Microsoft Copilot 記憶保留揭示已儲存資料與可用證據之間的落差
根據一則已存檔的推出通知，Microsoft 已擴展 Copilot 記憶保留功能；但管理員指引仍把這些記憶描述為不受保留控制涵蓋。Microsoft Copilot 記憶保留現正處於一個更大問題的核心：企業能否重建其 AI 系統記得甚麼及曾做過甚麼？近期的勒索軟件研究令這個問題變得具體，顯示攻擊者儲存的 AI 對話如何成為一項行動的證據。
這些報告都指向 eDiscovery，即為法律事務識別、保存及審閱電子資訊的程序。對話、持續記憶及活動日誌，各自可以交代 agent 經歷的不同部分。若機構只收集可見的聊天內容，便有可能遺漏影響其後行為的資訊。
Microsoft 面對的挑戰，在辦公軟件以外亦有可作參照的案例。METR 及 Redwood Research 最近描述了 OpenAI 內部 agent 監察在過往出現的缺口。這些發展共同對一項常見的企業假設構成壓力：將 AI 資料儲存在成熟平台內，並不會自動令其行為在事後變得可解釋。
Microsoft Copilot 記憶保留已改變，但指引尚未跟上
眼前的改變見於 Microsoft Message Center 通知 MC1478965，該通知可透過獨立存檔公開查閱。其 2026 年 10 月 22 日的更新指出，保留支援的全球推出已於該月完成。該通知涉及已儲存的記憶，即 Copilot 跨對話保留、用以個人化其後回覆的資訊。
根據已存檔的記憶保留通知，已設定的保留功能可在使用者編輯或刪除記憶項目時保留歷史版本。這些非使用中版本仍會留在使用者的 Exchange 信箱中，並支援調查。因此，該公告所描述的不只是保留最新的已記住偏好。
即使使用者改變 Copilot 所記得的內容，這項改變亦會令較早期的記憶版本成為潛在的調查記錄。
這個分別在調查涉及過去行為時尤其重要。現時的記憶顯示助理現在記得甚麼；較早的版本則有助確立，在正被審查的回答、建議或行動之前曾存在甚麼資訊。
然而，Microsoft 的管理員文件呈現了不同情況。其Copilot 記憶控制頁面最後更新於 9 月 2 日，指出 Purview 保留政策及標籤不適用於記憶。Purview 是 Microsoft 的資料管治、安全及合規工具套件。
該頁面亦區分已儲存的記憶、從聊天記錄推斷的內容，以及自訂指示。它說明可存取已儲存及推斷記憶作探索之用，但自訂指示不包括在這些管理探索工具內。這使「Copilot 記憶」成為一個總稱，而其底下不同內容的涵蓋範圍存在實質差異。
時間上看，文件似乎落後於功能推出，但這仍屬詮釋。較新的通知並不能證明每個記憶類別都獲得完全相同的處理；公開存檔亦不能取代在機構自身環境內核實現行通知及可用行為。
對買方而言，後果是範圍上的不確定性，而非普遍保留失效的證明。Microsoft 已描述一項具體擴展，但其公開資料尚未就每項相關控制提供單一、一致的說法。
這是一項帶來營運後果的產品過渡。法務團隊需要對可供探索的資訊作出精確描述；管理員需要可核實的設定；僱員需要易於理解的說明，知道編輯或刪除一項已記住的細節實際上改變了甚麼。
這個分別亦能避免誇大的標題。Microsoft 並未宣布每次 AI 互動都會成為永久證據。經核實的發展較為狹窄：根據已存檔通知，已設定的保留功能可以保留已儲存記憶的歷史。
這項較狹窄的發展已足夠重要。記憶令一項對話功能變成持續存在的記錄，而其歷史可獨立於產生該對話的內容而具重要性。
勒索軟件日誌顯示為何 agent 記錄的重要性不止於聊天視窗
這個故事的安全層面，始於一次異常具啟示性的資料暴露。SOCRadar 報告發現與 INC 及 The Gentlemen 勒索軟件行動關聯者有關的基礎設施。其發現包括 AI 對話、營運知識庫，以及名為 Phantom 的框架原始碼。
