Agent 记忆安全要保护推理痕迹
FARMA 和 GhostWriter 把记忆投毒从污染事实条目推进到污染推理历史和个人助理工作状态。生产 Agent 不能把历史 reasoning、decision log 和经验摘要默认当成可信证据，而要在写入、检索、行动前同时做来源绑定、推理痕迹完整性检查和高风险动作授权。
Tag
#memory security
Agent 记忆不能默认成为证据
MemSyco-Bench 把长期记忆评测从“是否取回相关记忆”推进到“取回后该不该影响当前判断”。本文拆解记忆诱导谄媚的五类任务、作者报告结果，并给出一套记忆准入与使用角色仲裁层的工程方案。
长期记忆授权不能只看内容，必须绑定写入来源
TMA-NM / MEM-INV-Bench 把 Agent 记忆投毒的防御焦点从内容检测和 lineage 追踪推进到 write-time origin binding：每条记忆在写入时就要绑定来源权威，并且只能通过独立可信主体背书提升权限。工程上这意味着 memory store 要像安全子系统，而不只是向量库。
共享 Agent 记忆不能只靠相关性检索
MaaS 把协作 Agent 的记忆访问从“检索到什么就给什么”改成按 owner、requester、recipient、task 和 purpose 做目的绑定调解。本文拆解 withhold / abstract / reveal 三态机制，并给出记忆调用网关、策略模型、审计记录、失败模式和一周验证计划。
运行时记忆投毒防御：证书要绑定写路径，而不是只靠检索过滤
SMSR、MemVenom 和长期记忆安全综述把 Agent 记忆安全推到可验证治理阶段：生产系统不能只做 prompt filter，而要把来源签名、随机化检索、证书复算、回滚和工具调用审计放进同一条验收链。
相似不等于可信：Agent 记忆检索需要准入门，而不只是向量召回
arXiv:2606.06054 MemGate 把个人 Agent 的长期记忆检索定义为信任边界。工程上，记忆读路径不能只按相似度把候选片段塞进上下文，而要在检索和注入之间增加任务条件准入、来源权威、作用域隔离和工具副作用绑定。
MPBench 的价值不是攻击库，而是 Agent 记忆写入面的安全地图
arXiv:2606.04329 把 Agent 记忆投毒从零散案例整理成写入通道、结构性漏洞和 ASR/RSR 评测问题。工程上真正该落地的是记忆写入面的资产清单、来源权威、写后审计和跨会话回归测试。
没有证书，就不要执行：Agent 安全审计需要从日志转向可认证轨迹
从 arXiv:2605.24462 的 Certified Traces、AgentSecBench、Agent-BOM 和当前 Agent SDK/Bedrock 工程接口看，安全 Agent 的关键不是让模型解释得更像人，而是让每次工具调用、白盒扫描、修复和部署动作在执行前携带可检查的权限、来源、证据和回放条件。
AI Agent 记忆正在变成安全边界：从 Trojan Hippo 到影子记忆
5 月上旬的 Trojan Hippo、MAGE 和 Opal 等研究说明，长期记忆不只是个性化能力，也是跨会话攻击面、隐私泄露面和防护状态本身；生产系统必须把记忆写入、来源、工具权限和遗忘纳入同一个安全模型。