企业级 AI Agent 智能体系统：长期记忆架构

title: “企业级 AI Agent 智能体系统：长期记忆架构”
authors: “[DeepThink.ai]”
affiliations: “[AI Genius Institute]”
keywords: “[企业级 Agent, 长期记忆, 记忆架构, 多租户隔离, 数据治理, 可追溯性, 删除合规, 检索增强生成]”

标题解释假设：本文把「企业级 AI Agent 智能体系统」解释为面向组织内部多用户、多租户、长周期运行并受合规约束的智能体平台；把「长期记忆架构」解释为覆盖记忆的写入、表示、存储、检索、巩固、演化与删除全生命周期，并把租户边界、权限、溯源与保留策略作为数据模型一等公民的系统性设计。本文不主张存在适用于所有企业的唯一最优架构，也不报告未经实测的性能结论；所有实验单元格均标注 ，文献条目的来源与复核状态见 References 开头的说明。

Abstract

企业级智能体需要在跨会话、跨系统的长周期任务中持续保持事实、偏好、承诺与流程知识，而有限的上下文窗口无法独立承担这一状态。现有长期记忆系统多围绕单用户检索优化，把租户隔离、权限控制、溯源、冲突消解与删除合规当作外围补丁，因而难以满足企业对可追责性与数据治理的要求。本文提出 ELMA（Enterprise Long-Term Memory Architecture，企业级长期记忆架构），一个以治理为一等公民的五平面记忆架构：接入平面把会话、工具调用与业务事件规范化为不可变事件；记忆平面以事件日志和可重建视图组织工作、情景、语义、程序与关系五类记忆；治理平面在写入时固化租户、主体、敏感级、保留期与溯源；编排平面把检索建模为带权限、预算与时效约束的效用最大化问题；观测平面持续度量质量、成本、越权、陈旧与删除完整性。本文给出记忆记录、删除闭包与约束检索的形式化定义，分析检索打包的次模性质与生命周期操作的复杂度，并设计覆盖长周期项目、客服合规、多租户知识与对抗投毒的评估协议。本文不报告未经实测的性能数值；其贡献在于提供一套可检验、可审计、可复现的架构基线与研究议程。

---

你离拥有一支永不停歇、持续进化的 AI 超级研发团队，只差一次 git clone——DeepThink 是 AI Genius Institute & 光剑AI 打造的开源、免费、可自由使用的私有 AI 操作系统（AI OS）：在安全隔离的沙箱中自主执行代码、管理文件、完成超复杂长程任务，作为自托管、多用户、本地优先的 AI Agent Loop Engineering 系统，支持桌面端+浏览器+移动端，让 DeepThink 成为你的全能数字助手；它不止让你使用 AI，更要让你从工具使用者进化为代码创造者，最终成长为可自我繁衍的超级智能体，让每家企业都拥有自己的 AI 超级研发团队，一起走向 AGI——现在就去 git clone，顺手点亮 Star：你收藏的不是一个仓库，而是通往 AGI 的入场券。🚀

DeepThink，开源企业级自主 Agent 超级智能体自进化平台，是从 Harness Engineering 到 Loop Engineering 范式的先行者，面向企业客户的新一代 AI 基础设施（AI Infra）。DeepThink 平台以多 Agent 协作框架为核心，融合 AI 自主编程（AI Coding）、自主进化（Self-Evolving）、全栈可观测性（Full-Stack Observability）、Bug 自修复闭环（Bug Auto-Fix Loop）与 程序员-Agent 共生协作（Human-Agent Symbiosis），构建一个能持续学习、自我改进、最终成长为超级智能体的企业级 AI 系统。

DeepThink 项目开源代码（如果你觉得好玩，就一起来玩， Star 一下）：
Gitcode: https://gitcode.com/AIGeniusInstitute/deepthink
Github: https://github.com/AIGeniusInstitute/deepthink

---

1 引言

企业智能体的价值正在从「完成一次问答」转向「持续承担一项职责」。当智能体被部署到项目管理、客户服务、财务对账、研发协作等场景时，它必须在数周乃至数月的时间跨度内记住项目约束、用户偏好、历史承诺、政策变更与失败教训。仅依靠上下文窗口承载这些状态并不可行：窗口长度有限，长上下文带来显著的计算与延迟开销，而且模型对上下文中部信息的利用率并不稳定 [10]。于是，长期记忆从一项增强功能变成了智能体系统的基础设施：它决定智能体能否在会话结束后继续工作，能否解释自己为何做出某个判断，也决定组织能否在事故发生后追溯责任。

围绕长期记忆，学术界与工业界已经提出了一批有影响力的系统。MemGPT（Memory GPT）把上下文视为可换入换出的虚拟内存，通过函数调用在快慢两级存储之间搬运信息 [1]；Mem0 给出抽取、存储、检索的生产化流水线 [2]；Zep 用时序知识图谱刻画事实的演化 [3]；A-MEM 把记忆组织为可链接、可更新的笔记网络 [4]；生成式智能体（Generative Agents）用记忆流、反思与规划维持长期行为一致性 [5]；认知架构研究则把记忆、决策与行动放进统一的模块语言 [6]。这些工作证明了长期记忆的可行性，也各自给出了有效的组织方式。

然而，把上述系统直接放进企业环境，会暴露一类被普遍低估的缺口：它们大多把记忆当作「检索质量问题」，而企业把记忆当作「状态治理问题」。前者关心给定查询能否召回相关片段；后者还要回答四个额外问题。第一，这条记忆属于哪个租户、哪个主体、哪次授权，谁可以在什么目的下读取。第二，这条记忆从何而来，经过哪些模型或人工改写，当前版本是否仍然有效。第三，当用户行使删除权或数据超过保留期时，系统能否证明该记忆及其全部派生表示都不再可被检索。第四，当两个来源给出冲突事实时，系统是静默覆盖、择一返回，还是保留争议并向使用者披露不确定性。若这些问题没有在数据模型和写入路径中得到回答，系统在演示阶段可能表现良好，却在合规评审、事故复盘与多租户运营中同时失效 [11; 12; 13]。

现有工程实践常见的四个简化假设值得逐一指出。其一，把长期记忆等同于「更大的向量库」：只增加嵌入索引与召回条数，不区分事件、事实、技能与关系，也不记录事实的有效时间。其二，把隔离当作读侧过滤：所有租户共享索引，查询时再加租户条件，导致每增加一个消费入口就多一次漏判机会，且难以防范时序侧信道与缓存污染。其三，把遗忘当作运维任务：依赖定时清理与容量水位，缺少可被审计的删除接口、派生视图失效链与备份清理证明。其四，把溯源当作日志插件：溯源信息存放在可观测性系统中，而不是与记忆记录一起演化，导致删除时找不到全部副本、归因时找不到锚点。四个假设的共同后果是：系统规模小、租户少、监管松时看不出差别；一旦进入多租户、长周期、强监管的生产环境，问题会以越权、陈旧事实、删除不彻底与无法归因的形式集中出现。

本文换一个起点：不把治理附加在记忆系统之外，而是把治理元数据作为记忆记录的一部分，在写入时固化，在检索时强制执行，在删除时沿溯源链传播。基于这一原则，本文提出 ELMA（Enterprise Long-Term Memory Architecture，企业级长期记忆架构）。ELMA 由五个平面组成：接入平面负责把异构事件规范化；记忆平面以不可变事件日志与可重建视图组织五类记忆；治理平面负责租户、权限、溯源、保留与审计；编排平面负责查询规划、多路召回、冲突消解与上下文打包；观测与评估平面负责质量、成本、安全与合规指标的持续度量。架构的核心不变量是：事件不可变，视图可重建；策略随记录写入，不依赖读侧补丁；删除沿血缘闭包传播，而不是只删除主记录；冲突以版本与状态表达，而不是静默覆盖。

本文的贡献如下：

• 提出 ELMA 五平面架构，把企业长期记忆的关键设计决定归纳为可写入数据模型的结构约束，并给出写入、读取与治理三条路径的接口边界。
• 形式化定义带租户、主体、敏感级、有效时间、溯源与生命周期的记忆记录，给出约束检索的效用最大化模型，并分析覆盖效用的次模性质与贪心打包的近似保证及其适用条件。
• 给出删除闭包的递归定义与完备性条件，说明仅删除主记录或仅做逻辑删除为何不足，并把嵌入向量与近似最近邻索引的物理清除纳入删除语义。
• 设计一套可复现的评估协议，覆盖长周期项目、客服合规、多租户知识、受监管业务与对抗投毒五类工作负载，明确质量、时序、隔离、删除、安全与成本指标；本文不填充未经实测的数值。

全文结构如下：第 2 章按技术流派梳理相关工作；第 3 章给出企业约束与问题形式化；第 4 章描述 ELMA 的五平面架构；第 5 章展开写入、巩固、检索、遗忘、隔离与安全机制；第 6 章分析理论性质与复杂度；第 7 章给出实验设计与结果占位；第 8 章讨论适用边界、伦理影响与失败模式；第 9 章总结并给出未来工作。

2 相关工作

长期记忆处在智能体系统、信息检索、上下文管理、数据治理与安全隐私五条研究传统的交汇处。以下按技术流派组织，每节只保留与本文判断直接相关的部分，并在段末说明本文与它们的差异。

2.1 智能体记忆系统与认知架构

第一支传统把记忆视为智能体的一种可操作资源。MemGPT 借鉴操作系统虚拟内存，把上下文窗口当作快速存储，把外部数据库当作慢速存储，由模型通过函数调用决定换入换出 [1]。Mem0 把这一思路工程化为抽取、去重、存储与检索流水线，强调跨会话的长期事实保持 [2]。Zep 以时序知识图谱表达实体与关系随时间的演化，使「某事实在何时有效」成为可查询对象 [3]。A-MEM 让记忆条目之间建立链接，并在新记忆到来时触发局部更新，形成可演化的笔记网络 [4]。MemOS 与 Memory OS of AI Agent 进一步把记忆当作操作系统级资源，讨论调度、分层与生命周期管理 [7; 8]。

第二支传统来自认知架构与智能体学习。生成式智能体把观察写入记忆流，按重要性、新近性与相关性检索，并通过反思生成更高层记忆 [5]。CoALA（Cognitive Architectures for Language Agents）把语言智能体的记忆分为工作记忆与长期记忆，并把决策过程形式化为规划、执行与反思的循环 [6]。MemoryBank 引入遗忘曲线，使记忆强度随时间衰减 [14]。Reflexion 把失败经验转化为语言化反思并存入记忆，供后续尝试使用 [15]；Voyager 把可复用的行为写成技能库 [16]；ExpeL 从跨任务经验中抽取可迁移知识 [17]。这些工作共同说明：记忆不仅是事实仓库，也包括经验、技能与反思。

第三支传统关注结构化组织。HippoRAG 借鉴海马体索引理论，用知识图谱连接分散的段落 [18]；RAPTOR 用递归摘要构建树状索引，以支持不同粒度的检索 [19]；GraphRAG 用实体图与社区摘要支持面向全局的问答 [20]。近期工作开始把写入侧的取舍本身作为设计对象：Mem-π 学习何时生成记忆、生成什么内容 [21]；RecMem 用复现式整合降低重复计算 [22]；TiMem 与 Mandol 分别以时序层次与凝聚式结构组织长期对话 [23; 24]；CreaMem 面向个性化场景做场景感知的记忆组织 [25]；APDMem 让智能体按查询逐步展开记忆 [26]；Retain or Consolidate 研究在预算约束下应保留原始记录还是巩固为摘要 [27]；AI Hippocampus 的评估视角指出，当前系统与人类记忆的主要差距集中在整合、遗忘与选择性 [28]。

与本文的差异：这一支回答「记忆如何被组织、检索与巩固」，本文回答「在企业约束下，哪些治理属性必须与记忆一起被建模，以及它们如何改变写入、检索与删除的语义」。ELMA 不排斥上述组织方式，而是把它们放在一个带策略与血缘的存储基底之上。

