记忆的安全与合规：最小化、分级、可审计、可遗忘

长期记忆的风险，不在于“模型会不会泄露”，而在于：你把什么写进了持久化系统，以及谁能读、谁能改、改了能不能追溯。

TL;DR

• 先做数据最小化：默认不记忆，只对白名单字段写入；敏感信息尽量不落库。
• 权限分级与隔离要落到数据层：user/org/project/session 的 scope 清晰可控。
• 记忆必须可审计与可回滚：因为记忆投毒一旦发生，会跨会话持续影响[1]。

1. 威胁模型：长期记忆为什么更危险

长期记忆有三个特征，让它比“单次上下文”更危险：

1. 可写：写入点越多，攻击面越大（用户输入、工具输出、外部网页、导入文档）。
2. 可持久：一次污染会在未来多次被复用。
3. 可联动：记忆会影响工具调用与行动选择，导致“说错 + 做错”。

OWASP 的 Agent Memory Guard 项目就把“可写且跨会话持久”的 agent memory 视为高价值攻击面，并提出运行时检测、策略与快照回滚[1]。

2. 数据最小化：先回答“必须记什么”

建议把“记忆写入”当成敏感操作，做到：

• 默认不记：只有触发明确规则才写入
• 字段白名单：只允许写入 Profile/Preference/Facts 中明确字段
• 证据指针：事实类记忆必须带来源（链接/文档ID/审批记录）

对于敏感信息（PII、密钥、医疗/财务数据）：

• 能不落库就不落库
• 必须落库则加密/脱敏，并提供“可删除”与“可导出”

社区也在推动“加密记忆模块”的实践：例如 LangChain 社区讨论了对 Redis/Mongo 等 memory backend 做透明加密的方案，以便在处理 PII 时更容易满足生产要求[2]。

3. 分级与隔离：让“谁能看”变成可验证规则

建议至少做四级 scope：

• user：仅用户本人可读写
• org：组织共享，但按角色可见
• project：项目级共享，适合团队协作
• session/thread：仅用于短期上下文

工程上要避免“看起来隔离，实际共享底层索引”的情况：权限必须在存储/检索层强制执行，而不是靠前端隐藏。

4. 审计、回滚与完整性校验

当你承认“记忆会错”，就需要把错误变成可控成本：

• 审计：谁在什么时候写入了什么、依据是什么
• 回滚：能回到某个已知良好版本
• 完整性校验：关键字段变更要有基线校验与报警

这些能力在安全工具里被明确提出：Agent Memory Guard 强调用 hash 基线做完整性验证、检测异常变化并保留快照用于取证与回滚[1]。

5. 供应链与分发：Skill/工具比你想象的更像依赖

如果你的记忆读写通过工具/skill 完成，那么供应链就是风险放大器：

• 一个恶意 skill 可以写入“看似合理但有害”的长期记忆
• 一个被投毒的 MCP server 可以在工具输出里夹带注入内容

因此，工具分发与信任成为 MCP 生态近期讨论重点之一。mpak 作为“安全 MCP registry”的思路之一，强调打包、扫描、能力声明与信任框架[3]。

6. 生产落地清单（最小闭环）

1. 写入白名单：只有显式偏好与可验证事实可写入
2. scope 隔离：默认 user/project，不跨域
3. 敏感治理：脱敏/加密/最小化
4. 删除能力：用户可查可删可导出
5. 审计回滚：事件流、版本、快照
6. 安全回归：投毒样本回归、注入样本回归

近30天动态（节选）

• MCP 生态开始强调“默认安全”：Azure MCP Server 的变更日志里多次出现与安全/PII-safe telemetry/CORS 等相关的改动，反映企业落地的真实需求。更多见：近30天动态总览

参考与延伸阅读

• [1] OWASP：Agent Memory Guard https://owasp.org/www-project-agent-memory-guard/
• [2] LangChain Forum：Encrypted Memory Modules proposal https://forum.langchain.com/t/proposal-encrypted-memory-modules-for-langchain-redis-mongodb/2849
• [3] mpak：The Secure MCP Server Registry（供应链与扫描）https://nimblebrain.ai/blog/mpak-secure-mcp-server-registry/
• [4] Azure MCP Server CHANGELOG（安全与遥测相关变更线索）https://github.com/microsoft/mcp/blob/main/servers/Azure.Mcp.Server/CHANGELOG.md
• [5] mguard（Memory defense for AI agents）https://www.github.com/mguard-ai/mguard