百分点，且平白增加了近10轮无关对话的误删。相反，扩大候选池效果显著：保持10轮删除预算不变，将候选池从20扩大到60，LLM引导清理的残余恢复率大幅降低了12.5至23.9个百分点，同时还减少了无关轮次的误删。

在全部132组扫描设置中，残余恢复率与实际成功删掉的证据轮次数k呈现出极强的线性关系。由于大小20的候选池平均只能召回不到一半的证据，基于语义相似度的检索器根本“够不着”那些措辞不同但逻辑相关的隐式证据，这正是限制遗忘效果的决定性瓶颈。

图｜候选池扫描与删除预算扫描对比

5.记忆粒度、衍生强度与推导类型的深层规律

从检索粒度看，Session RAG按整段会话检索，单次检索混入了大量无关对话，不仅删除前原生恢复率低，清理时候选池也被严重稀释，导致其清理后残余恢复率比Turn RAG高出10至23个百分点，隐蔽风险也最高。从衍生总结看，更强的总结重写由于在生成摘要时将多轮碎片融合到了一起，使得删除前后的线索更容易被常规检索发现，并且在闭包删除时更容易被连带清除；而仅按单轮检索的MemoryBank清理后残余恢复率最高，隐蔽风险高达78%至82%。

在四种推导类型中，关系链最难被遗忘。它虽然理论上最好切，但在清理后却保留了最高的残余恢复率和最高的隐蔽风险。原因在于关系链的证据通过实体跨话题桥接，与用户删除请求的表面措辞几乎无重合，导致向量相似度检索失效。

图｜关系链秘密在LLM引导清理下的案例

这也启发未来的记忆系统可通过实体扩展追踪一跳关联记录，从而突破单纯语义检索的盲区，实现完整的证据链切割。当然，这项研究也存在一些局限性，主要包括以下三个方面：受控评测、参考基线、研究范围。受控构建使他们能够在固定标注下，比较候选覆盖范围、删除选择以及残留信息的恢复情况。他们的参考基线通过统一的删除流程，复用现有的检索和写入组件。他们此次研究的是文本记忆，多模态记忆和参数化记忆不在本文范围之内。

本文来自微信公众号“学术头条”，作者：学术头条，36氪经授权发布。如果想了解更详细的内容，可以前往九游娱乐入口查看更多相关信息。