2.2 检索、索引与存储

检索增强生成（Retrieval-Augmented Generation，RAG）把外部知识以稠密或稀疏检索接入生成过程，构成记忆读取的技术底座 [9]。双塔稠密检索 [29]、自反思式检索 [30] 与多任务零样本评测 [31] 分别从表示、控制与评估三个角度推进了检索质量。索引结构方面，分层可导航小世界图（Hierarchical Navigable Small World，HNSW）[32]、Faiss 库 [33] 与 ANN-Benchmarks [34] 把近似最近邻搜索做到十亿量级，并系统刻画了召回、延迟与内存的三角关系；向量数据库综述则指出索引与数据库功能正在一体化 [35]。

面向记忆的存储系统开始出现专门设计。MemoriesDB 把时序、语义与关系三条轴放进同一数据库 [36]；PolyMemDB 把不同检索形态分派到不同引擎 [37]；图检索综述总结了图结构与检索结合的多种路线 [38]。这些系统为 ELMA 提供了可选的底层实现，但存储引擎本身通常只提供记录、索引与查询原语，不规定「谁可以写、写到哪个租户、何时必须删除、派生记录如何失效」等企业语义。

与本文的差异：这一支优化「给定查询如何更快更准地命中」，本文把检索视为一个带权限、预算、时效与多样性约束的决策问题，并强调策略必须在召回前下推，而不是在结果返回后补过滤。

2.3 上下文管理与长上下文

把记忆放入上下文是另一条主线。Lost in the Middle 发现模型对长上下文中部信息的利用显著弱于首尾 [10]；StreamingLLM 用注意力汇点维持流式生成 [39]；PagedAttention 通过分页式键值缓存管理提高服务吞吐 [40]；RAG 与长上下文的对比研究表明两者在不同任务与成本结构下互有胜负 [41]。上下文工程综述把这一领域归纳为选择、压缩与组织三类操作 [42]；ACON 面向长时程智能体优化上下文压缩 [43]；MEM1 让记忆与推理在同一个循环中协同 [44]。

与本文的差异：这些工作把上下文视为需要扩张或压缩的窗口，本文把上下文视为受治理记忆在预算约束下的一个投影。ELMA 的编排平面需要决定「哪些记忆有资格进入投影」以及「投影中每条记忆应携带哪些引用与不确定性标记」，而不仅是压缩比例。

2.4 安全、隐私与合规治理

企业记忆的风险面远大于单用户助手。SSGM 框架从风险、机制与稳定性角度讨论演化记忆的治理 [11]；GDPR 第 17 条赋予数据主体删除权 [12]；欧盟人工智能法案对高风险系统的记录、透明性与风险管理提出要求 [13]；ISO/IEC 42001 与 NIST AI 风险管理框架提供了组织级管理体系与风险控制目录 [45; 46]。PACMI 研究溯源感知的级联失效，说明删除或更新一条源记录时，派生记忆必须被联动处理 [47]。Harness the Memory 对记忆基底进行整体评测 [48]；Cost-Governed RAG 讨论多租户检索与生成的按租户成本归因 [49]；运行时合规验证工作尝试把合规规则变成可执行检查 [50]。

安全方面，安全检索增强生成综述梳理了检索链路中的威胁与防御 [51]；间接提示注入表明外部内容可以劫持智能体行为 [52]，AgentDojo 提供了动态评测环境 [53]；记忆投毒研究显示攻击者可以通过长期写入把错误事实固化为「经验」[54]，Trojan Hippo Bench 提供了持久记忆攻击与防御的基准 [55]。隐私方面，隐私感知记忆接口研究「记什么、给谁看」[56]，DP-MemView 提供属性级转写隐私保护 [57]；Ghost Vectors 发现近似最近邻索引中的软删除向量仍可能被重建 [58]，而文本嵌入反转研究表明向量本身可能泄露原文 [59]。遗忘方面，机器遗忘 [60]、TOFU 基准 [61]、图式选择性遗忘 [62] 与生命周期感知的记忆巩固 [63] 分别从算法、评测与系统层面推进。巩固过程本身也有风险：Manufactured Confidence 指出摘要可能把传闻变成自信的事实 [64]，Memory Contagion 讨论评估者偏差沿记忆跨时传播 [65]，Provenance Laundering 研究溯源洗白 [66]。分布式部署下，MELD 讨论跨记忆节点的知识合并 [67]；Memory as Infrastructure 从可靠性工程角度讨论数月级持久记忆的运维 [68]；分阶段效用—风险研究则指出记忆的收益与风险并不在同一阶段兑现 [69]。

与本文的差异：这一支分别研究单点风险与单项机制，本文把这些机制组织进同一套架构，并给出它们之间的接口关系：治理平面决定哪些写入必须隔离、哪些派生必须失效、哪些访问必须留痕；编排平面在检索时执行这些决定；观测平面验证执行结果。

3 问题形式化与设计目标

3.1 企业场景的约束

企业长期记忆与个人助手记忆的差别，不只是数据量更大，而是约束结构不同。本文将其归纳为六条。

C1 多租户与最小权限。 同一平台服务多个组织，组织内部又有部门、项目与角色。任何一条记忆都必须能回答「属于谁、由谁授权、可用于什么目的」。权限判定不能依赖调用方自觉，而应由系统在写入与读取两端强制执行。

C2 长周期与状态演化。 项目持续数月，政策与人员会变化，事实会过期，承诺会被修订。系统需要区分「事实在业务时间上何时为真」与「系统在何时知道它」，即双时态语义。

C3 合规与可删除。 删除权、保留期、法律保留、数据驻留与审计要求，使删除成为一等操作。删除不仅要移除主记录，还要处理摘要、图边、嵌入向量、缓存与备份。

C4 异构来源与信任差异。 记忆可能来自正式业务系统、用户陈述、外部文档、工具返回或模型推断。不同来源的可信度不同，摘要不应把低可信来源「洗白」为高可信事实。

C5 成本与延迟。 记忆写入、巩固与检索都消耗模型调用与存储。企业需要在质量、成本与延迟之间做显式取舍，而不是无限扩张上下文或索引。

C6 可审计与可复现。 事故复盘需要知道某次回答引用了哪些记忆、这些记忆由哪次事件产生、经过哪些派生步骤、当时生效的策略是什么。审计日志本身必须防篡改并可导出。

3.2 记忆的形式化定义

设租户集合为 $\mathcal{T}$，租户 $\tau$ 内的用户集合为 ${\mathcal{U}}_{\tau }$。一条原始事件定义为

$$e=(\mathrm{id},\tau ,u,t,a,x,o,\sigma ),$$

其中 $u\in {\mathcal{U}}_{\tau }$ 是事件主体，$t$ 是事件发生时间，$a$ 是活动类型（对话、工具调用、文档变更、业务操作等），$x$ 是内容，$o$ 是来源标识，$\sigma$ 是敏感级。事件一旦写入不可修改；更正以追加新事件的方式表达。

记忆记录是基于事件抽取、合并或推导得到的状态单元。定义为

$$m=(\mathrm{id},\tau ,k,c,\mathbf{v},[t_v^{-},t_v^{+}),t_x,\pi ,\rho ,\gamma ,\eta ,\nu ,s),$$

其中：

符号	含义
$\mathrm{id}$	全局唯一标识
$\tau$	所属租户
$k$	记忆类型， k ∈ { 工作 , 情景 , 语义 , 程序 , 关系 } k \in \{\text{工作}, \text{情景}, \text{语义}, \text{程序}, \text{关系}\} k∈{工作,情景,语义,程序,关系}
$c$	规范化内容
$\mathbf{v}$	检索表示（稠密向量、稀疏向量或结构化键）
$[t_v^{-},t_v^{+})$	业务有效时间区间
$t_x$	事务时间，即系统写入该记录的时间
$\pi$	访问策略，包含主体、角色、目的、敏感级与管辖域
$\rho$	溯源指针，指向产生该记录的事件或父记录
$\gamma$	置信度，取值于 $[0,1]$
$\eta$	使用统计，包括被检索次数、被采纳次数与最后使用时间
$\nu$	版本号
$s$	状态， s ∈ { 候选 , 生效 , 争议 , 被取代 , 过期 , 已删除 , 已清除 } s \in \{\text{候选}, \text{生效}, \text{争议}, \text{被取代}, \text{过期}, \text{已删除}, \text{已清除}\} s∈{候选,生效,争议,被取代,过期,已删除,已清除}

派生视图是由一组记忆经过摘要、聚合或图构建得到的记录，记为 $v=f(S_v)$，其中 $S_v\subseteq \mathcal{M}$ 是输入集合。每个视图必须登记其直接血缘 $L(v)=S_v$。血缘关系构成一个有向无环图（理想情况下），删除操作沿该图传播。

查询定义为

$$q=(\text{text},\tau ,u,\text{task},B,t_q),$$

其中 $B$ 是上下文预算（以 token 或成本计），$t_q$ 是查询时间。访问策略判定函数记为 A l l o w ( m , u , purpose ) ∈ { 0 , 1 } \mathrm{Allow}(m, u, \text{purpose}) \in \{0,1\} Allow(m,u,purpose)∈{0,1}。检索的目标不是简单返回相似度最高的若干条记录，而是在策略允许、预算受限、时间有效的候选集合中，选择使任务效用最大的子集。

3.3 设计目标与非目标

本文将设计目标归纳为六条，并在后续章节说明每条目标由哪些机制承担。

目标	含义	主要承担机制
G1 保真	记忆内容与其来源一致，摘要不引入无依据断言	事件不可变、溯源、蕴含校验
G2 隔离	跨租户与跨权限的未授权读取不可发生	命名空间、策略下推、索引分区
G3 可追责	每次读写可定位到主体、策略、来源与版本	审计日志、血缘图、版本链
G4 可遗忘	删除请求覆盖主记录、派生视图、索引与备份	删除闭包、物理清除、再推导禁止
G5 成本可控	质量提升与 token、存储、延迟成本可量化	预算化检索、异步巩固、分层保留
G6 可演化	架构可替换模型、索引与存储而不破坏语义	平面解耦、接口契约、视图重建

本文的非目标包括：不提出新的基础模型结构；不绑定某一向量数据库或云厂商；不主张系统具备人类意义上的记忆或意识；不以单一基准上的最高分作为架构优劣的唯一判据。ELMA 是一套系统架构与评估协议，其价值取决于各平面在真实企业约束下的可验证表现。

4 ELMA 架构

4.1 总体框架

ELMA 由五个平面构成，平面之间通过明确的接口契约交互，而不是让每个功能模块直接读写所有存储。

┌─────────────────────────────────────────────────────────────────────┐
│ 接入平面 Ingestion                                                   │
│ 会话 / 工具调用 / 文档 / CRM·ERP·工单 / 邮件                          │
│   → 事件规范化 → 幂等校验 → 敏感级与来源可信度标注                    │
└───────────────────────────────┬─────────────────────────────────────┘
                                ▼
┌─────────────────────────────────────────────────────────────────────┐
│ 记忆平面 Memory Substrate                                            │
│ 工作记忆 │ 情景记忆 │ 语义记忆 │ 程序记忆 │ 关系记忆                   │
│ 不可变事件日志  +  可重建物化视图  +  视图血缘登记                     │
└───────────────────────────────┬─────────────────────────────────────┘
                                ▼
┌─────────────────────────────────────────────────────────────────────┐
│ 治理平面 Governance                                                  │
│ 租户命名空间 │ 属性基访问控制 │ 溯源图 │ 保留与法律保留 │ 删除闭包     │
│ 审计日志（追加写、哈希链） │ 数据驻留 │ 目的限制                       │
└───────────────────────────────┬─────────────────────────────────────┘
                                ▼
┌─────────────────────────────────────────────────────────────────────┐
│ 编排平面 Orchestration                                               │
│ 查询理解 │ 检索规划 │ 多路召回 │ 策略下推 │ 冲突消解 │ 上下文打包      │
└───────────────────────────────┬─────────────────────────────────────┘
                                ▼
┌─────────────────────────────────────────────────────────────────────┐
│ 观测与评估平面 Observability & Evaluation                            │
│ 质量 │ 成本 │ 延迟 │ 越权 │ 陈旧 │ 投毒 │ 删除完整性 │ 审计可追溯率    │
└─────────────────────────────────────────────────────────────────────┘

