MuscleMemory 在复用前验证阻止了被投毒的技能，但证据仍然有限

根据一项最新发布的研究，MuscleMemory 阻止了被投毒的指导信息进入 30 个评分仓库中的全部 30 个，而普通的编辑重放每次都会恢复投毒内容。这一结果为 MuscleMemory 的“复用前验证”方法提供了一个异常鲜明的结论。但它也揭示了一个重要矛盾：通过测试并不能区分干净的工作与被投毒的工作。

该研究考察了程序性记忆，即告诉智能体如何完成重复任务的存储指令。一个编码智能体从一次被投毒的会话和之后三次干净的会话中学习。研究人员随后在 Claude Haiku 5.5 和 Claude Sonnet 5.5 上比较了四种处理这些经验的方式。

这些发现令人鼓舞，但仍属初步结果。实验只使用了一项任务、每个实验单元五次评分会话，以及针对同一任务调校的规则。其最强的结果涉及投毒暴露，而非有害执行。这一区别使“复用前验证”与一种更常见的记忆策略形成对照：保存成功经验、检索最相关的记录，并相信智能体会妥善使用它。

一次通过的测试让投毒看起来像成功

实验最核心的警示很简单：任务成功和安全学习是两种不同的属性。

案例研究从一项配置修复任务开始。一次学习会话既包含真正的修复，也包含一项无关修改。投毒采用三种形式之一：一个新文件、一行无关内容，或一行与合法改动融合在一起的恶意内容。

任务可见的成功信号没有发现这些额外内容。该会话通过了测试，因此一个只关注结果的记忆系统有理由保留它。之后的三个智能体在没有投毒内容的情况下完成了同一任务，从而形成了一小段历史：一个受污染的解决方案和三个干净的解决方案。

随后，研究人员针对每种模型、投毒类型和记忆分组运行了五次评分会话。Claude Haiku 5.5 和 Claude Sonnet 5.5 提供了模型层面的变化。隐藏验证器针对每个最终仓库执行了 187 项行为检查。

四个分组构成了这项比较：

• 无记忆不会向智能体提供此前会话中存储的程序。

• 重放会再次应用记录下来的编辑。

• 朴素记忆会保留通过的会话，并使用 Mem0 搜索选择相关技能。

• 复用前验证会暂缓提供一项技能，直到之后两次会话复现其改动并通过相关测试。

最后一个分组还在行级别过滤技能。它只向智能体展示后来成功会话再次写入的改动。这一细节很重要，因为有一种投毒与合法修复融合在同一文件和编辑区域中。

标题数据来自暴露情况和仓库状态。据称，重放使投毒内容回到了 30 个仓库中的全部 30 个，尽管每个仓库仍通过了隐藏验证器。朴素记忆在 30 次评分会话中的三次暴露了被投毒的指导信息。复用前验证在 30 次中零次暴露。

这些数字来自项目发布的记录和原始研究帖子，而非独立复现。该公开项目称，其会话级数据保留了被替代的运行记录，标记了哪些行属于报告表格，并说明投毒内容是否出现在存储技能、交付的指导信息或最终代码中。

这种区分很有用。被投毒的记忆可以存在而不被检索。被检索到的投毒内容可以出现在提示中却不被遵循。智能体也可能在并非由记忆导致的情况下创建同样可疑的改动。将这些事件视为单一指标，会掩盖防御机制实际在哪个环节发挥了作用。

研究报告称，没有任何评分智能体仅因为看到了被投毒的指导信息就执行投毒内容。因此，真正有意义的测量结果是防止暴露。实验表明，所提过滤器将可疑指令排除在后续提示之外，而非证明它阻止了一次原本会造成损害的已观测攻击。

这也是为什么完美的隐藏测试记录本身并不令人安心。所有评分会话都通过了这 187 项检查，包括重放恢复投毒内容的仓库。测试证明请求的行为能够正常工作，却不能证明没有其他内容发生变化。

