MemoryDojo：LLM智能体记忆投毒基准测试

记忆系统：智能体的双刃剑

大型语言模型（LLM）智能体通过记忆系统在长周期、多会话任务中显著提升表现。它们能记住过往交互，避免重复错误，并保持上下文连贯。然而，这种能力也引入了一个关键攻击面：恶意指令可能在某个会话中被存入记忆，并在后续会话中被检索和执行，形成跨会话的投毒传播。

不同记忆系统在处理和检索信息的方式上存在差异，导致投毒的下游影响千差万别。为了量化这些影响，研究者推出了 MemoryDojo——一个用于追踪有毒信息在智能体记忆中的生命周期，并测量其对后续行为影响的基准测试。

MemoryDojo：设计思路与构成

MemoryDojo 的核心目标是系统化评估记忆投毒效应。它具备易扩展性，包含 155 条多会话长周期轨迹，覆盖 四个领域，并支持 五种不同的记忆系统。通过在这些轨迹中注入恶意指令，研究者能够观察有毒信息如何被存储、检索并影响智能体的决策。

该基准的独特之处在于其跨架构对比能力。由于不同记忆系统（如基于向量检索、基于摘要、基于图结构等）的存储和检索机制不同，投毒的效果也会出现显著差异。MemoryDojo 为这些差异提供了可量化的测量框架。

记忆系统是 LLM 智能体在长周期任务中维持状态的核心组件，常见实现包括：基于向量数据库的语义检索（将对话嵌入后按相似度召回）、基于摘要的压缩存储（用 LLM 定期总结历史）、基于图结构的知识图谱（以实体关系组织记忆），以及混合式架构。不同系统在存储粒度、检索策略和遗忘机制上差异显著，这直接决定了恶意指令被写入后是否会被激活。理解这些底层机制，有助于解释为何同一投毒样本在不同架构下表现出截然不同的传播路径和危害程度。

所有记忆系统均易受攻击

评估结果揭示了一个令人警觉的事实：所有测试的记忆系统都容易受到记忆投毒攻击，但下游影响的程度存在巨大差异。某些系统可能快速传播恶意指令，而另一些系统则可能因检索机制的过滤作用而减弱影响。这种差异凸显了记忆架构设计在安全防护中的重要性。

研究者进一步提出了一种 记忆感知的投毒优化过程，能够提升投毒效率，并进一步放大了不同记忆架构之间的差异。这表明攻击者可以针对特定记忆系统定制攻击策略，从而绕过某些防御机制。

记忆投毒属于数据投毒攻击的一种变体，其攻击面从训练数据转移到了智能体的运行时记忆。攻击者无需接触模型权重，只需在正常交互中植入看似无害但包含恶意指令的文本（如“以后遇到 X 情况时执行 Y”），等待系统将其存入长期记忆并在后续会话中检索执行。与提示注入相比，记忆投毒具有持久性和跨会话传播性，且可能通过智能体的自我反思或摘要机制被进一步放大。防御难点在于：记忆内容天然被视为可信上下文，检索过程缺乏来源验证与信任分级。

对智能体安全的启示

MemoryDojo 的推出为理解和缓解智能体记忆风险提供了重要工具。随着 LLM 智能体在自动化任务、个人助理等场景中的广泛应用，记忆投毒可能成为现实威胁。例如，攻击者可能在一次对话中植入恶意指令，诱导智能体在后续会话中泄露敏感信息或执行危险操作。

该基准测试鼓励更多研究关注记忆系统的安全设计。未来，我们可能需要开发能够检测和隔离有毒记忆的机制，或者设计对投毒更鲁棒的检索策略。MemoryDojo 的开源和可扩展性将加速这一领域的探索。

结语

MemoryDojo 不仅是一个基准测试，更是对智能体记忆安全的一次系统性审视。它提醒我们，在追求智能体长期记忆能力的同时，必须警惕随之而来的攻击面。通过跨架构的量化比较，研究者能够更清晰地理解不同记忆系统的脆弱性，从而推动更安全的智能体设计。