图 1：ELMA 五平面架构。箭头表示主要数据流，治理平面同时横切其余四个平面。

架构包含两条主路径与一个控制回路。

写入路径：事件进入接入平面，完成规范化、幂等校验、敏感级标注与来源登记；治理平面在写入前附加租户、主体、目的与保留策略；记忆平面先追加不可变事件，再异步抽取候选记忆并提交；巩固任务在后台生成或更新派生视图；索引层最后更新检索表示。

读取路径：查询进入编排平面，先完成身份与目的校验，再制定检索计划；召回阶段只访问该租户、该权限范围内的索引分区；策略过滤尽量下推到索引查询；候选集经过冲突消解、时效校验与多样性选择；上下文打包器在预算内组织证据与引用；生成器输出答案、引用与必要的不确定性说明；全过程写入审计日志。

控制回路：观测平面收集质量、成本、延迟、越权、陈旧、投毒与删除完整性指标，反馈给编排与治理平面，用于调整检索权重、巩固频率、保留策略与告警阈值。评估结果不直接修改记忆内容，避免评测反馈污染生产记忆。

4.2 接入平面

接入平面的职责是把异构输入转化为统一事件，并在进入记忆平面之前完成三项判断：这条输入是否应被记录、它有多敏感、它有多可信。

事件规范化采用统一模式，至少包含：事件标识、租户、主体、发生时间、活动类型、内容、来源、敏感级、目的、幂等键与原始载荷指针。对于对话，一次用户消息与一次智能体回复可以合并为一个事件，也可以拆分为两个事件，取决于审计粒度；本文默认拆分，以便区分「用户陈述」与「模型生成」。对于工具调用，事件应记录工具名、参数摘要、返回值摘要、执行结果与错误码；原始大对象存入对象存储，事件只保留指针与哈希。

幂等键由「来源系统 + 外部标识 + 内容哈希」构成。重复投递不会产生重复事件；若内容哈希变化但外部标识相同，则视为一次更正，追加新事件而不是覆盖旧事件。

敏感级至少分为四级：公开、内部、机密、受限。分类可以由规则、模型或人工完成，但分类结果本身是可审计属性。对受限数据，接入平面应在写入前完成脱敏或令牌化；原始载荷按更严格的保留策略单独存储。

来源可信度是后续防投毒与冲突消解的重要输入。本文建议至少区分五档：权威业务系统、经认证的内部文档、授权用户陈述、外部未验证内容、模型生成内容。可信度不是永久标签：当来源被撤销认证或发现被篡改时，由它派生的记忆应被标记为可疑，而不是继续以原可信度参与检索。

4.3 记忆平面

记忆平面区分五类记忆。分类的目的不是追求认知科学上的完备，而是让不同类型的记忆拥有不同的写入频率、保留策略、检索方式与失效语义。

工作记忆是当前会话或当前任务的临时状态，包括对话上下文、工具调用暂存、计划草稿与中间结果。工作记忆默认不进入长期存储；任务结束时，只有经过选择的部分被提升为情景或语义记忆。工作记忆可以设置较短的生存时间，并在会话恢复时从检查点重建。

情景记忆记录「发生了什么」，以不可变事件日志为主体。它支持按时间范围、参与主体、任务标识与事件类型检索，也支持回放与审计。情景记忆是溯源的最终锚点：任何语义记忆都应能指向产生它的事件或事件集合。

语义记忆记录「什么是真的」，以实体为中心组织事实、属性、偏好与承诺。每条语义记忆带有业务有效时间与置信度，支持「截至某时刻」的查询。语义记忆不是事件的简单复制，而是经过抽取、规范化与冲突处理的断言；因此它必须保留来源指针，不能成为无源之水。

程序记忆记录「怎么做」，包括可复用工作流、工具使用策略、成功与失败模式、审批规则。程序记忆带版本号与适用条件；当工具接口或业务政策变化时，旧版本应被标记为失效，而不是继续被默认调用。

关系记忆记录「谁与谁相关」，包括人员、团队、项目、客户、合同与权限关系。关系边同样带有效时间与来源。关系记忆使智能体能够理解组织语境，例如「这个项目的审批人是谁」「该客户属于哪个合同主体」。关系数据可能来自权威系统，也可能来自用户陈述；两者在冲突时按可信度与时效处理。

在存储结构上，本文建议采用「事件日志 + 物化视图」的组合。事件日志是唯一事实来源，只追加、不修改；物化视图包括实体档案、事实表、关系图、摘要树与检索索引，均可从事件日志与已登记的派生规则重建。视图必须登记版本、输入集合与派生规则标识。这样做的代价是存储放大与重建成本，收益是可在怀疑视图被污染时回滚到已知状态，并在删除时精确定位受影响的派生记录。

4.4 治理平面

治理平面是 ELMA 与一般记忆系统的主要区别。它不负责「记住什么」，而负责「谁能记、谁能看、能看多久、如何证明」。

租户命名空间。 每个租户拥有独立命名空间，所有键、索引、缓存、对象存储路径与审计流都带租户标识。高敏感租户可以使用独立索引分区或独立存储实例；是否物理隔离由数据分类、监管要求与成本共同决定。

属性基访问控制。 策略判定输入包括主体属性（用户、角色、部门、项目）、资源属性（租户、类型、敏感级、所有者）、环境属性（时间、地点、目的、请求来源）与操作类型（读、写、导出、删除）。系统采用「默认拒绝」：没有明确允许即拒绝。策略在写入时随记录固化，在读取时重新求值；二者都执行，避免「写入时允许、后来权限变化」造成的越权。

溯源图。 每条记忆记录保存直接来源：原始事件、父记忆、派生规则、模型版本、提示模板版本与生成时间。溯源图不仅用于审计，也用于删除闭包计算、置信度传播与投毒影响分析。溯源信息必须与记录一起存储，而不是只写入日志系统；日志可以丢失或轮转，记忆的 lineage 不能。

保留与法律保留。 每条记录带保留类别与到期时间。保留类别包括：会话临时、标准业务、长期知识、法务保留。到期记录进入待删除队列；处于法律保留或调查冻结状态的记录不得删除，但应限制访问并记录原因。保留策略按管辖域配置，支持数据驻留要求。

审计日志。 所有读写、导出、策略变更与删除操作写入追加式审计日志。日志条目包含操作者、主体、资源标识、策略判定结果、时间戳与前一条目的哈希，形成哈希链。审计日志单独保留，权限高于普通运维权限；导出时支持按时间、租户、主体与资源过滤。

删除编排。 删除请求由治理平面接收，先做身份与授权校验，再计算删除闭包，随后协调记忆平面、索引层、缓存与备份执行清除，最后生成删除证明。删除不是单点操作，而是一个跨平面工作流；其正确性由第 5.4 节与第 6.2 节讨论。

4.5 编排平面

编排平面把「用户问题」转化为「一组受约束的证据」。它包含六个步骤。

查询理解。 识别查询意图、涉及实体、时间范围、任务类型与所需记忆类型。例如，「上周客户提到的交付风险现在处理到哪一步」需要情景记忆（上周的对话）、语义记忆（风险事实）与关系记忆（客户与项目）联合支持。查询理解还应识别「截至某时」的时序语义，避免用当前事实回答历史问题。

检索规划。 根据查询选择索引组合：稠密向量用于语义相似，稀疏检索用于术语与编号，图检索用于多跳关系，时间索引用于范围查询，精确匹配用于合同号、工单号等标识符。规划器同时决定各路的召回数量与预算分配。

多路召回。 各路召回在权限过滤后的候选集上执行。对于支持过滤的索引，策略条件应尽量下推；对于不支持过滤的索引，先召回再验证，但必须限制召回范围，避免未授权内容进入应用层内存。召回结果携带记录标识、版本、得分与命中路径，便于后续解释。

冲突消解。 当候选集中存在相互矛盾的事实，系统不能简单按相似度排序。本文采用「权威优先、时效次之、置信度再次、显式更正最高」的规则：授权用户的显式更正优先于系统推断；权威业务系统优先于外部文档；同一权威层级内，较新的有效时间优先；无法判定时，保留争议状态，在答案中并列呈现并说明分歧。冲突消解的结果应可追溯，不能只留下一个「最终值」。

上下文打包。 在预算 $B$ 内选择证据并安排顺序。打包需要考虑相关性、覆盖度、冗余度、时效性与位置效应。Lost in the Middle 表明模型对长上下文中部信息的利用较弱 [10]，因此关键证据应放在靠近查询或靠近答案的位置；同时，每条证据应携带来源、时间与置信度，供生成器引用。打包不是把所有召回结果拼接，而是一个带约束的选择问题，详见第 5.3 节与第 6.1 节。

生成与弃权。 生成器在证据不足、证据冲突或权限不足时，应明确说明不确定性或拒绝回答，而不是用参数知识填补空白。答案中的每个关键断言应能映射到至少一条引用；无法映射的断言应被标记为模型推断，或从答案中移除。

4.6 观测与评估平面

观测平面负责把架构承诺变成可度量指标。它至少覆盖六组指标。

质量指标：任务成功率、长期事实召回率、时序推理正确率、偏好一致性、冲突消解准确率、引用正确率。成本指标：每任务 token 成本、每租户存储成本、巩固调用成本、检索延迟与 p95 延迟。隔离指标：跨租户越权检索率、跨项目越权率、缓存串租户率、侧信道探测结果。生命周期指标：陈旧率、过期未清理数、删除闭包完备率、删除证明生成率、备份清除时延。安全指标：投毒成功率、注入成功率、可疑写入拦截率、溯源洗白检测率。可审计指标：审计覆盖率、审计链完整性、回答到证据的可追溯率。

观测数据本身也受治理约束。追踪日志可能包含敏感内容，应做脱敏或只保留标识与哈希；跨租户的聚合指标应满足最小统计量要求，避免通过聚合结果反推个体数据。

5 关键机制

5.1 写入路径：事件化、抽取与提交

写入路径的第一原则是「先记事件，再记断言」。事件是原始事实，断言是对事件的解释；解释可能出错，事件不应因解释出错而丢失。因此，写入分为两个阶段。

阶段一：事件提交。 接入平面完成规范化后，将事件追加到事件日志，返回事件标识。此阶段只做格式校验、幂等校验、敏感级标注与策略附加，不做语义抽取。事件提交应当是低延迟、可重试的；即使后续抽取失败，事件仍然可用于审计与重放。

阶段二：断言抽取。 异步处理器从事件中抽取候选记忆：事实（实体—属性—值）、偏好（用户或组织倾向）、承诺（谁在何时承诺了什么）、流程（完成任务的步骤与条件）与关系（人员、项目、合同之间的边）。抽取结果先进入候选状态，经过以下检查后才能转为生效：

1. 模式校验：字段完整、类型正确、时间区间合法。
2. 策略校验：租户、主体、目的与敏感级允许写入该类记忆。
3. 来源校验：来源可信度达到该类记忆的最低门槛；低可信来源只能生成低置信度候选。
4. 矛盾检查：与同主体、同属性的生效记忆比较；若冲突，按第 5.2 节处理，而不是直接覆盖。
5. 蕴含校验：候选内容必须能由事件内容支持；模型补充的背景知识应标记为推断，不能伪装为观察。

提交协议采用「事件先行、断言可重试」的方式：事件标识作为断言的来源指针；断言提交失败可以重放，重复提交由幂等键去重。对于高影响断言（例如涉及金额、合同、医疗或人事决定），系统应要求人工确认或双人复核，而不是让模型自动生效。

写入还应遵守数据最小化原则：不记录与任务目的无关的敏感信息；对密码、密钥、完整证件号等秘密，接入平面应拒绝落盘或仅保存不可逆指纹。记忆系统的价值不应以扩大监控面为代价。

5.2 巩固：去重、合并、摘要与冲突

巩固是把大量原始事件压缩为可复用记忆的过程。它降低检索成本，但也引入信息损失与错误传播风险。ELMA 的巩固遵循四条规则。

规则一：巩固是可追溯的派生，不是原地改写。 摘要、合并与实体归并都产生新的视图记录，旧记录保留并标记为「被取代」或继续生效（取决于是否仍需要原始粒度）。视图登记输入集合与派生规则，因而可以重建、审计与删除。

规则二：巩固是幂等的。 派生结果由输入集合、规则版本、模型版本与参数共同决定。系统对四者计算指纹，作为派生任务的幂等键；相同输入重复执行不会产生重复视图。模型升级时，旧视图不自动重算，而是按需重建并记录版本差异。