Cloud Security Alliance 在 10 月 26 日發表的勒索軟件行動分析描述了橫跨 133 個工作階段的 8,257 則 AI 訊息。該分析援引 SOCRadar 的發現，將該行動描述為由 AI 執行、由人類批准。持續性的知識庫有助在不同工作階段之間延續受害者脈絡。
這個說法需要審慎界定。這些是有報道的行動記錄，並非對每項攻擊者聲稱的獨立確認。分析明確提醒，多項關於存取及利用的衡量均來自營運者自己的資料。
關鍵的逆轉在於，對攻擊者有用的營運記憶，同時亦為調查人員提供了可供檢視的記錄。
聊天記錄可以顯示請求及回應；營運知識庫則可以顯示累積脈絡，包括 agent 被告知要延續的內容。人類批准可以將建議步驟與營運者的決定連結起來。
這些記錄具有不同的證據價值。聲稱已成功取得存取權，並不能獨立證明存取成功；建議的指令並不能證明已執行；批准亦不能確立獲批行動已完成。
即使如此，這些資料結合起來，仍可支援比單靠最終報告更詳細的重建。調查人員可比對聲稱、指示、批准及可觀察結果。矛盾會成為需要調查的問題，而不是被修飾完善的摘要掩蓋的缺口。
這項教訓可轉移至合法企業 agent，而毋須將一般辦公室使用等同於犯罪活動。處理業務流程的助理同樣會接收指示、累積脈絡並產生輸出。要理解一項有爭議的結果，需要知道這些記錄中實際存在的是哪些。
這次暴露的行動提供了具體例子，說明事態的重要性。它並不能證明儲存更多資訊必然能改善安全性。當營運者未能保護其基礎設施時，原本支援延續性的同一批記錄亦造成了暴露。
對企業而言，這形成了可重建性與集中敏感資訊之間的取捨。詳細記錄有助解釋事故；但若存取控制失效，它們亦可揭露機密脈絡。
因此，有用的目標是建立具適當界限、可辯護的證據軌跡。沒有區別的一體化存檔會帶來自身風險；過於零散的記錄則會留下問題，無法解釋使用者指示與最終行動之間發生了甚麼。
AI agent 記錄值得關注，因為它們連接了這些階段。其價值來自與實際事件的關係，而非單純因為由 AI 系統產生。
已儲存內容與已記錄活動回答不同問題
核心張力在於保存資訊與解釋行為之間。保留功能按既定規則讓指定內容可供使用；日誌則記錄事件，例如變更或行動。兩者均不會自動提供對方所具備的功能。
被保留的記憶可以確立內容，而活動記錄則有助確立該內容何時及如何改變。
假設有一名僱員要求助理記住處理客戶例外情況的偏好，其後一項具爭議的回應依循了該偏好。現時的記憶或可解釋該回應，但單靠它無法確立該偏好最初何時出現。
歷史版本會改善這種重建；識別該更新的事件則會增加另一個維度。若有記錄把其後回應連結至相關脈絡，這種關係將進一步加強。
即使供應商在共用的合規介面中呈現這些功能，它們仍是不同問題。可搜尋性問的是調查人員能否找到某項目；保存問的是它能否在相關變更後繼續存在；可追溯性問的是可用記錄能否解釋其與某項事件的關係。
Microsoft 已發布的資料說明了這些分別為何重要。其 6 月 22 日的記憶安全框架指出，Microsoft 365 Copilot 會在機構審計日誌中記錄記憶更新。該文章亦識別用於安全分析的 MemoryUpdated 欄位。
這個說法與管理員頁面所述「記憶及個人化行動不會產生 Purview 審計項目」互相矛盾。這些來源未能確立差異是否源於不同日誌介面、設定或文件更新時點。宣稱日誌記錄普遍不存在，會誇大現有證據。
宣稱全面日誌記錄普遍可用，同樣言之過早。Microsoft 的安全文章按設定、授權及服務可用性限定其能力。其所述由來源內容追蹤至記憶、再追蹤至其後互動的目標，應與獨立驗證的完整性區分開來。
對企業買方而言，實際問題在於特定事件記錄包含甚麼。更新指標可以顯示有內容改變，卻未必包含完整的前後數值。調查人員在依賴該指標前，需要理解這個分別。
同樣情況亦適用於來源關係。某項已記住的陳述，可能反映使用者指示、推斷，或從工作內容擷取的資訊。對其作出解讀，部分取決於來源追溯資訊，即顯示記錄源自何處的資料。
這並不令記憶本質上變得不可靠，而是表示記憶屬於資訊的額外表述。調查人員應評估其來源及脈絡，而非將它視作對底層事件逐字不差的記述。
