Microsoft Copilot 记忆保留暴露了已保存数据与可用证据之间的缺口

根据一则存档的推出通知，Microsoft 已扩展 Copilot 记忆保留功能；但面向管理员的指引仍将这些记忆描述为不受保留控制约束。Microsoft Copilot 记忆保留如今处于一个更大问题的核心：企业能否重建其 AI 系统记住了什么、执行了什么？近期的勒索软件研究让这个问题变得具体，展示了攻击者保存的 AI 对话如何成为其行动的证据。

这些报道都指向电子证据开示（eDiscovery），即为法律事务识别、保全和审查电子信息的流程。对话、持久记忆和活动日志都可能讲述智能体故事的不同部分。若组织只收集可见的聊天记录，就可能遗漏影响后续行为的信息。

Microsoft 面临的挑战在办公软件之外也有参照。METR 和 Redwood Research 最近披露了 OpenAI 内部智能体监控在历史上存在的缺口。综合来看，这些进展正冲击一种常见的企业假设：将 AI 数据存储在成熟的平台中，便会自动使其行为在事后可被解释。

Microsoft Copilot 记忆保留已发生变化，但指引尚未跟上

眼前的变化出现在 Microsoft Message Center 通知 MC1478965 中，该通知可通过一个独立存档公开查阅。其 2026 年 10 月 22 日更新称，保留支持的全球推出已于当月完成。该通知涉及已保存的记忆，即 Copilot 跨对话保留、用于个性化后续回复的信息。

根据存档的记忆保留通知，在用户编辑或删除记忆项目时，已配置的保留措施可以保留历史版本。这些非活动版本会留存在用户的 Exchange 邮箱中，并支持调查。因此，该公告所描述的不只是保留最新的记忆偏好。

即使用户修改了 Copilot 所记住的内容，较早的记忆版本也可能成为调查记录。

当调查涉及过去的行为时，这一区别尤为重要。当前记忆显示助手现在记得什么；较早版本则有助于确定，在接受审查的回答、建议或操作发生之前，曾经存在哪些信息。

不过，Microsoft 的管理员文档呈现出不同图景。其 Copilot 记忆控制页面最后更新于 9 月 2 日，称 Purview 保留策略和标签不适用于记忆。Purview 是 Microsoft 用于数据治理、安全和合规的一套产品。

该页面还区分了已保存记忆、从聊天历史中推断出的内容以及自定义指令。它说明，已保存和推断出的记忆可供发现访问，而自定义指令不适用于这些管理员发现工具。这意味着“Copilot 记忆”是一个总称，其下不同类型的覆盖范围存在实质差异。

时间上的差异表明文档可能滞后于产品推出，但这仍只是一种解读。较新的通知并不能证明每一类记忆都会获得相同处理。公开存档也不能替代对当前通知以及组织自身环境中实际可用行为的核查。

对采购方而言，其后果是范围上的不确定性，而非普遍保留失效的证据。Microsoft 已描述了一项具体扩展，但其公开材料尚未对每项相关控制提供统一、一致的说明。

这是一场会带来运营后果的产品转变。法务团队需要准确描述可发现的信息；管理员需要能够验证的设置；员工则需要易于理解的说明，了解编辑或删除某项被记住的细节实际会改变什么。

这一区别也避免了夸大的标题。Microsoft 并未宣布每一次 AI 交互都会成为永久证据。经过验证的进展更为有限：根据存档通知，已配置的保留措施可以保留已保存记忆的历史。

而这一较有限的发展已经足够重要。记忆将一项对话功能转变为持续存在的记录，其历史本身可能独立于生成该记忆的对话而具有意义。

勒索软件日志说明，为何智能体记录的重要性超出聊天窗口

这个故事的安全侧始于一次异常具有揭示性的暴露。SOCRadar 报告称，其发现了与 INC 和 The Gentlemen 勒索软件行动关联方有关的基础设施。其发现包括 AI 对话、运营知识库，以及名为 Phantom 的框架源代码。

Cloud Security Alliance 于 10 月 26 日发布的勒索软件行动分析描述了 133 个会话中的 8,257 条 AI 消息。该分析引用 SOCRadar 的发现，将该行动描述为由 AI 执行、由人工批准。持久知识库有助于在会话之间延续受害者背景信息。