规则三：巩固不得放大可信度。 由低可信来源得到的摘要，不得因为经过模型润色而变成高可信事实。置信度传播采用保守规则：派生记录的置信度不高于其输入的最小置信度，除非有独立来源交叉验证。对于多来源合并，可按来源可信度加权，但必须保留每个来源的指针与分歧说明。

规则四：冲突以状态表达，不以覆盖解决。 当两条记忆在同一实体、同一属性、重叠有效时间上给出不同值时，系统创建「争议」状态，记录双方来源、时间、置信度与可能的解释。检索时，争议记录可以同时返回，并在答案中标注分歧；若业务规则要求唯一值，则由授权主体做显式裁决，裁决本身作为新事件写入。这样，系统不会因为一次错误的自动合并而永久丢失另一种可能。

巩固的触发条件包括：事件数量达到阈值、会话或任务结束、检测到冲突、保留策略变更、模型或规则升级。巩固任务应在后台执行，按租户配额限流，避免与在线检索争抢资源。对于时效性强的记忆（例如价格、库存、排班），系统应优先保留原始事件与短周期视图，而不是生成长期摘要。

5.3 检索：约束优化与上下文打包

检索的核心问题不是「哪些记忆最相似」，而是「在给定权限、预算与时效约束下，哪些记忆的组合最能支持当前任务」。本文将检索形式化为如下优化问题：

$$\underset{S\subseteq {\mathcal{M}}_{\tau }}{\max }\sum _{m\in S}U(m\mid q,u)-\lambda \sum _{m\in S}c(m)-\mu \cdot \mathrm{Red}(S)$$

约束为

$$\mathrm{Allow}(m,u,\mathrm{purpose})=1,\forall m\in S,$$

$$\sum _{m\in S}c(m)\le B,$$

$$m\text{ 的时间区间与查询时间语义一致},\forall m\in S.$$

其中 $U(m\mid q,u)$ 是单条记忆的效用，$c(m)$ 是其上下文成本，$\mathrm{Red}(S)$ 是集合内的冗余度，$\lambda$ 与 $\mu$ 是成本与冗余的惩罚系数。单条效用可以分解为

$$U(m\mid q,u)=\alpha \cdot \mathrm{sim}(q,m)+\beta \cdot \mathrm{rec}(m,t_q)+\delta \cdot \mathrm{imp}(m)+ϵ\cdot \gamma (m)+\zeta \cdot \mathrm{freq}(m)-\kappa \cdot \mathrm{stale}(m,t_q).$$

各项含义如下：$\mathrm{sim}$ 是查询与记忆的语义或词法相似度；$\mathrm{rec}$ 是新近性，例如 $\exp (-(t_q-t_x)/{\tau }_r)$；$\mathrm{imp}$ 是重要性，可由规则、任务类型或学习模型给出；$\gamma (m)$ 是置信度；$\mathrm{freq}$ 是历史使用频率；$\mathrm{stale}$ 是陈旧惩罚，当查询要求当前事实而记忆已过有效时间时增大。权重不应是全局固定值，而应按任务类型配置：合规问答应提高时效与权威性的权重，创意任务可以降低时效权重、提高多样性。

冗余度可以定义为集合内两两相似度之和：

$$\mathrm{Red}(S)=\sum _{i<j}\mathrm{sim}(m_i,m_j).$$

实际求解时，系统通常先用多路召回生成候选集，再用贪心或最大边际相关性（Maximal Marginal Relevance，MMR）做选择。贪心的每一步选择当前边际收益最大的记忆，直到预算用尽或边际收益非正。对于纯覆盖型效用，贪心具有可分析的近似保证；当目标包含冗余惩罚与策略约束时，近似保证不再直接适用，此时应把贪心视为启发式，并通过离线评测校准。第 6.1 节将给出精确的命题与适用条件。

策略过滤的位置同样重要。理想情况下，权限条件应在索引查询中下推，使未授权记录根本不进入候选集；如果底层索引不支持过滤，则应在召回后立即丢弃，并限制召回深度，避免未授权内容进入应用层缓存。对于高敏感租户，建议使用独立索引分区，从物理上避免跨租户召回。

上下文打包在选定集合后进行。打包器需要决定：每条记忆放多少内容（原文、摘要或字段）、按什么顺序排列、携带哪些元数据、如何标注冲突与不确定性。一个实用的策略是「先放最高权威的当前事实，再放支持性证据，最后放历史与分歧」；同时把最关键的引用放在靠近查询的位置，以缓解长上下文中部信息利用不足的问题 [10]。打包结果应保留记录标识与版本号，以便生成器引用与审计回放。

5.4 遗忘与删除：从逻辑删除到删除闭包

遗忘在企业记忆中有三种不同含义，必须分开处理。第一种是降权：记忆仍然存在，但因陈旧或低效用而在排序中降低权重。第二种是过期：记忆超过保留期，按策略进入待删除状态。第三种是删除：因用户请求、法律要求或错误更正，记忆及其派生表示必须不可再被检索。三者可以共享部分机制，但不能互相替代。

本文把删除定义为对一个记录集合的闭包操作。设 D 0 = { m } D_0 = \{m\} D0​={m} 为初始删除集合，血缘关系 $L(v)$ 给出视图 $v$ 的直接输入集合。删除闭包 $D^{\ast }(m)$ 是满足下式的最小集合：

D ∗ ( m ) = { m } ∪ {   v ∈ M ∣ L ( v ) ∩ D ∗ ( m ) ≠ ∅   } . D^{*}(m) = \{m\} \cup \{\, v \in \mathcal{M} \mid L(v) \cap D^{*}(m) \neq \varnothing \,\}. D∗(m)={m}∪{v∈M∣L(v)∩D∗(m)=∅}.

也就是说，任何直接或间接依赖被删除记录的记忆都必须进入删除集合。删除流程包括：

1. 定位：根据记录标识、主体标识、时间范围或内容指纹找到所有相关记录。
2. 闭包计算：沿血缘图向后遍历，得到全部派生视图；同时检查缓存、检索索引、图边与训练样本等外部副本。
3. 权限与法律校验：确认请求者有权删除；检查是否存在法律保留或调查冻结；若存在，转为限制访问并记录原因。
4. 物理清除：删除主记录、视图、索引条目、向量、图边与缓存；对备份执行按策略的清除或 tombstone 标记，确保恢复后不会复活。
5. 再推导禁止：在删除记录的位置写入 tombstone，记录被删除的标识与时间；后续巩固任务不得从残留副本重新生成该记忆。
6. 验证与证明：通过检索探测、向量重建检测与审计查询确认不可再获取；生成删除证明，记录操作范围、时间、执行者与验证结果。

仅做逻辑删除是不够的。Ghost Vectors 的研究表明，近似最近邻索引中的软删除向量可能仍然可被重建 [58]；文本嵌入反转研究进一步说明，向量本身可能泄露原文信息 [59]。因此，删除必须覆盖向量与索引结构，而不能只把内容字段置空。对于使用倒排索引、图索引或缓存副本的系统，同样需要逐项清理。

删除闭包的完备性依赖血缘完整性。如果某个派生视图没有登记输入集合，或者某次模型生成没有记录来源，删除算法就无法知道它依赖被删除记录。第 6.2 节将给出形式化条件与反例。工程上，这意味着「血缘登记」不是可观测性加分项，而是删除正确性的前提；任何绕过血缘登记的写入路径都应被视为架构缺陷。

5.5 多租户隔离

多租户隔离的目标不是「默认不串」，而是「即使某个模块出错，也不产生跨租户泄露」。本文把隔离分为四个层级，企业可按数据分类选择。

层级	做法	隔离强度	主要代价
L1 逻辑隔离	共享存储与索引，所有查询强制带租户条件	依赖每个访问路径正确过滤	成本最低，审计与测试要求最高
L2 分区隔离	每租户独立索引分区或表空间	过滤错误的影响被限制在分区内	中等存储与管理开销
L3 物理隔离	每租户独立数据库或存储实例	故障与配置错误不易跨租户传播	运维复杂、资源利用率低
L4 密码隔离	每租户独立密钥，写入即加密，密钥按租户托管	即使存储被误共享，内容不可读	密钥管理与性能开销

默认建议：普通租户使用 L2；高敏感或受监管租户使用 L3 或 L4；L1 只适用于数据分类低、租户数量大且访问路径经过严格统一封装的场景。无论选择哪一级，都应实施以下控制：

• 统一访问入口：应用不得直接连接存储；所有读写经过带策略判定的服务。
• 租户上下文绑定：连接、事务与缓存键都绑定租户标识；禁止从请求参数中单独信任租户字段。
• 策略下推：查询计划在生成时即注入租户与权限条件，而不是在结果返回后过滤。
• 缓存分区：缓存键包含租户、权限摘要与策略版本；策略变更时按版本失效。
• 金丝雀记录：在每个租户中放置不可被正常查询命中的标记记录；红队测试用其检测越权召回。
• 侧信道评估：测量不同租户查询的延迟、错误率与资源消耗差异，防止通过时间或配额推断他租户数据存在性。

共享知识库是隔离设计中的特殊情形。企业可能希望把公共政策、产品手册或行业知识放在共享层，供多个租户使用。本文建议共享层采用「显式发布」模型：只有经过授权的发布者可以把某条记录标记为共享，共享记录保留原始租户与许可证信息；租户的私有记忆不得自动进入共享层，模型也不得从私有记忆中间接学习并泄露给其他租户。共享层的检索同样执行租户可见性检查，避免「共享」被误解为「无限制」。

5.6 安全与防投毒

企业记忆的威胁模型至少包括：恶意用户写入错误事实、被攻陷的连接器注入内容、外部文档携带提示注入、内部人员滥用权限、模型在巩固时产生幻觉，以及攻击者通过多次低强度写入逐步污染记忆。防御应覆盖写入、存储、检索与输出四个环节。

写入侧：来源认证与可信度分级；对高影响事实要求多来源或人工确认；对重复、异常频率与异常模式的写入做限流与告警；把外部内容放入隔离区，先做注入检测与内容安全扫描，再决定是否进入长期记忆。间接提示注入的核心风险是「内容被当作指令」[52]，因此接入平面必须区分数据与指令，记忆内容不得直接改变系统策略。

存储侧：溯源图记录每次派生；低可信来源的记忆携带污点标记；巩固不得消除污点（第 5.2 节规则三）。对记忆做完整性校验，检测未经过写入路径的篡改；对关键记录保留多个版本的哈希。

检索侧：在排序中加入来源可信度与污点惩罚；对争议记忆并列呈现；对来自外部未验证来源的记忆，限制其单独支撑高影响结论的能力。检索结果应携带来源与时间，生成器可以据此选择保守表述。

输出侧：对高影响操作（转账、下单、权限变更、对外发送）设置人工审批或二次确认；对答案做引用覆盖检查，关键断言必须能追溯到证据；对疑似注入内容做剥离与告警。

记忆投毒研究表明，攻击者可以利用长期写入把错误信息固化为后续行为的依据 [54]，持久记忆攻击基准进一步说明这类风险需要专门评测 [55]。因此，防投毒不能只依赖单次输入过滤，而要在记忆生命周期中持续检测：新记忆与既有事实的矛盾、来源可信度的突变、某主体在短时间内的异常写入、摘要与原文的蕴含偏差，都应触发复核。

6 理论性质与复杂度

6.1 覆盖效用的次模性与贪心打包

为了分析上下文打包的可计算性，本文定义一个简化的覆盖效用。设任务需要覆盖的方面集合为 $\mathcal{A}$，每条记忆 $m$ 对方面 $a$ 的覆盖度为 ${\mathrm{cov}}_a(m)\in [0,1]$，方面权重为 $w_a\ge 0$。集合 $S$ 的覆盖效用定义为

$$F(S)=\sum _{a\in \mathcal{A}}{w}_a\min \left(1,\sum _{m\in S}{\mathrm{cov}}_a(m)\right).$$

命题 1（覆盖效用的次模性）：$F(S)$ 是非负、单调、次模的集合函数。

证明思路：非负性与单调性由定义直接可得。次模性等价于边际收益递减：对任意 $A\subseteq B$ 与 $m\notin B$，有

F ( A ∪ { m } ) − F ( A ) ≥ F ( B ∪ { m } ) − F ( B ) . F(A \cup \{m\}) - F(A) \ge F(B \cup \{m\}) - F(B). F(A∪{m})−F(A)≥F(B∪{m})−F(B).