壓力同時落在產品設計及企業採購之上。供應商需要在儲存、日誌記錄及重建之間提供清晰易懂的界限；買方則需要證據證明這些界限能支援其實際調查要求。
Microsoft Copilot 記憶保留處理了這個問題的重要一環。但單靠它本身，並不能解決機構能否解釋每項相關變更或下游行動的問題。
OpenAI 的監察檢討展示另一條導致證據缺失的途徑
另一項調查提供了有用背景，但並未證實 Microsoft 產品內出現同樣的失效情況。10 月 22 日，METR 發表了一項試點演練的結果，檢視 OpenAI 歷來的內部代理監控。David Rein 和 Adam Kaufman 描述了於 7 月 21 日至 8 月 11 日期間進行的工作。
他們的代理監控研究結果估計，在 5 月至 7 月期間，未受監控的壓縮事件令約 10% 符合條件的內部 Codex 流量未被監控。壓縮會濃縮代理的工作上下文。研究人員強調，由於未有記錄必要的歷史資訊，因此結果存在不確定性。
他們亦表示，OpenAI 在演練期間已自行發現並修復該漏洞。他們的評估針對歷史系統，而非擴展後系統目前的涵蓋範圍。OpenAI 其後報告已推出修補程式，但評估人員未有獨立評估這些修補。
這項比較說明，任何監控聲稱都需要一份可供獨立核實的交代，說明實際有哪些資料送達監控系統。
Microsoft 的記憶問題涉及儲存資訊及管治覆蓋範圍。OpenAI 的評估則涉及活動是否送達監控系統。兩者屬不同機制，但均挑戰了一項假設：某項具名控制措施涵蓋其原定範圍。
這項比較不應演變為產品排名。METR 演練並不能證明 Microsoft 的控制措施較強或較弱，也不能據此將 OpenAI 的內部研究發現套用至每一個採用 OpenAI 技術的客戶部署。
其相關性在於驗證問題。機構可以界定哪些活動應受審查，卻仍欠缺足夠記錄，以便事後確認覆蓋範圍。此時，沒有記錄到失效情況本身便含義不明。
這種模糊性在事件重建期間尤其重要。缺少一項記錄，可能代表該行動從未發生；亦可能代表收集路徑遺漏了它。若沒有周邊證據，調查人員無法安全地在兩種解釋之間作出選擇。
對安全團隊而言，監控完整性與偵測品質是兩個不同問題。偵測器可以在它看見的活動中表現良好，同時錯過收集路徑以外的活動。當相關類別不在保留集合之內時，內容保留亦有相應限制。
因此，業界面對的更廣泛壓力不止於新增另一個儀表板。買家需要清楚說明哪些內容被納入、哪些被排除，以及失效時的行為。他們亦需要方法，透過獨立記錄測試這些說明。
一項有用的評估會將代理的工作與觀察它的控制措施分開看待。若同一條操作路徑同時提供活動本身及其唯一證據，缺陷便可能同時遮蔽兩者。這是架構上的關注，並非證明任何特定部署已經失效。
這正是 AI 代理記錄正與模型能力一同成為管治討論一部分的原因。當機構委派具有重大後果的工作時，即使是能力強大的助手，仍需要可觀察的邊界。
商業問題很直接：當機構需要解釋時，它會擁有證據，還是只有對預定保障措施的描述？
Copilot 記憶探索令法務與私隱團隊面對不同問題
Microsoft 自身的搜尋指引明確指出一項重要界線：刪除 Copilot 對話不會刪除其相關記憶。AI 資料探索文件亦指出，記憶位於 IPM.Contact 項目類別之下，這是一種亦用於聯絡人的儲存分類。
這些細節令基於可見聊天介面的假設變得複雜。對話搜尋與記憶搜尋並不可互換。一個類別中的成功刪除，並不能證明相關類別中的資料亦已刪除。
Copilot 記憶探索同時關乎找出相關證據，以及理解哪些相關記錄仍然不在搜尋結果之內。
不同團隊面對的影響不同。法務審閱人員重視保存相關上下文；私隱團隊重視就存取、更正及刪除作出準確說明；安全團隊則重視保留的上下文是否有助重建事件。
這些目標可以重疊，卻未必產生相同決定。歷史版本可以幫助解釋具爭議的行為，同時亦可能保留使用者以為已移除的資訊。介面所顯示的狀態並不能決定保留的行政記錄之狀態。