这一描述需要谨慎看待其边界。这些是有关该行动的已报告记录，并非对攻击者每项声明的独立确认。该分析明确提醒，多项有关访问和利用的衡量结果来自运营者自身的材料。

关键的反转在于：对攻击者有用的运营记忆，也为调查人员提供了可供审查的记录。

聊天记录可以展示请求与回应。运营知识库可以显示积累的背景信息，包括智能体被要求延续的信息。人工批准则可将某一建议步骤与运营者的决策联系起来。

这些记录具有不同的证据价值。一项关于访问成功的声明，并不能独立证明访问确已成功；一条拟议命令不证明已经执行；一项批准也不代表获批行动已经完成。

即便如此，二者结合仍可支持比最终报告更细致的重建。调查人员可以对照声明、指令、批准和可观察到的结果。矛盾会成为需要调查的问题，而不是被润色过的总结所掩盖的缺口。

这一教训可迁移到合法的企业智能体，而不意味着将普通办公使用等同于犯罪活动。处理业务工作流的助手同样会接收指令、累积背景信息并产出结果。要理解存在争议的结果，就需要知道这些记录中究竟哪些实际存在。

被暴露的行动提供了风险利害关系的具体例证。它并不证明保存更多信息总会改善安全性。那些支持连续性的记录，也在运营者未能保护其基础设施时造成了暴露。

对企业而言，这就形成了可重建性与敏感信息集中化之间的权衡。详细记录可以帮助解释事件；一旦访问控制失效，它们也可能泄露机密背景信息。

因此，有用的目标是建立具备适当边界、可辩护的证据链。无差别的归档会带来其自身风险；稀疏的记录则会让用户指令与最终操作之间发生了什么仍无法解释。

AI 智能体记录值得关注，因为它们连接了这些阶段。它们的价值来自与实际事件的关系，而不在于它们仅仅由 AI 系统生成。

已保存内容与已记录活动回答的是不同问题

核心张力在于保存信息与解释行为之间。保留是在配置规则下使指定内容持续可用；日志记录的是事件，例如某项变更或操作。任何一项功能都不会自动提供另一项。

被保留的记忆可以证明内容，而活动记录有助于证明该内容何时以及如何发生变化。

设想一名员工要求助手记住处理客户例外情况的偏好。之后，一项存在争议的回复遵循了该偏好。当前记忆或许能解释该回复，但它本身无法证明该偏好最初是在何时出现。

历史版本会改善这一重建；标明更新的事件会增加另一维度；将后续回复与相关背景信息关联的记录，则会进一步强化这种联系。

即使供应商在同一合规界面中呈现这些功能，它们也仍是不同问题。可搜索性问的是调查人员能否找到某个项目；保全问的是它是否能在相关变化后存续；可追溯性问的是现有记录能否解释它与某项事件的关系。

Microsoft 发布的材料说明了这些区别为何重要。其 6 月 22 日的记忆安全框架称，Microsoft 365 Copilot 会在组织审计日志中记录记忆更新。该文章还指出，可使用 MemoryUpdated 字段进行安全分析。

这一说法与管理员页面中“记忆和个性化操作不会生成 Purview 审计条目”的表述相冲突。这些来源并未确定造成差异的原因是否是不同的日志界面、配置或文档更新时间。宣称日志记录普遍不存在，会夸大现有证据。

同样，宣称全面日志记录普遍可用也言之过早。Microsoft 的安全文章按配置、许可和服务可用性限定相关能力。其所述的目标——从源内容经由记忆追踪到后续交互——仍应与对完整性的独立验证区分开来。

对企业采购方而言，实际问题在于特定事件记录包含什么内容。更新指示可以表明某项内容发生变化，却未必包含完整的前后数值。调查人员在依赖这一指示前，需要理解这一差别。

同样的道理也适用于来源关系。一项被记住的陈述，可能反映用户指令、推断结果，或从工作内容中获取的信息。其解释部分取决于来源信息，即显示一条记录从何而来的信息。

这并不意味着记忆本身不可靠。它意味着记忆是信息的另一种表征。调查人员应评估其来源与背景，而非将其视为对底层事件的逐字叙述。

压力同时落在产品设计和企业采购上。供应商需要在存储、日志记录与重建之间提供清晰易懂的边界；采购方则需要证明这些边界能够满足其实际调查要求。

Microsoft Copilot 记忆保留解决了这一问题的重要部分。但它本身并不能决定组织是否能够解释每一项相关变更或后续操作。

OpenAI 的监控审查展示了证据缺失的另一条路径

另一项独立调查提供了有用背景，但并未证实 Microsoft 产品中存在同样的故障。10 月 22 日，METR 发布了一项试点演练的发现，审查 OpenAI 历史上的内部智能体监控。David Rein 和 Adam Kaufman 介绍了于 7 月 21 日至 8 月 11 日期间开展的工作。