由于每个方面的覆盖被截断在 1，$m$ 对方面 $a$ 的边际贡献为 $w_a\cdot \min ({\mathrm{cov}}_a(m),\max (0,1-{\sum }_{m^{\prime }\in S}{\mathrm{cov}}_a(m^{\prime })))$。当 $S$ 从 $A$ 扩大到 $B$ 时，剩余容量 $1-{\sum }_{m^{\prime }\in S}{\mathrm{cov}}_a(m^{\prime })$ 不增，因此每个方面的边际贡献不增，求和后仍不增。证毕。

推论 1：在基数约束 $|S|\le k$ 下，贪心算法对 $F$ 取得至少 $(1-1/e)$ 的近似比；在背包约束 ${\sum }_{m\in S}c(m)\le B$ 下，经典成本有效的贪心算法取得至少 $(1-1/e)/2$ 的近似比。

需要强调，实际检索目标还包含冗余惩罚 $\mathrm{Red}(S)$ 与策略约束。冗余惩罚项是成对相似度之和，具有超模性质，减去它后目标不一定保持次模；策略约束也可能破坏可行集的简单结构。因此，上述近似保证只适用于纯覆盖目标，不能直接外推到完整目标。工程实现应把贪心视为启发式，并通过离线评测与在线监控校准其表现。这一区分是本文刻意保留的：理论保证的边界必须写清楚，不能用「次模」一词掩盖目标函数的变化。

6.2 删除闭包的完备性条件

命题 2（删除闭包的充分条件）：若满足以下三个条件，则对任意记录 $m$ 执行删除闭包并物理清除后，任何查询都无法再检索到 $m$ 的内容或其等价重建：

1. 血缘完备：每个派生视图 $v$ 都登记了完整的直接输入集合 $L(v)$，且血缘图覆盖所有派生路径。
2. 清除完备：删除操作移除了 $D^{\ast }(m)$ 中所有记录的内容、检索表示、索引条目、缓存副本与可重建副本。
3. 再推导禁止：删除后不存在任何仍可访问的输入副本，使后续巩固或重放能够重新生成 $m$ 或其等价内容。

证明思路：对派生深度做归纳。深度为 0 的记录是 $m$ 本身，由条件 2 直接清除。假设所有深度小于 $d$ 的派生记录都已被清除，考虑深度为 $d$ 的视图 $v$。由条件 1，$L(v)$ 中的每个输入都在 $D^{\ast }(m)$ 中且深度小于 $d$，由归纳假设已被清除；由条件 2，$v$ 自身也被清除。因此所有派生记录均被清除。由条件 3，系统无法从残留输入重新生成它们。证毕。

反例：若某次摘要生成没有登记输入集合，或者把摘要写入了独立的缓存而未纳入血缘图，则删除闭包不会包含该摘要；查询仍可能命中摘要中的内容。此时条件 1 失效，命题不成立。类似地，若备份中的旧版本仍可恢复，或软删除向量仍留在索引中，则条件 2 失效。Ghost Vectors 与嵌入反转研究说明，向量残留不是理论上的杞人忧天 [58; 59]。

命题 2 的意义在于把「删除合规」从运维承诺变成可检查的架构条件。企业可以据此设计审计项：血缘登记覆盖率、索引清除验证率、备份清除时延、再推导路径白名单。任何一个条件无法满足，都不应对外宣称删除已经完成。

6.3 复杂度与成本模型

设事件总数为 $N$，单租户记忆记录数为 $N_{\tau }$，每次查询召回候选数为 $k$，上下文预算对应的条目数为 $B$，血缘图中单条记录的平均派生出度为 $d$。

操作	时间复杂度	说明
事件追加	$O(1)$	只追加日志，不做语义处理
断言抽取	取决于模型调用	主要成本是 token 与延迟，不是比较次数
近似最近邻召回	期望 $O(\log N_{\tau })$ / 索引	以 HNSW 等图索引为参考 [32]
多路召回	$O(I\log N_{\tau })$	$I$ 为索引路数
重排	$O(k\log k)$	对候选集排序
贪心打包	$O(kB)$	每步扫描候选并计算边际收益
巩固聚类	$O(n\log n)$	$n$ 为批内候选数
删除闭包	$O(	D^{*}(m)
视图重建	$O(N_{\tau }\cdot \text{派生规则成本})$	按需执行，通常离线

需要区分渐近复杂度与实际成本。检索的比较次数可能很小，但一次查询若触发多次模型调用、重排与生成，其 token 成本可能远超索引操作。本文给出一个粗粒度成本模型：

$$C_{\text{total}}=C_{\text{write}}+C_{\text{consolidate}}+C_{\text{retrieve}}+C_{\text{storage}}+C_{\text{delete}}.$$

单次查询成本可写为

$$C_q=c_{\text{embed}}+c_{\text{ANN}}+c_{\text{rerank}}+c_{\text{policy}}+c_{\text{gen}}(B)+c_{\text{audit}},$$

其中 $c_{\text{gen}}(B)$ 随上下文预算增长，$c_{\text{audit}}$ 是审计与追踪的固定开销。巩固成本通常以摊销形式计入：若每 $n$ 条事件触发一次巩固，单条事件的摊销巩固成本为 $C_{\text{consolidate}}/n$。保留策略决定存储成本的上界；删除闭包的大小决定删除成本，也决定删除请求的响应时延。

6.4 一致性与可见性

ELMA 采用双时态语义：业务有效时间 $[t_v^{-},t_v^{+})$ 描述事实在现实世界中何时为真，事务时间 $t_x$ 描述系统何时知道它。查询可以指定「截至业务时间 $t$」或「截至事务时间 $t$」，二者不应混用。例如，回答「上季度适用的退款政策是什么」应使用业务时间；回答「系统在昨天是否已经知道政策变更」应使用事务时间。

写入路径提供会话内的读己之写：事件提交后，同一会话的后续查询可以看到该事件；派生视图可能异步更新，因此在视图追上前，查询可以回退到事件日志。跨会话与跨副本的派生索引采用最终一致；系统应给出可见性上界 $\Delta$，即一条已提交事件最迟在 $\Delta$ 时间后进入所有相关索引。对于合规敏感场景，应提供「等待索引追平」的强一致读选项，代价是更高的延迟。

7 实验设计

7.1 研究问题

本文把评估组织为六个研究问题。

• RQ1（质量）：在长周期任务中，ELMA 是否比全上下文、滑动窗口摘要、基础 RAG 与现有记忆系统更好地保持事实、偏好与承诺？
• RQ2（时序与冲突）：双时态建模与争议状态是否提高时序问答正确率、降低陈旧事实使用率，并在冲突场景中给出更可解释的答案？
• RQ3（治理）：在红队测试下，ELMA 能否实现零跨租户越权检索，并在删除请求后证明主记录、派生视图、向量与缓存均不可再获取？
• RQ4（安全）：溯源、污点传播与来源可信度机制是否降低记忆投毒与间接提示注入的成功率？
• RQ5（成本）：相对于全上下文与基础 RAG，ELMA 的质量—成本 Pareto 前沿位于何处？在同等质量下，token 成本与 p95 延迟是否可接受？
• RQ6（消融）：五个平面中的治理、巩固、双时态、冲突消解与策略下推各自贡献多少？去掉任一机制后，哪类指标退化最明显？

7.2 工作负载

本文设计五类工作负载。所有规模、会话数、事件数与标注量在正式实验中记录；当前版本不填写未经实测的数值。

编号	工作负载	主要压力	关键指标	规模
W1	长周期项目助手	跨周状态延续、承诺追踪、人员与任务变化	任务成功率、事实召回、承诺一致性
W2	客服与政策合规	政策版本更新、退款与权限规则、冲突解释	政策时效正确率、冲突消解、引用正确率
W3	多租户企业知识助手	共享知识与私有知识混合、权限边界	越权率、隔离审计、答案质量
W4	受监管业务（金融/医疗）	保留期、法律保留、删除权、数据驻留	删除完备率、审计可追溯率、合规检查通过率
W5	对抗投毒与注入	恶意文档、被污染工具返回、逐步写入	投毒成功率、注入成功率、误报率

W1 的构造方式是：给定一个跨多周的项目脚本，按时间顺序注入需求变更、人员调整、承诺与延期事件；在每个检查点提出需要历史信息才能回答的问题。W2 的构造方式是：为同一业务准备多个版本的政策文档，注入政策变更与例外条款，测试系统是否使用查询时点有效的版本。W3 使用多个租户的合成文档与金丝雀记录，测试跨租户召回。W4 使用合成个人数据与删除请求，测试删除闭包与审计证明。W5 使用公开的注入与投毒基准，并补充企业场景的合成攻击脚本；具体基准与版本在正式实验中登记。

7.3 基线

本文计划比较以下基线。它们代表不同的设计取舍，而不是简单的强弱排序。

基线	记忆组织	治理能力	与 ELMA 的主要差异
B1 全上下文	将可用历史尽量放入窗口	无	不做选择性写入与删除闭包
B2 滑动窗口 + 递归摘要	窗口加摘要	无	摘要可能丢失来源与时效
B3 基础 RAG	分块向量检索	读侧过滤（若有）	无生命周期、无冲突状态
B4 MemGPT 式分页	快慢两级存储	无	以换入换出为中心 [1]
B5 Mem0 式流水线	抽取、去重、存储、检索	有限	治理与血缘不是一等公民 [2]
B6 Zep 式时序知识图谱	时序实体与关系	有限	侧重事实演化 [3]
B7 A-MEM 式笔记网络	链接式记忆	无	侧重局部更新 [4]
B8 ELMA 去治理	保留 ELMA 的记忆组织	关闭治理平面	用于隔离治理贡献的消融

为公平比较，所有系统使用相同的基础生成模型、相同的嵌入模型与相同的上下文预算；若某系统依赖额外模型调用，其成本计入总成本。实现细节、提示模板、超参与硬件配置在正式实验中固定并公开；当前版本无法核实具体数值，统一标注 。

7.4 指标

指标	定义	方向
任务成功率	完成预设任务判据的比例	↑
长期事实召回率	需要历史事实的问题中，正确召回并使用的比例	↑
时序推理正确率	需要区分业务时间与事务时间的问题的正确率	↑
偏好一致性	多轮交互中不违背已确认偏好的比例	↑
冲突消解准确率	冲突场景下给出正确值或正确披露分歧的比例	↑
引用正确率	答案断言能由所引证据支持的比例	↑
陈旧率	使用已过期事实回答当前问题的比例	↓
跨租户越权率	红队查询中返回未授权租户内容的比例	↓
删除完备率	删除请求后探测不到主记录、派生视图、向量与缓存的比例	↑
投毒成功率	注入的虚假记忆被后续任务采纳的比例	↓
审计可追溯率	回答可定位到事件、策略与版本的比率	↑
每任务 token 成本	检索、巩固与生成的总 token 成本	↓
p95 延迟	95 分位端到端延迟	↓
存储增长率	单位事件对应的存储增量	↓

7.5 主结果

表 1 给出主结果模板。所有单元格在正式实验完成前保持待填，不填写推测值。

方法	任务成功率 ↑	事实召回 ↑	时序正确率 ↑	冲突消解 ↑	陈旧率 ↓	越权率 ↓	删除完备率 ↑	token 成本 ↓	p95 延迟 ↓
B1 全上下文	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B2 窗口 + 摘要	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B3 基础 RAG	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B4 MemGPT 式	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B5 Mem0 式	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B6 Zep 式	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B7 A-MEM 式	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
B8 ELMA 去治理	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]
ELMA 完整	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]	[TODO]

统计协议：每个配置至少运行五个随机种子；报告中位数与自助法 95% 置信区间；对配对结果使用配对检验，并报告效应量。对于安全与合规指标，除均值外还应报告最坏情况和失败样本；零越权率必须由足够规模的红队测试支撑，不能仅凭少量样例宣称。