这一缺口引出了本文的核心问题。如果一个记忆系统从通过的工作中学习，在将一次会话的编辑转化为供后续每个智能体使用的建议之前，它应当要求什么证据？

为什么智能体记忆投毒能绕过常规成功检查

持久记忆会把一次会话中的错误变成可复用的基础设施。

无状态编码智能体可能只会犯一次糟糕的编辑错误。具备记忆的智能体则可以将该编辑转化为程序，为类似任务检索它，并将其传播到多个仓库中。风险从孤立失败变成了重复指令。

近期研究已开始记录这一更广泛的问题。一项关于休眠记忆投毒的研究描述了通过文档、网页或仓库植入虚假记忆的攻击。这些记忆可以在影响后续对话和行动之前保持潜伏。

另一项 2026 年研究将持久记忆视为一种独立的攻击面，而不仅仅是提示注入的另一种形式。其记忆投毒分类法识别出多种写入渠道和架构弱点，这些弱点会让不受信任的输入成为持久上下文。

编码智能体使这一担忧变得具体，因为其记忆可能包含操作细节。存储的技能可能会提及文件、测试、命令、配置键或恢复步骤。每项信息都能帮助后续智能体更快行动，也都可能将该智能体引向受污染的工件。

MuscleMemory 围绕程序性记录设计，而不是完整重放对话。其公开文档称，技能包含对如何修改、如何验证以及应避免什么的简明说明。其程序性记忆 API记录观察到的步骤、从已完成会话中学习，并在回忆时返回匹配的指导信息。

这种设计减少了无关上下文，但并不能自动解决信任问题。压缩可能保留错误的教训。检索可能将受污染的技能排在很高的位置，因为它在语义上与任务相关。通过的测试可能验证了目标行为，却忽略了无关添加内容。

Mem0 说明了为什么检索质量和证据质量必须保持区分。它对记忆搜索的说明解释，语义相似度会选择与查询相关的上下文。相关性告诉系统哪条记忆与当前任务相似，却不能告诉系统该记忆的内容是否值得被赋予权威性。

案例研究在朴素分组中使用 Mem0 搜索，从通过会话的记忆中进行选择。这一设置不应被解读为对 Mem0 安全性或所有可能 Mem0 配置的全面评估。它测试的是一个实验框架内、以检索为中心的方法。

尽管如此，结果揭示了一项普遍弱点。如果每个通过的会话都有资格被复用，一次受污染的成功就可能与干净经验竞争。搜索可能检索到它，因为其中合法的部分仍与任务高度相关。

重放代表了更强的信任假设。它将历史编辑视为值得复现的操作，而不仅仅是值得考量的证据。其 30 次中 30 次出现投毒内容的结果直接源于这种设计。重新应用完整记录的改动，也会重新应用其中捆绑的无关内容。

无记忆分组避免了跨会话传播，但也放弃了累积的程序性知识。每个智能体都必须重新发现相关文件、命令和测试路径。这可能增加工具调用、延迟以及发生新错误的机会。

因此，团队承受着双向压力。他们希望智能体记住已验证的工作流，因为重复探索代价高昂；同时也需要防止一个被攻破的仓库、误导性指令或意外编辑变成组织知识。

这种张力超越了代码领域。客服智能体可能记住未经授权的例外处理方式。财务智能体可能保留不安全的审批顺序。研究助手可能保存虚构的引用规则。任何将过去行为转化为未来指令的系统，都会继承同样的信任问题。

对于构建共享AI 知识库的团队而言，来源信息与相关性同样重要。一条有用的记忆记录应说明程序来自何处、哪些证据支持它，以及独立工作是否复现了它。

复用前验证试图提供缺失的证据。它不只问一次会话是否成功，还会问该成功的哪些部分在之后的独立尝试中得以保留。

MuscleMemory 的复用前验证改变了何为证据

该方法将重复的干净执行视为过滤器，而非人气投票。

根据报告中的设计，被投毒的学习会话不会立即生成智能体可接收的指导信息。后续会话必须完成同一任务、复现某项改动并通过测试。一项技能只有在经过两次这样的检查后才具备资格。