他们的智能体监控发现估计，5 月至 7 月期间，未受监控的上下文压缩事件使约 10% 符合条件的内部 Codex 流量未被监控。压缩会精简智能体的工作上下文。研究人员强调，由于必要的历史信息未被记录，相关结论存在不确定性。

他们还表示，OpenAI 已独立发现这一缺口，并在演练期间完成修复。其评估针对的是历史系统，而非扩展后系统当前的覆盖范围。OpenAI 随后报告了补丁情况，但评估人员尚未对这些补丁进行独立评估。

这一比较表明，任何监控声明都需要提供可独立核验的说明，明确哪些内容实际到达了监控系统。

Microsoft 的记忆问题涉及存储的信息与治理覆盖范围。OpenAI 的评估则关注活动是否到达监控系统。这是不同的机制，但两者都挑战了这样一种假设：被命名的控制措施覆盖了其预期范围。

这种比较不应演变为产品排名。METR 的演练并不能证明 Microsoft 的控制措施更强或更弱，也不能据此将一项内部研究发现套用于 OpenAI 技术的每一种客户部署。

其相关性在于验证问题。组织可以定义哪些活动应接受审查，但仍可能缺乏足够记录来在事后确认覆盖范围。此时，未记录到失败事件本身就具有歧义。

这种歧义在事件重建期间尤为重要。缺失的条目可能意味着某项操作从未发生，也可能意味着采集路径遗漏了它。缺少周边证据时，调查人员无法安全地在这两种解释之间作出选择。

对安全团队而言，监控完整性与检测质量是两个独立问题。检测器可能在其所见活动上表现良好，却遗漏采集路径之外的活动。当相关类别落在保留集之外时，内容保留也存在类似局限。

因此，更广泛的行业压力已超出再增加一个仪表板的范畴。采购方需要清晰说明哪些内容被纳入、哪些被排除，以及发生故障时的行为。他们还需要能够依据独立记录检验这些说明的方法。

一种有用的评估方式，是将智能体的工作与观察其工作的控制措施分开。如果同一操作路径既提供活动本身，也提供其唯一证据，那么一个缺陷就可能同时遮蔽两者。这是架构层面的担忧，而非任何特定部署已经失败的证据。

这也是为什么 AI 智能体记录正与模型能力一道，成为治理讨论的一部分。当组织将具有实质后果的工作委托给助手时，即使助手能力出众，也仍需要可观测的边界。

商业问题其实很直接：当组织需要解释时，它拥有的是证据，还是仅仅对预期保障措施的描述？

Copilot 记忆发现让法务与隐私团队面临不同的问题

Microsoft 自己的搜索指南明确了一条重要边界。删除 Copilot 对话不会删除其关联记忆。AI 数据发现文档还将记忆识别为 IPM.Contact 项目类，这是一种与联系人共用的存储分类。

这些细节使基于可见聊天界面的假设变得复杂。对话搜索与记忆搜索不可互换。一个类别中的成功删除，并不能证明相关类别中的内容也已删除。

Copilot 记忆发现既关乎找到相关证据，也关乎理解哪些相关记录仍在搜索结果之外。

不同团队的影响不同。法务审查人员关注保留相关上下文。隐私团队关注如何准确说明访问、更正和删除。安全团队则关注保留的上下文是否有助于重建事件。

这些目标可以重叠，却不一定产生相同决策。历史版本可以帮助解释有争议的行为，同时也可能保留用户认为自己已经删除的信息。界面上的可见状态并不能决定保留的管理记录处于何种状态。

归档的上线通知通过描述编辑或删除后的保留，明确体现了这种张力。关键区别在于：将记忆从活跃使用中移除，与消除每一个保留版本并不是一回事。组织需要以清晰语言解释这种差别。