7.6 消融实验

配置	移除的机制	预期主要受影响指标	结果
A1	治理平面（策略、审计、删除闭包）	越权率、删除完备率、审计可追溯率	[TODO]
A2	双时态与有效时间	时序正确率、陈旧率	[TODO]
A3	争议状态与冲突消解	冲突消解准确率、引用正确率	[TODO]
A4	异步巩固与摘要	token 成本、事实召回率	[TODO]
A5	溯源与污点传播	投毒成功率、溯源洗白检测率	[TODO]
A6	策略下推（改为结果后过滤）	越权率、p95 延迟	[TODO]
A7	多路召回（仅稠密向量）	事实召回率、关系查询正确率	[TODO]
A8	上下文打包（直接拼接）	任务成功率、token 成本	[TODO]

消融的目的不是证明「组件越多越好」，而是识别每个机制在哪些指标上不可替代、在哪些指标上可以简化。若某机制只带来边际收益却显著增加成本，应在部署配置中默认关闭，并记录关闭条件。

7.7 分析计划

质量—成本 Pareto 分析。 对每种方法，在不同上下文预算、召回数量与巩固频率下绘制质量—成本曲线。比较的不是单点最优，而是在企业可接受的成本区间内，哪条曲线更靠上。若 ELMA 的质量优势只在高预算下出现，则其适用性应受到限制。

预算敏感性。 将上下文预算从较小值逐步增加到较大值，观察边际收益递减点。该点可用于设置默认预算，避免「多召回总是更好」的误解。

隔离红队。 构造跨租户、跨项目、跨角色的探测查询，覆盖直接召回、缓存命中、聚合统计与侧信道。每次测试记录查询、策略判定、返回结果与审计条目；任何一次越权都视为失败，并触发根因分析。

删除审计。 对每条删除请求，执行「删除—探测—重建尝试—备份恢复测试」四步。探测覆盖文本检索、向量检索、图查询与缓存；重建尝试检验血缘是否被完整清除；备份恢复测试检验 tombstone 是否阻止复活。

投毒与注入。 采用逐步写入、单点写入、跨会话写入与工具返回注入四种模式，测量不同防御组合下的成功率与误报率。除成功率外，还应记录攻击被检测到时系统是否给出可解释的告警。

失败案例分析。 对失败样本做分类：召回失败、时效误用、冲突误判、权限误判、摘要失真、生成幻觉、成本超限。每类给出代表性案例与修复建议。失败案例应优先于平均指标被讨论，因为它们更能揭示架构边界。

7.8 有效性威胁与局限

内部有效性。 LLM 作为抽取器、摘要器与评判器时存在非确定性；同一输入可能得到不同结果。应固定模型版本与解码参数，重复运行并报告方差；对 LLM-as-a-judge 的结果，辅以人工抽检与规则校验。

外部有效性。 合成工作负载可能无法覆盖真实企业的长尾流程；不同行业的数据分类、监管要求与组织文化差异很大。本文的评估协议应被视为可扩展模板，而不是一次性基准。

构念有效性。 任务成功率、事实召回等指标只能间接反映「记忆是否有用」。某些记忆的价值可能在数月后才显现，短期评测可能低估长期收益；反之，某些记忆带来的风险也可能延迟暴露。分阶段效用—风险研究提醒我们，收益与风险不在同一阶段兑现 [69]。

结论有效性。 本文当前不报告实测结果，因此不能对 ELMA 的相对性能作出经验性断言。所有关于优势的表述都应理解为待检验的设计假设，而不是已验证的结论。

8 讨论

8.1 适用边界

ELMA 不是所有场景的默认选择。若智能体只服务单用户、任务周期短、数据分类低、没有跨会话状态需求，基础 RAG 或滑动窗口摘要通常更简单、更便宜。若企业需要跨部门共享记忆、需要向审计或监管证明数据流向、需要处理删除权与保留期，治理成本就是必要成本，ELMA 的分层设计才有价值。

可以采用一个简化的判断流程：

是否需要跨会话保持状态？
├─ 否 → 工作记忆 + 会话日志即可
└─ 是 → 是否多租户或受监管？
        ├─ 否 → 基础 RAG / 分层检索，按需加溯源
        └─ 是 → 是否需要证明删除与隔离？
                ├─ 否 → 带基本策略过滤的记忆库
                └─ 是 → ELMA 五平面架构

架构落地还依赖组织前提：统一身份与权限系统、数据分类分级、保留策略的业务所有者、可执行的删除流程、以及愿意为审计与治理投入的运维资源。缺少这些前提，再精巧的记忆架构也只能把问题推迟到第一次合规评审。

8.2 伦理影响

企业记忆会放大隐私与权力不对称风险。智能体可能记录员工的对话、偏好、绩效线索与社交关系；这些信息一旦被用于绩效评估、晋升或裁员，可能超出原始收集目的。本文建议在架构与制度两个层面同时约束。

目的限制与最小化。 写入前明确目的，只记录完成任务所必需的信息；对敏感属性设置更短的保留期与更严格的访问策略。不得因为「以后可能有用」而无限收集。

知情与同意。 员工与客户应被告知哪些交互会被记忆、保存多久、谁可以访问、用于什么目的。对于跨会话的个性化记忆，应提供查看、更正与删除入口。

防止监视化。 记忆系统不应成为隐蔽的员工监控工具。对涉及个人行为评价的记忆，应限制自动推断与传播，要求人工复核，并禁止把记忆用于未经授权的二次目的。

删除权的可执行性。 删除不仅是接口，更是可验证的工程承诺。本文第 5.4 节与第 6.2 节给出的闭包与条件，应转化为审计项；无法证明删除完成的系统，不应向用户宣称已删除。

模型训练隔离。 企业记忆默认不应用于训练基础模型；若确需用于改进，应经过单独授权、去标识化与影响评估，并提供退出机制。

8.3 失败模式与缓解

失败模式	表现	根因	缓解
陈旧事实	使用过期价格、政策或人员信息	缺少有效时间或未按查询时点过滤	双时态建模、时效惩罚、过期告警
摘要失真	摘要引入原文没有的结论	巩固时模型自由生成、缺少蕴含校验	溯源指针、蕴含检查、低可信不放大
争议被掩盖	冲突事实被静默择一	以覆盖代替版本、缺少争议状态	保留双方、披露分歧、显式裁决
跨租户泄露	返回他租户文档或缓存	读侧过滤遗漏、索引共享、缓存键缺租户	策略下推、分区隔离、金丝雀测试
删除逃逸	派生视图或向量仍可检索	血缘不全、软删除、备份未清理	删除闭包、物理清除、再推导禁止
记忆投毒	虚假事实被长期采纳	来源未认证、污点被摘要洗白	来源分级、污点传播、异常检测
过度召回	上下文塞满低价值记忆	只优化相似度、缺少预算与冗余惩罚	预算化打包、MMR、边际收益停止
成本失控	巩固与检索调用无上限	缺少配额与摊销控制	租户配额、异步巩固、成本监控

这些失败模式之间会相互放大。例如，陈旧事实若被摘要反复强化，会逐渐获得更高的使用频率，从而在排序中占据更高位置；跨租户泄露若进入缓存，会在策略变更后继续存在。因此，监控应关注组合风险，而不是孤立指标。

8.4 开放问题

学习式巩固。 当前巩固规则多为启发式。如何在预算约束下学习「何时保留原文、何时摘要、何时合并」，并在学习中保持可审计性，是重要方向。Mem-π 与 Retain or Consolidate 提供了初步思路 [21; 27]，但企业场景还需要处理多租户、权限与删除约束。

策略的形式化验证。 属性基访问控制可以表达复杂规则，但规则之间可能冲突或存在遗漏。如何把策略编译为可验证的查询约束，并在策略变更时检测越权风险，仍需研究。运行时合规验证提供了可借鉴的方向 [50]。

跨租户联邦记忆。 企业集团可能希望在租户之间共享部分知识，同时不泄露原始数据。联邦学习、差分隐私与安全聚合可以提供技术手段，但记忆的图结构与派生关系使问题比模型训练更复杂。MELD 的跨节点合并协议是一个起点 [67]。

记忆质量的度量。 召回率与任务成功率不能完全刻画记忆质量。如何度量「记忆是否忠实于来源」「是否在正确的时间被使用」「是否在不再需要时被遗忘」，需要新的指标与基准。Harness the Memory 与 AI Hippocampus 提供了评测视角 [28; 48]。

人机协同的遗忘。 删除请求可能涉及多份派生记录与多个业务系统，完全自动化存在风险。如何在保证可审计的前提下，把人工判断嵌入删除工作流，是企业落地的现实问题。

9 结论

本文面向企业级智能体系统提出 ELMA 长期记忆架构。本文的出发点是：企业记忆的核心困难不只是检索精度，而是状态治理——记忆必须可归属、可追溯、可删除、可解释，并在多租户与长周期条件下保持隔离与时效。ELMA 以五平面组织系统：接入平面把异构输入转化为不可变事件；记忆平面以事件日志与可重建视图组织五类记忆；治理平面在写入时固化租户、主体、敏感级、保留期与溯源；编排平面把检索建模为带权限、预算与时效约束的效用最大化问题；观测平面持续度量质量、成本、安全与合规指标。

本文给出了记忆记录、派生视图与删除闭包的形式化定义，分析了覆盖效用的次模性质与贪心打包的适用边界，说明了删除闭包完备性的三个条件，并设计了覆盖长周期项目、客服合规、多租户知识、受监管业务与对抗投毒的五类评估工作负载。本文没有报告未经实测的性能数值；所有实验位置均保留待填标记。其贡献在于提供一套可检验、可审计、可复现的架构基线与研究议程，而不是宣称某一系统已经解决了企业长期记忆的全部问题。

未来工作包括：在真实企业数据上完成本文设计的评估；研究学习式巩固与可审计性之间的平衡；把策略验证、删除证明与跨租户联邦记忆做成可复用的基础设施组件；以及建立能够同时衡量质量、成本、时效与合规的长期记忆基准。只有当这些工作完成后，企业长期记忆才能从演示原型走向可依赖的生产基础设施。

References

说明：以下条目来自本地检索记录，编号与正文引用对应。投稿前请逐条复核 arXiv 版本、会议/期刊信息与页码；其中 2026 年条目及未能二次联网核验的条目尤其需要复核。

[1] Packer, Charles, Wooders, Sarah, Lin, Kevin, Fang, Vivian, Patil, Shishir G, Stoica, Ion, et al. MemGPT: Towards LLMs as Operating Systems. arXiv:2310.08560, 2023. https://arxiv.org/abs/2310.08560

[2] Chhikara, Prateek, Khant, Dev, Aryan, Saket, Singh, Taranjeet, Yadav, Deshraj. Mem0: Building Production-Ready AI Agents with Scalable Long-Term Memory. arXiv:2504.19413, 2025. https://arxiv.org/abs/2504.19413

[3] Rasmussen, Preston, Paliychuk, Pavlo, Beauvais, Travis, Ryan, Jack, Chalef, Daniel. Zep: A Temporal Knowledge Graph Architecture for Agent Memory. arXiv:2501.13956, 2025. https://arxiv.org/abs/2501.13956

[4] Xu, Wujiang, Liang, Zujie, Mei, Kai, Gao, Hang, Tan, Juntao, Zhang, Yongfeng. A-MEM: Agentic Memory for LLM Agents. arXiv:2502.12110, 2025. https://arxiv.org/abs/2502.12110

[5] Park, Joon Sung, O’Brien, Joseph C, Cai, Carrie J, Morris, Meredith Ringel, Liang, Percy, Bernstein, Michael S. Generative Agents: Interactive Simulacra of Human Behavior. arXiv:2304.03442, 2023. https://arxiv.org/abs/2304.03442

[6] Sumers, Theodore R, Yao, Shunyu, Narasimhan, Karthik, Griffiths, Thomas L. Cognitive Architectures for Language Agents. arXiv:2309.02427, 2023. https://arxiv.org/abs/2309.02427

[7] Li, Zhiyu, Xi, Chenyang, Li, Chunyu, Chen, Ding, Chen, Boyu, Song, Shichao, et al. MemOS: A Memory OS for AI System. arXiv:2507.03724, 2025. https://arxiv.org/abs/2507.03724

