State-Drift：AI Agent记忆过时为何成为新安全盲区

AI Agent的记忆系统可能正在悄悄失效——问题不在于检索不到信息，而在于检索到的信息已经不再为真。这种被称为"state-drift"的现象，正在成为Agent可靠性乃至安全性的核心挑战。

什么是State-Drift

据botzr.com的分析，state-drift描述的是这样一个场景：Agent的记忆系统在某个时间点记录了部署目标，几个月后目标发生了变更，但系统仍然以完全置信度检索并执行旧记录。检索管道本身没有出错，变化的是世界——存储的信念已经不再为真。

这个定义的关键在于时间维度上的错位：事实在世界中已经改变，系统的存储状态却未能同步更新。它不同于模型层面的数据漂移或概念漂移——后者关注输入分布的变化，可被可观测性工具检测和告警；而state-drift关乎的是存储信念的过期问题，即使输入完全处于分布内，解读这些输入的"记忆"也可能已经过时。

数据漂移与概念漂移是机器学习运维（MLOps）中的经典概念。数据漂移（data drift，又称协变量偏移）指模型输入特征的分布随时间发生变化，例如用户在节假日的消费行为与平日显著不同；概念漂移（concept drift）指输入与标签之间的映射关系发生改变，例如某种欺诈手法被识别后，攻击者转向新的模式，使旧模型学到的规律失效。二者的共同点在于，变化都发生在模型的输入—输出映射层面，因此可以通过监控预测分布、特征统计量或精度指标的波动来检测和告警。State-drift的差异在于，模型本身和输入分布都可能是稳定的，真正失效的是Agent外部存储中作为前提的信念，这使得它天然逃逸于传统可观测性体系之外。

现有研究揭示了什么

两篇论文提供了关键的量化证据。据STALE（arXiv:2605.06527）的研究，该团队构建了400个经过专家验证的冲突场景，测试LLM Agent能否识别自身记忆已失效。最强的前沿模型整体准确率仅为55.2%，而多数专用记忆框架的得分低于10%。该论文的核心观察是：检索并非瓶颈，基于检索结果采取行动才是。

据ForgetEval（arXiv:2606.15903）对13种Agent记忆配置的研究，两个结果值得关注。其一，生产环境中的故障主要是"遗忘类故障"——已轮换的凭证仍被推荐、已删除的记录仍然浮现。其二，当领先记忆系统在由非作者本人编写的测试用例上评分时，内部测试63%-68%的分数骤降至28%-33%。这个落差指向一个尖锐的问题：测试用例由谁编写，直接影响评估结果。

从可靠性缺陷到安全漏洞

当世界自行变化时，过时的信念是可靠性bug；当有人故意改变世界时，它就变成了漏洞——而两者的机制完全相同。

如果一个系统可以被诱导持有一个事实超过其有效期——无论是已轮换的凭证、已撤销的权限、已退役的主机，还是已被取代的指令——那么谁控制了更新的时机，谁就部分控制了Agent接下来的行为。将ForgetEval的生产故障重新解读为威胁模型，这个论点会立刻变得清晰：已轮换的凭证仍被推荐，已删除的记录仍然浮现——这些在自然状态下是bug，在对抗条件下就是攻击面。

在安全领域，威胁模型（threat model）是一套结构化的分析框架，用于描述攻击者的能力边界、攻击目标以及系统需要防御的资产。把state-drift纳入威胁模型的关键在于区分两种情形：自然发生的事实变化是可靠性问题，可通过监控和降级策略缓解；而攻击者主动制造并维持过时信念则属于对抗性问题，其危害取决于过时信念在系统中被赋予的信任级别。如果一个Agent以完全置信度执行记忆中的凭证或权限，那么攻击者无需直接入侵系统，只需阻止或延迟更新传播，就能间接控制Agent的行为。这种“通过控制信息新鲜度来操纵Agent”的思路与供应链投毒、DNS缓存投毒等经典攻击范式有相似之处，都是利用系统对陈旧状态的信任。

被忽视的控制平面

当前基准测试的覆盖存在明显的不对称。据botzr.com指出，召回平面（检索存储事实）已被广泛基准测试；而控制平面（取代、释放和清除事实的操作）在面对实际部署的生产系统时覆盖远远不足。这构成了state-drift问题长期未被充分暴露的结构性原因——不是没有工具测量，而是测量集中在了一个相对安全的维度上。

多个研究项目测量了信念更新的某些方面，但完整的控制平面测试仍然稀缺。

召回平面与控制平面的区分借鉴了控制系统与数据库领域的经典划分。召回平面（recall plane）对应读路径：检索、匹配、排序存储中的事实，衡量指标通常是召回率、精度和延迟。控制平面（control plane）则对应写路径与生命周期管理：新增、取代、撤销、过期、清除事实，以及对过期状态的传播和确认机制。在数据库和分布式系统中，控制平面往往是最复杂也最容易被忽视的部分，例如缓存失效、副本一致性和租约（lease）超时。AI Agent的记忆系统继承了同样的结构性问题：读写往往被当作一个整体来评估，而写路径的正确性——尤其是“旧值是否被真正撤销”——缺乏独立的验证手段。这使得即使召回指标优秀，系统仍可能在事实变更后继续返回已经失效的答案。

WasTrue基准的遗憾

为解决控制平面覆盖不足的问题，该实验室构建了一个名为WasTrue的基准测试，目标是在操作化环境中、在事实变化的条件下运行生产记忆系统——Mem0、Zep、Letta、Anthropic的记忆工具以及dreamd均在测试范围内。数据集、预言机和公平性脚本计划与结果一同发布，以便任何人都能复现比较或编写自己的探针。

然而该基准在结果发布前就被归档，没有产生任何可供发表的结果。实验室明确声明不对任何数据主张所有权——所有数字均来自上述已引用论文。这一"未竟的实验"本身说明了一个现实：测量生产系统在事实变化下的真实行为，在操作和协调层面都面临显著困难。

实践启示

对于正在部署AI Agent的团队，state-drift提出的问题比数据漂移更隐蔽，因为它不触发常规的可观测性告警。几个方向值得关注：验证记忆系统中每条事实的有效期标记是否完整；在控制平面（而非仅召回平面）建立独立测试；使用非作者编写的测试用例评估记忆系统，避免内部测试的乐观偏差；将凭证轮换、权限撤销等操作视为安全关键路径，确认Agent能够感知这些更新。

state-drift的深层含义在于：一个Agent的记忆能力再强，如果无法判断哪些记忆已经失效，那么它在动态环境中的每一次检索都可能埋下一次错误行动的种子。

原文来自botzr.com（rss来源），本文为编译分析。