已封存的推出公告透過描述編輯或刪除後的保留情況，明確揭示了這種張力。重要分別在於：將記憶從主動使用中移除，與消除每一個保留版本並不相同。機構需要能清楚說明這種差異的措辭。
這並不代表法律要求保留每一項記憶，也不代表使用者的刪除要求必然凌駕保留需要。這些問題取決於適用情況及法律要求。
法律保全措施，即為訴訟而保存已識別資訊的措施，帶來另一個範圍問題。一般郵箱指引描述保全措施對刪除的影響。所審閱的記憶資料並未完全確立每一種與保全措施相關、針對記憶的互動方式。
這種不確定性應在報道中保持可見。僅有一份關於已儲存記憶保留的公告，並不足以斷言推斷記憶、自訂指示及歷史版本均受普遍保全措施覆蓋。不同產品類別需要各自的證據。
分類問題亦影響詮釋。在聯絡人分類下找到某項目，不代表它是普通通訊錄項目。審閱人員需要了解該項目代表甚麼，以及它為何會出現在某個集合中。
同樣地，生成的推斷不應自動歸因為員工的直接陳述。它可能反映系統的詮釋。當審閱人員評估意圖、知情程度或授權時，這項分別十分重要。
對員工而言，關注的是能否合理控制工作資訊；對機構而言，則是能否準確說明哪些內容仍可取得。誤導性的確定性會從兩個方向引發問題。
同一分別亦適用於更廣泛的個人知識管理。為日後回憶而整理資訊，與保存過去行為的證據，目的並不相同。有用的記憶系統不會自動提供完整的歷史交代。
Microsoft Copilot 記憶保留令這些目標更緊密地交織在一起。由此產生的壓力既屬組織層面，亦屬技術層面：必須有人負責統整法務、私隱、安全及 IT 之間的說明。
下一項考驗是提供一致指引與可重現證據
第一個值得留意的訊號，是 Microsoft 是否會整合其公開指引。除非讀者仔細區分各自範圍，否則保留公告、管理員頁面及安全文章目前會支持不同結論。修訂版本應識別受影響的記憶類別及相關記錄介面。
一致的文件可加強信心，而可重現的行為則可確立機構實際可以依賴甚麼。
更新頁面可加強一種解釋：目前的分歧反映文件更新時序。若矛盾持續，買家便只能依賴支援解讀及本地驗證。單憑任何一種結果，都不能證明底層記錄已消失。
第二個訊號，是來自受控組織測試、關於 Microsoft Copilot 記憶保留的證據。已封存的公告本身亦建議透過有限測試群組驗證保留及探索行為。有用的結果應區分目前記憶、較早版本、已編輯項目及已刪除項目。
最有力的證據會同時交代設定與觀察到的結果。政策截圖可證明某項設定存在；檢索到的歷史項目則顯示更具體的結果。
獨立管理員及調查人員可協助釐清這些界線，而毋須聲稱具備普遍覆蓋範圍。他們的發現需要足夠上下文才可比較。否則，看似互相矛盾的報告，可能只是反映不同功能、權限或推出狀態。
第三個訊號，是供應商是否令事件覆蓋範圍更容易與保留內容互相對照。機構需要將相關記憶變更，與周邊互動及其產生的工作連繫起來。這種關係比單獨計算已記錄事件數量更有用。
進展將加強一項論點：企業平台正在縮窄個人化與問責之間的差距。持續存在的缺口則支持較審慎的解讀：內容雖然存在，但重建行為仍需要不完整的手動關聯。
這些訊號在未來數月尤其重要，因為買家正將代理行為與傳統軟件控制措施一併評估。成功的示範必須顯示資訊變更後會發生甚麼，而不只是展示一次乾淨的初始對話所呈現的內容。
對開發人員而言，這會將注意力轉向其整合所建立的記錄，以及這些記錄所保留的上下文。對買家而言，這提升了精確證據邊界的價值。對知識工作者而言，易於理解的刪除與記憶控制成為產品信任的一部分。
下一次內部討論應由實際業務工作流程開始，而非籠統保證 AI 資料會留在平台內。詢問哪些對話、記憶、審批及活動記錄，可以解釋具爭議的結果。釐清誰可以檢索這些記錄，以及應如何詮釋其含義。將目前內容與其歷史分開，亦將使用者指示與系統推斷分開。Microsoft Copilot 記憶保留令這場討論更加迫切，因為被記住的上下文如今可能擁有更長的行政存續期。讓法務、私隱、安全及 IT 的負責人參與同一場審閱，並要求他們展示當工作流程出錯時，會依賴的證據軌跡。