[8] Kang, Jiazheng, Ji, Mingming, Zhao, Zhe, Bai, Ting. Memory OS of AI Agent. arXiv:2506.06326, 2025. https://arxiv.org/abs/2506.06326

[9] Lewis, Patrick, Perez, Ethan, Piktus, Aleksandra, Petroni, Fabio, Karpukhin, Vladimir, Goyal, Naman, et al. Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks. arXiv:2005.11401, 2020. https://arxiv.org/abs/2005.11401

[10] Liu, Nelson F, Lin, Kevin, Hewitt, John, Paranjape, Ashwin, Bevilacqua, Michele, Petroni, Fabio, et al. Lost in the Middle: How Language Models Use Long Contexts. arXiv:2307.03172, 2023. https://arxiv.org/abs/2307.03172

[11] Lam, Chingkwun, Li, Jiaxin, Zhang, Lingfei, Zhao, Kuo. Governing Evolving Memory in LLM Agents: Risks, Mechanisms, and the Stability and Safety Governed Memory (SSGM) Framework. arXiv:2603.11768, 2026. https://arxiv.org/abs/2603.11768

[12] Regulation (EU) 2016/679 (General Data Protection Regulation), Article 17: Right to erasure (‘right to be forgotten’). European Parliament and Council of the European Union, 2016. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679

[13] Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (AI Act). European Parliament and Council of the European Union, OJ L, 2024/1689, 2024. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689

[14] Zhong, Wanjun, Guo, Lianghong, Gao, Qiqi, Ye, He, Wang, Yanlin. MemoryBank: Enhancing Large Language Models with Long-Term Memory. arXiv:2305.10250, 2023. https://arxiv.org/abs/2305.10250

[15] Shinn, Noah, Cassano, Federico, Berman, Edward, Gopinath, Ashwin, Narasimhan, Karthik, Yao, Shunyu. Reflexion: Language Agents with Verbal Reinforcement Learning. arXiv:2303.11366, 2023. https://arxiv.org/abs/2303.11366

[16] Wang, Guanzhi, Xie, Yuqi, Jiang, Yunfan, Mandlekar, Ajay, Xiao, Chaowei, Zhu, Yuke, et al. Voyager: An Open-Ended Embodied Agent with Large Language Models. arXiv:2305.16291, 2023. https://arxiv.org/abs/2305.16291

[17] Zhao, Andrew, Huang, Daniel, Xu, Quentin, Lin, Matthieu, Liu, Yong-Jin, Huang, Gao. ExpeL: LLM Agents Are Experiential Learners. arXiv:2308.10144, 2023. https://arxiv.org/abs/2308.10144

[18] Gutiérrez, Bernal Jiménez, Shu, Yiheng, Gu, Yu, Yasunaga, Michihiro, Su, Yu. HippoRAG: Neurobiologically Inspired Long-Term Memory for Large Language Models. arXiv:2405.14831, 2024. https://arxiv.org/abs/2405.14831

[19] Sarthi, Parth, Abdullah, Salman, Tuli, Aditi, Khanna, Shubh, Goldie, Anna, Manning, Christopher D. RAPTOR: Recursive Abstractive Processing for Tree-Organized Retrieval. arXiv:2401.18059, 2024. https://arxiv.org/abs/2401.18059

[20] Edge, Darren, Trinh, Ha, Cheng, Newman, Bradley, Joshua, Chao, Alex, Mody, Apurva, et al. From Local to Global: A Graph RAG Approach to Query-Focused Summarization. arXiv:2404.16130, 2024. https://arxiv.org/abs/2404.16130

[21] Wang, Xiaoqiang, Wang, Chao, Nekoei, Hadi, Pal, Christopher, Lacoste, Alexandre, Gella, Spandana, et al. Mem-$\pi$: Adaptive Memory through Learning When and What to Generate. arXiv:2605.21463, 2026. https://arxiv.org/abs/2605.21463

[22] Dai, Zijie, Deng, Shiyuan, Guan, Sheng, Tian, Yizhou, Yao, Xin, Yan, Xiao, et al. RecMem: Recurrence-based Memory Consolidation for Efficient and Effective Long-Running LLM Agents. arXiv:2605.16045, 2026. https://arxiv.org/abs/2605.16045

[23] Li, Kai, Yu, Xuanqing, Ni, Ziyi, Zeng, Yi, Xu, Yao, Zhang, Zheqing, et al. TiMem: Temporal-Hierarchical Memory Consolidation for Long-Horizon Conversational Agents. arXiv:2601.02845, 2026. https://arxiv.org/abs/2601.02845

[24] Zhang, Yuhan, Guo, Zhiyuan, Zeng, Ziheng, Wang, Wei, Wu, Wentao, Xu, Lijie. Mandol: An Agglomerative Agent Memory System for Long-Term Conversations. arXiv:2606.29778, 2026. https://arxiv.org/abs/2606.29778

[25] Sun, Qixuan, Que, Yue, He, Bowei, Guo, Jin, Yang, Dihang, Situ, Wenchang, et al. CreaMem: A Scene-Aware Memory Architecture for Personalized Agents. arXiv:2609.08550, 2026. https://arxiv.org/abs/2609.08550

[26] Fu, Chin-Lun, Kulkarni, Anagha, Ni, Hong, Madahian, Behrouz. APDMem: Agent-Controlled Progressive Disclosure for Query-Adaptive Long-Term Memory. arXiv:2610.02472, 2026. https://arxiv.org/abs/2610.02472

[27] Kang, Qingcan, Liu, Mingyang, Kai, Shixiong, Liang, Kaichao, Tang, Zhentao, Cui, Yuqi, et al. Retain or Consolidate? Budget-Dependent Operator Selection for Language Agent Memory. arXiv:2607.17545, 2026. https://arxiv.org/abs/2607.17545

[28] Jia, Zixia, Li, Jiaqi, Kang, Yipeng, Wang, Yuxuan, Wu, Tong, Wang, Quansen, et al. The AI Hippocampus: How Far are We From Human Memory? arXiv:2601.09113, 2026. https://arxiv.org/abs/2601.09113

[29] Karpukhin, Vladimir, Oğuz, Barlas, Min, Sewon, Lewis, Patrick, Wu, Ledell, Edunov, Sergey, et al. Dense Passage Retrieval for Open-Domain Question Answering. arXiv:2004.04906, 2020. https://arxiv.org/abs/2004.04906

[30] Asai, Akari, Wu, Zeqiu, Wang, Yizhong, Sil, Avirup, Hajishirzi, Hannaneh. Self-RAG: Learning to Retrieve, Generate, and Critique through Self-Reflection. arXiv:2310.11511, 2023. https://arxiv.org/abs/2310.11511

[31] Thakur, Nandan, Reimers, Nils, Rücklé, Andreas, Srivastava, Abhishek, Gurevych, Iryna. BEIR: A Heterogenous Benchmark for Zero-shot Evaluation of Information Retrieval Models. arXiv:2104.08663, 2021. https://arxiv.org/abs/2104.08663

[32] Malkov, Yu. A, Yashunin, D. A. Efficient and robust approximate nearest neighbor search using Hierarchical Navigable Small World graphs. arXiv:1603.09320, 2016. https://arxiv.org/abs/1603.09320

[33] Douze, Matthijs, Guzhva, Alexandr, Deng, Chengqi, Johnson, Jeff, Szilvasy, Gergely, Mazaré, Pierre-Emmanuel, et al. The Faiss library. arXiv:2401.08281, 2024. https://arxiv.org/abs/2401.08281

[34] Aumüller, Martin, Bernhardsson, Erik, Faithfull, Alexander. ANN-Benchmarks: A Benchmarking Tool for Approximate Nearest Neighbor Algorithms. arXiv:1807.05614, 2018. https://arxiv.org/abs/1807.05614

[35] Pan, James Jie, Wang, Jianguo, Li, Guoliang. Survey of Vector Database Management Systems. arXiv:2310.14021, 2023. https://arxiv.org/abs/2310.14021

[36] Ward, Joel. MemoriesDB: A Temporal-Semantic-Relational Database for Long-Term Agent Memory / Modeling Experience as a Graph of Temporal-Semantic Surfaces. arXiv:2511.06179, 2025. https://arxiv.org/abs/2511.06179

[37] Wang, Yu, Lu, Jiaheng. PolyMemDB: A Polyglot Database System for AI Memory Management. arXiv:2608.25577, 2026. https://arxiv.org/abs/2608.25577

[38] Han, Haoyu, Wang, Yu, Shomer, Harry, Guo, Kai, Ding, Jiayuan, Lei, Yongjia, et al. Retrieval-Augmented Generation with Graphs (GraphRAG). arXiv:2501.00309, 2024. https://arxiv.org/abs/2501.00309

[39] Xiao, Guangxuan, Tian, Yuandong, Chen, Beidi, Han, Song, Lewis, Mike. Efficient Streaming Language Models with Attention Sinks. arXiv:2309.17453, 2023. https://arxiv.org/abs/2309.17453

[40] Kwon, Woosuk, Li, Zhuohan, Zhuang, Siyuan, Sheng, Ying, Zheng, Lianmin, Yu, Cody Hao, et al. Efficient Memory Management for Large Language Model Serving with PagedAttention. arXiv:2309.06180, 2023. https://arxiv.org/abs/2309.06180

[41] Li, Zhuowan, Li, Cheng, Zhang, Mingyang, Mei, Qiaozhu, Bendersky, Michael. Retrieval Augmented Generation or Long-Context LLMs? A Comprehensive Study and Hybrid Approach. arXiv:2407.16833, 2024. https://arxiv.org/abs/2407.16833

[42] Mei, Lingrui, Yao, Jiayu, Ge, Yuyao, Wang, Yiwei, Bi, Baolong, Cai, Yujun, et al. A Survey of Context Engineering for Large Language Models. arXiv:2507.13334, 2025. https://arxiv.org/abs/2507.13334

[43] Kang, Minki, Chen, Wei-Ning, Han, Dongge, Inan, Huseyin A, Wutschitz, Lukas, Chen, Yanzhi, et al. ACON: Optimizing Context Compression for Long-horizon LLM Agents. arXiv:2510.00615, 2025. https://arxiv.org/abs/2510.00615

[44] Zhou, Zijian, Qu, Ao, Wu, Zhaoxuan, Kim, Sunghwan, Prakash, Alok, Rus, Daniela, et al. MEM1: Learning to Synergize Memory and Reasoning for Efficient Long-Horizon Agents. arXiv:2506.15841, 2025. https://arxiv.org/abs/2506.15841

[45] ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system. ISO/IEC JTC 1/SC 42, 2023. https://www.iso.org/standard/81230.html

[46] Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1. National Institute of Standards and Technology, 2023. https://www.nist.gov/itl/ai-risk-management-framework

[47] Wang, Yiqi, Liu, Jiaqi, Zhang, Jiaqi, Wu, Zhangkai, Duan, Yiqun, Zheng, Mingkai, et al. PACMI: Provenance-Aware Cascading Memory Invalidation for Long-Term LLM Agents. arXiv:2610.05732, 2026. https://arxiv.org/abs/2610.05732

[48] Huang, Wei-Chieh, Zhang, Weizhi, Wu, Yuchen, Chen, Yankai, Jiang, Eric Hanchen, Yang, Wooseong, et al. Harness the Memory: A Holistic Evaluation of Memory Substrates in Memory Agents. arXiv:2608.15008, 2026. https://arxiv.org/abs/2608.15008

[49] Shukla, Navnit. Cost-Governed RAG: Unified Per-Tenant Cost Attribution Across Retrieval and Generation in Multi-Tenant LLM Systems. arXiv:2607.12188, 2026. https://arxiv.org/abs/2607.12188

[50] Kahani, Nafiseh, Barati, Masoud, Addae, Diana. Runtime Compliance Verification for AI Agents. arXiv:2606.19242, 2026. https://arxiv.org/abs/2606.19242

[51] Xu, Yuming, Zhang, Mingtao, Ge, Zhuohan, Li, Haoyang, Hu, Nicole, Zhang, Yongqi, et al. A Survey of Secure Retrieval-Augmented Generation. arXiv:2604.08304, 2026. https://arxiv.org/abs/2604.08304

[52] Greshake, Kai, Abdelnabi, Sahar, Mishra, Shailesh, Endres, Christoph, Holz, Thorsten, Fritz, Mario. Not what you’ve signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection. arXiv:2302.12173, 2023. https://arxiv.org/abs/2302.12173