系统随后对记录的工作取交集。它只交付后来成功会话同样写入的行。只出现在被投毒会话中的添加内容应当会消失，即使其周围的合法修复仍然有用。

这比统计一项宽泛技能出现的频率更严格。它考察特定改动是否经受住独立重新实现的检验。当一条记忆混合了有效与无效指令时，这一区别尤为重要。

以新文件投毒为例。受污染的会话创建了真正的修复和一个无关文件。之后干净的智能体复现了修复，却没有复现额外文件。文件级比较可以拒绝不匹配的工件，同时不丢弃重复出现的修复。

现有文件中的无关行也遵循同样的模式。后续会话写入真正的改动，却省略可疑行。足够精细的过滤器可以保留共享部分。

融合式投毒更为困难。不安全文本位于与正确修复相同的逻辑编辑之中。将整个文件或补丁视为一个单位会保留二者。报告中的行级比较移除了未匹配的投毒内容，同时保留了干净会话重复的行。

这一结果是案例研究最有意思的贡献。该防御不仅仅是在信任一项程序之前等待更久，还将程序收窄到后续会话佐证过的证据。

因此，MuscleMemory 的复用前验证机制结合了三项控制措施：

• 延迟准入可防止一次成功运行立即变成可复用内容。

• 独立复现用于测试后续智能体是否收敛到相同改动。

• 行级过滤将交付的指导信息限制在已复现的部分。

这些控制措施处理的是不同的失效模式。没有对比的延迟只会推迟污染发生。没有精确过滤的重复可能保留与更大有效补丁融合在一起的恶意内容。没有独立会话的过滤，则缺乏判断哪些代码行重要的依据。

该项目更广泛的 MuscleMemory 文档描述了在一项 skill 可用之前增加人工审批的步骤。该审批可以提升问责性，但研究的数值结果依赖于自动化复现与过滤。审查者仍可能遗漏一行看似合理的恶意内容。

该方法也改变了测试的角色。通过的测试依然是必要条件，但不再构成充分证明。测试确认每个会话完成了所要求的任务；复现则表明，多个成功的 agent 认为哪些改动是必要的。

这类似于差异化推理。系统通过比较解决方案，将稳定的任务结构与偶发活动区分开来。相较于仅出现一次的修改，跨独立成功会话重复出现的改动更值得信任。

不过，“独立”需要谨慎解读。后续会话使用的 agent 面对的是相同的任务和代码仓库上下文。它们的输出彼此独立，但其观察结果未必与所有被投毒的输入隔离。已知的失败案例说明了这一边界为何重要。

这也带来成本。系统至少需要两个后续成功会话，才能提供该 skill。罕见任务可能永远无法积累足够证据。快速变化的代码库可能在验证完成前就已改变。重复运行还会消耗模型时间和算力。

团队可以降低复现阈值以加快准入，但这会削弱核心保证。也可以提高阈值，但届时可用的记忆会更少。复用前证明，将对记忆的信任转化为延迟与置信度之间的明确取舍。

该研究并未确定理想阈值。在这个测试场景中，两个后续会话有效。风险更高的工作流，例如部署凭据或支付逻辑，可能需要更多证据和更强的验证器。低风险的格式化任务或许可以接受较少证据。

该方法最明确的价值在于其理念。成功轨迹应被视为对某种流程的主张。在这些主张获得影响未来 agent 的权威之前，后续工作应当提供证据。

这一结果对重放和朴素记忆设计提出了压力

记忆系统如今需要准入策略，而不只是存储与检索策略。

许多 agent 记忆产品强调捕获、摘要、搜索和个性化。这些功能回答了有价值的操作问题：agent 应保留什么？应如何找到相关上下文？又该如何更新或删除旧记录？

投毒研究提出了一个更前置的问题：一段记忆在有资格影响另一个会话之前，必须经历什么？

重放以隐含方式回答了这一问题。如果某项修改属于一条已记录的成功轨迹，系统就可以再次应用它。这种策略最大化了对历史轨迹的忠实度，也会保留轨迹中捆绑的每一项无关改动。