这并不意味着存在保留每一条记忆的法律义务，也不意味着用户删除请求总会优先于保留要求。这些问题取决于适用情形和法律要求。

诉讼保全是一种为诉讼保留已识别信息的措施，也带来了另一个范围问题。通用邮箱指南描述了保全对删除的影响。已审阅的记忆材料并未完整说明每一种记忆与保全之间的具体交互。

这种不确定性应在报告中保持可见。一则关于已保存记忆保留的通知，并不足以断言推断记忆、自定义指令和历史版本均普遍受到保全覆盖。不同产品类别需要各自的证据。

分类问题也会影响解读。在联系人分类下找到某个项目，并不意味着它是普通的通讯录条目。审查人员需要上下文，说明该项目代表什么，以及为何出现在某个集合中。

同样，系统生成的推断不应自动被归因于员工的直接陈述。它可能反映的是系统的解读。当审查人员评估意图、知情程度或授权情况时，这一区别至关重要。

对员工而言，重点是能够合理控制工作信息。对组织而言，重点则是能准确说明哪些内容仍然可用。误导性的确定性会在两个方向上制造问题。

同一区别也适用于更广泛的个人知识管理。为将来回忆而组织信息，与为过去行为保留证据的目的不同。一个有用的记忆系统并不会自动提供完整的历史记录。

Microsoft Copilot 记忆保留使这些目标更加紧密地交汇。由此产生的压力既是组织层面的，也是技术层面的：必须有人负责统筹法务、隐私、安全与 IT 之间的一致说明。

下一项考验是统一的指导与可复现的证据

首先需要观察的信号，是 Microsoft 是否会协调其公开指南。除非读者仔细区分适用范围，否则保留通知、管理员页面和安全文章目前支持不同结论。修订内容应明确受影响的记忆类别和相关日志界面。

一致的文档会增强信心，而可复现的行为才能证明组织实际上可以依赖什么。

更新后的页面会更有力地支持这样一种判断：当前分歧源于文档更新时点。持续的矛盾则会使采购方只能依赖支持团队的解释和本地验证。无论哪一种结果，单独来看都无法证明底层记录已经消失。

第二个信号，是来自受控组织测试的 Microsoft Copilot 记忆保留证据。归档通知本身建议使用有限测试组验证保留和发现行为。有价值的结果应区分当前记忆、较早版本、编辑后的项目和已删除的项目。

最有力的证据会同时说明配置和观察到的结果。策略截图只能证明某项设置存在；检索到的历史项目则呈现了更具体的结果。

独立管理员和调查人员可以帮助澄清这些边界，而无需声称具有普遍覆盖能力。他们的发现需要具备足够上下文才可比较。否则，看似冲突的报告可能反映的是不同功能、权限或上线状态。

第三个信号，是供应商是否让事件覆盖范围更容易与保留内容进行核对。组织需要将相关记忆变更与周边互动和产生的工作成果关联起来。这种关联比单独统计已记录事件数量更有价值。

进展将加强这样一种论点：企业平台正在缩小个性化与可追责性之间的差距。持续存在的缺口则会支持更谨慎的解读：内容虽然存在，但重建行为仍需要不完整的人工关联。

这些信号在未来数月尤为重要，因为采购方正将智能体行为与传统软件控制措施一同评估。一次成功的演示必须说明信息发生变化后会怎样，而不仅是展示一次干净的初始对话中出现了什么。

对开发者而言，这会将注意力转向其集成所创建的记录，以及这些记录所保留的上下文。对采购方而言，这提高了精确证据边界的价值。对知识工作者而言，可理解的删除与记忆控制成为产品信任的一部分。

下一次内部讨论应从一个实际业务工作流开始，而不是泛泛保证 AI 数据会留在平台内。询问哪些对话、记忆、审批和活动记录能够解释一个有争议的结果。明确谁可以检索这些记录，以及应如何解读其含义。将当前内容与其历史分开，将用户指令与系统推断分开。Microsoft Copilot 记忆保留让这场讨论更加紧迫，因为被记住的上下文如今可能拥有更长的管理生命周期。让法务、隐私、安全和 IT 负责人参加同一次审查，并要求他们演示：当工作流出现问题时，他们将依赖怎样的证据链。