[53] Debenedetti, Edoardo, Zhang, Jie, Balunović, Mislav, Beurer-Kellner, Luca, Fischer, Marc, Tramèr, Florian. AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents. arXiv:2406.13352, 2024. https://arxiv.org/abs/2406.13352

[54] Zang, Chuanchao, Wang, Jianing, Chen, Wenyu, Meng, Xiangtao, Wang, Li, Gao, Xinyu, et al. Transferable End-to-End Optimization for Indirect Long-Term Memory Poisoning in LLM Agents. arXiv:2609.00523, 2026. https://arxiv.org/abs/2609.00523

[55] Das, Debeshee, Piet, Julien, Kaviani, Darya, Beurer-Kellner, Luca, Tramèr, Florian, Wagner, David. Trojan Hippo Bench: A Dynamic Benchmark for Persistent Memory Attacks and Defenses in LLM Agents. arXiv:2605.01970, 2026. https://arxiv.org/abs/2605.01970

[56] Wang, Wenjie, Si, Wenhe, Xu, Xinyue, Xu, Yue. What to Remember, What to Reveal: Privacy-Aware Memory for Conversational Agents. arXiv:2608.16551, 2026. https://arxiv.org/abs/2608.16551

[57] Kim, Jong Wook, Min, Byoungjae, Edemacu, Kennedy, Choi, Yoonhyuk, Cho, Sae-Hong, Jang, Beakcheol. DP-MemView: A Memory Interface for Attribute-Level Transcript Privacy in Long-Term LLM Agents. arXiv:2608.03130, 2026. https://arxiv.org/abs/2608.03130

[58] Chakraborttii, Chandranil, Alvarado, Jackeline García, Abdulofizova, Sitora, Dwivedi, Shivanshu. Ghost Vectors: Soft-Deleted Embeddings Remain Reconstructible in HNSW Vector Databases. arXiv:2606.18497, 2026. https://arxiv.org/abs/2606.18497

[59] Morris, John X, Kuleshov, Volodymyr, Shmatikov, Vitaly, Rush, Alexander M. Text Embeddings Reveal (Almost) As Much As Text. arXiv:2310.06816, 2023. https://arxiv.org/abs/2310.06816

[60] Bourtoule, Lucas, Chandrasekaran, Varun, Choquette-Choo, Christopher A, Jia, Hengrui, Travers, Adelin, Zhang, Baiwu, et al. Machine Unlearning. arXiv:1912.03817, 2019. https://arxiv.org/abs/1912.03817

[61] Maini, Pratyush, Feng, Zhili, Schwarzschild, Avi, Lipton, Zachary C, Kolter, J. Zico. TOFU: A Task of Fictitious Unlearning for LLMs. arXiv:2401.06121, 2024. https://arxiv.org/abs/2401.06121

[62] Rusu, Theo, Khanzadeh, Sourena, Alalfi, Manar. Selective Forgetting: A Graph-Based Memory Framework for Long-Term LLM Agents. arXiv:2608.28978, 2026. https://arxiv.org/abs/2608.28978

[63] Yacoubi, Meriem, Schmidt, Pia, Petrovic, Nenad, Frikha, Ahmed, Kirchhoff, Martin, Knoll, Alois. MemoryLACE: Memory Lifecycle-Aware Consolidation and Evidence Retrieval. arXiv:2609.03201, 2026. https://arxiv.org/abs/2609.03201

[64] Kwon, Alex. Manufactured Confidence: How Memory Consolidation Turns Hearsay into Confident Facts. arXiv:2606.29279, 2026. https://arxiv.org/abs/2606.29279

[65] Liu, Zewen. Memory Contagion: Cross-Temporal Propagation of Evaluator Bias via Agent Memory. arXiv:2606.23195, 2026. https://arxiv.org/abs/2606.23195

[66] Xu, Jinghan, Xiao, Yiyong, Shao, Wanru, Liu, Hankai, Li, Xinjin. Memory Provenance Laundering in LLM Agents: A Non-Amplification Firewall for Persistent Memory. arXiv:2607.29167, 2026. https://arxiv.org/abs/2607.29167

[67] Lovén, Lauri, Sauvola, Jaakko, Riekki, Jukka, Tarkoma, Sasu. MELD: A Protocol for Merging Knowledge Across Distributed Agentic Memories. arXiv:2608.16357, 2026. https://arxiv.org/abs/2608.16357

[68] Helwig, Mike. Memory as Infrastructure: Reliability Engineering for Persistent Agent Memory in Months-Long LLM-Assisted Development. arXiv:2609.05510, 2026. https://arxiv.org/abs/2609.05510

[69] Zang, Chuanchao, Cao, Zijian, Meng, Xiangtao, Wang, Jianing, Chen, Wenyu, Gao, Xinyu, et al. Understanding Stage-Wise Utility-Risk Trade-offs in LLM Agent Memory. arXiv:2608.30177, 2026. https://arxiv.org/abs/2608.30177

Appendix

A 符号表

符号	含义
$\mathcal{T}$	租户集合
$\tau$	单个租户
${\mathcal{U}}_{\tau }$	租户 $\tau$ 的用户集合
$e$	原始事件
$m$	记忆记录
$k$	记忆类型
$c$	记忆内容
$\mathbf{v}$	检索表示
$[t_v^{-},t_v^{+})$	业务有效时间区间
$t_x$	事务时间
$\pi$	访问策略
$\rho$	溯源指针
$\gamma$	置信度
$\eta$	使用统计
$\nu$	版本号
$s$	记录状态
$L(v)$	视图 $v$ 的直接血缘
$D^{\ast }(m)$	记录 $m$ 的删除闭包
$q$	查询
$B$	上下文预算
$U(m\mid q,u)$	单条记忆效用
$\mathrm{Red}(S)$	集合冗余度
$F(S)$	覆盖效用

B 命题证明补充

B.1 命题 1 的完整证明

对任意方面 $a$，定义剩余容量

$$r_a(S)=\max \left(0,1-\sum _{m\in S}{\mathrm{cov}}_a(m)\right).$$

则加入 $m$ 对方面 $a$ 的边际贡献为 $w_a\cdot \min ({\mathrm{cov}}_a(m),r_a(S))$。由于 $A\subseteq B$ 意味着 ${\sum }_{m\in A}{\mathrm{cov}}_a(m)\le {\sum }_{m\in B}{\mathrm{cov}}_a(m)$，所以 $r_a(A)\ge r_a(B)$。函数 $\min ({\mathrm{cov}}_a(m),r)$ 关于 $r$ 单调不减，因此

$$w_a\min ({\mathrm{cov}}_a(m),r_a(A))\ge w_a\min ({\mathrm{cov}}_a(m),r_a(B)).$$

对全部方面求和，得到 F ( A ∪ { m } ) − F ( A ) ≥ F ( B ∪ { m } ) − F ( B ) F(A \cup \{m\}) - F(A) \ge F(B \cup \{m\}) - F(B) F(A∪{m})−F(A)≥F(B∪{m})−F(B)，即次模性。单调性由 F ( S ∪ { m } ) ≥ F ( S ) F(S \cup \{m\}) \ge F(S) F(S∪{m})≥F(S) 直接可得。非负性由权重与覆盖度非负可得。证毕。

B.2 命题 2 的归纳证明

对派生深度 $d(v)$ 归纳。定义 $d(m)=0$。若 $v$ 的直接血缘包含 $m$，则 $d(v)=1+{\max }_{u\in L(v)}d(u)$。

基础情形：$d=0$ 的记录只有 $m$ 本身。由条件 2，$m$ 的内容与索引表示被清除。

归纳步：假设所有 $d<n$ 的记录均被清除。取任一 $d(v)=n$ 的视图。由条件 1，$L(v)$ 中每条记录的派生深度小于 $n$，由归纳假设已被清除；由条件 2，$v$ 自身的内容与索引表示也被清除。因此所有 $d\le n$ 的记录均被清除。由归纳法，$D^{\ast }(m)$ 中全部记录被清除。条件 3 保证不存在从残留副本重新生成 $m$ 的路径。证毕。

B.3 关于近似保证的说明

推论 1 中的 $(1-1/e)$ 与 $(1-1/e)/2$ 分别对应基数约束与背包约束下的经典贪心结果。它们要求目标函数单调、次模、非负，且可行集满足相应约束。本文的实际目标包含冗余惩罚与策略约束，因此不能直接套用这些界。工程上应通过离线评测确定贪心的实际表现，并在目标函数变化时重新验证；本文不把近似比作为完整系统的性能承诺。

C 评估检查清单

数据与工作负载

• 工作负载是否覆盖长周期、多租户、合规与对抗四类压力？
• 是否记录了数据来源、合成方法、标注协议与版本？
• 是否包含需要区分业务时间与事务时间的问题？
• 是否包含冲突事实、过期事实与低可信来源？

基线与实现

• 所有系统是否使用相同的基础模型、嵌入模型与上下文预算？
• 是否计入检索、巩固与生成的完整成本？
• 是否固定模型版本、解码参数与提示模板？
• 是否报告随机种子、方差与置信区间？

质量指标

• 任务成功率是否有明确的自动判据或人工标注协议？
• 引用正确率是否由独立审核者检查？
• 是否报告失败案例分类，而不仅是平均值？

治理与安全

• 是否进行了跨租户、跨项目、跨角色的红队测试？
• 删除测试是否覆盖文本、向量、图、缓存与备份？
• 是否验证了软删除向量不可重建？
• 是否测试了间接提示注入与逐步记忆投毒？
• 审计日志是否可验证完整性并可导出？

成本与运维

• 是否报告每任务 token 成本、存储增长率与 p95 延迟？
• 是否报告巩固任务的摊销成本？
• 是否评估了策略变更后的缓存失效与索引重建成本？

D 策略配置示例

以下 YAML 仅用于说明策略字段的组织方式，不构成可直接部署的配置；具体字段应与企业身份系统、数据分类与合规要求对齐。

tenant: "tenant-a"
memory_class: "semantic"
record_policy:
  owner: "user:alice"
  purpose: ["project-support", "customer-service"]
  sensitivity: "confidential"
  jurisdiction: "CN"
  retention:
    class: "business"
    ttl_days: 365
    legal_hold: false
  access:
    allow_roles: ["project-member", "compliance-officer"]
    deny_roles: ["external-contractor"]
    require_purpose_match: true
  provenance:
    require_source: true
    min_trust_tier: "authorized-user"
  lifecycle:
    on_expiry: "review"
    on_conflict: "mark-disputed"
    on_delete: "closure-purge"
audit:
  log_reads: true
  log_exports: true
  hash_chain: true

E 故障注入与红队测试清单

编号	注入场景	观察点	通过判据
T1	跨租户相似文档	是否召回他租户记录	零越权
T2	缓存键缺少租户字段	是否命中他租户缓存	零越权
T3	删除后恢复备份	记录是否复活	零复活
T4	软删除向量重建	是否可还原原文	不可还原
T5	摘要未登记血缘	删除是否遗漏视图	闭包完备
T6	外部文档提示注入	是否改变系统策略	不改变策略
T7	逐步低强度投毒	虚假事实是否被采纳	被检测或降权
T8	冲突事实同时存在	是否静默择一	披露分歧或正确裁决
T9	过期政策问答	是否使用当前有效版本	使用正确版本
T10	高影响操作无审批	是否直接执行	触发人工确认

以上清单应在每次架构变更、模型升级与策略调整后重新执行；对失败项记录根因、修复方案与回归测试，而不是只在发布前做一次性检查。

---

写作说明与待办

1. 本文的架构、形式化定义与评估协议为原创整理；文献综述基于本地检索记录，未能二次联网核验的条目已在 References 开头说明，投稿前需逐条复核。
2. 第 7 章全部实验数值为 ，本文未编造任何性能数字、数据集规模或统计显著性结论。
3. 若需将本文扩展为实验论文，优先完成 W1（长周期项目）与 W3（多租户隔离）两套工作负载，因为它们最能区分 ELMA 与基础 RAG 的差异。
4. 图中的部署拓扑与策略配置为示意，实际落地需结合企业身份系统、数据分类分级与管辖域要求调整。