朴素检索则没那么直接。它向 agent 提供一条经过选择的记忆，再让模型决定如何处理。这样可以减少确定性的传播，但不安全的指导仍会进入决策上下文。

复用前证明在学习与检索之间设置了一道闸门。系统可以立即存储候选流程，同时不将其提供给 agent。存储成为观察；验证决定权威性。

这一差异应当受到企业买家的重视。列出已保存记忆的仪表盘，并不能揭示这些记录是否是活跃指令。安全审查需要候选、已佐证、已批准、已暂停和已退役等生命周期状态。

它们还需要溯源信息。一段记忆应标明来源会话、代码仓库范围、验证命令、后续检查和交付的修订版本。没有这条链路，团队就无法重建 agent 为何接收到特定指令。

据报道，该研究的公开记录区分了 skill 内容、提示词指导和最终代码仓库状态。这是一种良好的审计模式。它让调查人员可以追问：污染是在捕获、准入、检索、解释还是执行阶段发生的？

类似系统可以通过多种方式应对：加入隔离期、要求跨会话佐证、附加信任元数据，或将记忆限制在狭窄的项目范围内。它们也可以检索多条轨迹，并要求 agent 对它们进行比较，而非提供一条综合后的流程。

这些方案都不是免费的。更多元数据会增加存储复杂性。多条轨迹会消耗 token。隔离期会降低即时价值。人工审查会增加延迟，也可能造成审批疲劳。

因此，更安全的设计需要风险分级。关于测试命令的建议，不应与修改身份验证、网络访问或发布自动化的指令采用同样的控制措施。记忆层应考虑遵循某项流程的后果，而不仅是其相似度评分。

Anthropic 在其关于可信 agent的指南中提出了相关论点：agent 安全依赖于模型、运行框架、工具和环境全链路的保护。记忆闸门无法替代沙箱、权限、代码审查或受限凭据。

这一更广泛的视角也避免将 MuscleMemory 的结果简化为产品对比实验。该实验并未证明所有检索式记忆都不安全，也未证明某一种流程记忆实现能够解决投毒问题。它表明，在一个特定的受控任务中，不受限制的复用更频繁地暴露了可疑内容。

尽管如此，举证责任已经转移。宣传跨会话学习的系统，应解释如何处理包含不必要或对抗性修改的成功会话。“测试通过了”已不再是完整答案。

已知失败案例显示了复现何处失效

当后续会话反复遇到同一被投毒的来源时，复用前证明会失效。

该项目披露了一个主表之外、发生在代码仓库层面的独立失败案例。在那次运行中，恶意内容进入了每个 agent 都会读取的仓库指令。后续会话复现了受污染的行为，因为它们的共享环境要求其如此行事。

据报道，MuscleMemory 在五个计分 Haiku 会话中全部验证并提供了被投毒的 skill。恶意内容也五次出现在代码中。无记忆组同样五次产生了它。

这一结果界定了该方法的边界。复现可以过滤仅出现在一个会话中的异常；但当每个会话都接收到同一个被污染的前提时，它无法区分真相与协同式重复。

这一失败更像数据投毒，而非孤立的轨迹污染。后续 agent 本应充当独立证人，却共享了被攻破的证据。它们的一致意见反而强化了错误结论。

这个问题并非 MuscleMemory 独有。任何佐证系统在验证者共享攻击者控制的来源时都可能失效。多个 agent、模型或运行并不会自动产生独立性，前提是它们读取的是同一份被投毒的指令。

这一限制也使“两次后续会话”这一说法变得复杂。会话隔离并不保证来源隔离。安全主张应描述：在各次验证运行中，哪些输入、工具、代码仓库和指令渠道仍然是共享的。

更强的设计可能会将记忆绑定到输入溯源信息。它可以标记一条指令来自用户、仓库文件、网页、测试输出还是特权策略；也可以防止低信任来源仅凭模型的重复服从就获得权威。

最近关于来源绑定权威的研究认为，内容评分和普通谱系信息都可能被操纵。该研究提出在写入时将权威绑定到来源，并要求能够抵抗人为制造一致性的佐证机制。

该案例研究也存在统计局限。每个实验单元使用了五个计分会话。作者报告主比较的概率约为 0.24，未达到常见显著性阈值。观察到零次暴露，并不能证明现实世界中的实际发生率接近零。

狭窄的测试场景带来了另一项担忧。同一个任务既为该方法提供了依据，也被用于评估。适用于紧凑配置修复的代码行匹配规则，可能难以应对重构、生成文件、依赖项变更或语义等价的修改。

两个干净的 agent 可能以不同方式解决同一问题：一个可能重命名辅助函数，另一个可能修改调用方，第三个可能改变配置流程。字面交集可能会丢弃有价值的工作，因为正确方案未必共享代码行。

反过来也可能发生。agent 可能重复某项恶意修改，因为它看起来符合惯例、出现在示例中，或遵循共同的模型偏见。一致性是证据，但不是安全性的证明。

隐藏验证器带来了进一步警示。其 187 项检查听起来颇为全面，但所有计分代码仓库都通过了检查，其中包括全部 30 个被重放的恶意内容。检查衡量了预期行为，却没有拒绝这些金丝雀。大量测试并不保证广泛的安全覆盖。

另一个局限涉及执行。主研究发现了暴露差异，但没有任何计分模型仅仅因为记忆中展示了恶意内容就照做。这使得无法直接估算危害减少了多少。阻止暴露的防御具有价值，但读者不应将零暴露等同于零成功攻击。

发布的数据提高了透明度，但公开记录不等同于第三方复现。独立研究者仍需重建运行框架、检查计分逻辑、验证报告中的表格，并测试更多任务。

该项目还表示，一些存储的数据库和完整转录记录因包含本地路径而未公开。这可以理解，但限制了对完整执行上下文的取证审查。经过脱敏的发布将增强未来分析。

因此，MuscleMemory 的复用前证明应被视为一项有前景、但已记录失效模式的准入规则。它并不是通用的记忆安全保证。

三项测试将决定这一结果能否推广

下一阶段应衡量独立复现、实际行为危害，以及对共享被投毒输入的抵抗力。

第一个信号是跨多样化软件任务的外部复现。研究人员应测试漏洞修复、迁移、重构、依赖更新和安全补丁，并改变代码仓库规模、编程语言、测试质量和 agent 模型。

一次成功的复现应能在不依赖任务特定匹配规则的前提下保留暴露差距。它还应表明，当独立 agent 产出不同的正确实现时，代码行级交集仍能保留足够有用的指导。

若在语义等价的修改上失败，将削弱字面代码行过滤的论据。这种结果将指向更丰富的比较方法，例如程序分析、行为级验证或代码变更的结构化表示。

第二个信号是衡量检索后有害行动的实验。未来研究应使用后果明确的安全金丝雀，然后记录从被投毒写入、检索、模型决策、工具调用到最终状态的完整序列。

这将回答：减少暴露是否真的减少了有害执行。它还可能揭示模型差异。一种模型可能忽略可疑指导，而另一种模型则可能在指令看似相关时持续遵循它。

第三个信号是对共享来源投毒采取更强的应对措施。验证会话应使用彼此独立控制的输入，或记忆系统应在不同来源之间保留信任边界。多个读取同一仓库指令的智能体反复达成一致，不能算作独立佐证。

如果 MuscleMemory 增加来源感知验证，并成功抵御其公开的仓库级失效场景，核心论点将更具说服力。如果这种投毒仍能通过验证，那么“复用前证明”就只能防御孤立的污染。

团队不必等到研究完全成熟后才改进系统。他们可以将已存储的观察结果与活动指令分离，保留会话来源信息，并对高影响流程实施更严格的审查。他们还可以让由记忆生成的修改继续纳入常规测试、沙箱和代码审查流程。

更深层的启示并不是智能体应该遗忘，而是记忆需要一套证据模型。相关性、重复出现以及测试通过各自回答不同的问题，任何一项都无法单独证明安全性。

对于评估 MuscleMemory“复用前证明”的开发者而言，实际问题很明确：你的验证会话能否以足够独立的方式观察任务，从而让一致性具有意义？如果不能，应在部署共享过程性记忆之前增加来源隔离和更强的验证。如果可以，则应在自己的仓库中复现实验，并同时衡量暴露程度与行为表现。