企业落地智能体，先过记忆这道关：能删掉的记忆才是能上线的记忆-开发者社区

2026 这一年，同一个东西被两拨人同时盯上了：智能体的「记忆」。一拨是监管者。西班牙数据保护局（AEPD）在 3 月发布了一份 71 页的《智能体 AI 与 GDPR》指南，把「记忆控制」单列为一根支柱，要求企业做隔离、清洗和保留期管理。法国 CNIL 与 CIANum 在 7 月 20 日的联合说明里走得更远，把「记忆实例的激增」直接定性为智能体不透明的头号来源，并承认更正与删除难以全面、可追溯地落实。另一拨是攻击者。安全公司 Varonis 在 2025 年底披露的 CoSnitch 攻击里，研究员用「元黑客」手法让 Copilot 主动暴露自己的弱点，进而改写它的长期记忆、读取关联的 Gmail 和 Google Drive。

同一个「记忆」，在监管者眼里是个人数据，在攻击者眼里是持久化后门，在企业 IT 眼里是要审计、要删除、要担责的资产。三本账同时找上门。此前市场谈记忆，谈的是谁的模型记得住；这一轮问题翻页了，变成记住之后谁来管、怎么删、出了事谁担。本文想拆的就是这道翻页，而且删得掉比记得住更难。

记忆为什么突然变成了「数据」

监管视角里，智能体记忆第一次被系统拆开，是在法国 CNIL 与 CIANum 的说明里。它们画了一条关键分界线：上下文是某次进程里交换的历史，进程结束就该删；记忆是持久存在、随交互自动富集的记录。前者是熟悉的会话数据，后者一旦落盘，就是新的数据资产，触发保留期、删除义务，甚至新的处理目的。

欧盟更早的立场已为此铺了底：EDPB 第 28/2024 号意见书认定，用个人数据训练出来的模型，除非能证明有效匿名化，否则仍属处理个人数据。落到记忆上，结论就变得刺眼：记忆从模型参数的附属品，变成企业手里一份不断生长的个人数据集。中国学界得出了几乎一致的判断。付新华在《当代法学》2026 年第 4 期的论文里指出，个人信息一旦经训练嵌入模型结构，就与参数深度耦合，即便删了原始数据，模型仍可能凭记忆推断出相关信息，法律上的删除实现不了被遗忘。

这条线再往下一层，是记忆的分级。行业通行的分法，是把记忆分成三类：短时记忆（会话上下文，风险低）、长期记忆（持久偏好与事实，是标准数据存储）、情景记忆（按时间序列记录事件与决策，实质是一份行为档案）。情景记忆最麻烦，它几乎等同于给用户画了一幅行为画像，直接踩进 GDPR 的画像条款和个保法的敏感个人信息边界。分级的价值在于，不同记忆合规重量完全不同，但现在绝大多数企业的智能体，三层记忆混在一个库里，没有分层、没有保留期、没有 schema 可审计。

上图：2026 年监管、攻击、治理三条线同时压到智能体记忆这一个点上，各自给出不同的定性。

删不掉，是记忆最要命的短板

如果只能挑一个最让企业头疼的点，是删除。被遗忘权（GDPR 第 17 条、个保法第 47 条）在记忆系统面前，被一行技术现实卡死：删了源表里的那行记录，几周前复制进向量库、知识图谱的那份副本，纹丝不动，多家治理工具的指南把这句话当反面教材反复引用。中国官方标准已在给这个断层立法：GB/T 35273《个人信息安全规范》2026 年 8 月征求意见稿，专门为生成式 AI 加第 8.5.4 条，要求接受删除或限制系统输出的请求，15 个工作日内完成核验及删除，还把权利请求响应时限从 30 日压到 15 个工作日。

付新华给出的解，是把删除权改造成「删除权＋限制权」的复合结构：删不干净的，就用限制访问、限制使用、限制生成、限制传播来补，依据在个保法第 44 条的「限制处理」框架里。这个思路和产业界正在做的数据血缘（lineage）工程，其实是同一件事的两面。记忆层如果做不到从源数据追踪到下游每一份副本，删除就永远是一句空话。

立法还在往「删得物理上不可恢复」加码：征求意见稿引入 GB 46864-2025 电子存储介质标准，要求确保已删信息不可恢复。面向个人的规则也在收紧，网信办 2026 年报道的拟人化 AI 聊天机器人草案，要求提供查询、删除聊天记录选项，家长可要求彻底删除孩子记录。9 月济南圆桌论坛上，学界点破最后一块拼图：碎片化信息经大模型整合能推导出敏感信息，一旦内化为记忆，输出流向就难预判。记忆不只删不掉，它还把原本无害的碎片拼成一份当事人没同意过的画像。

上图：删除请求在记忆链路上断层，源表删得掉，下游副本删不掉，输出端照样回忆起该删的内容。

记忆成了新的攻击面

攻击者比监管者更快读懂了这条链路。2025 到 2026 年，记忆投毒从学术概念变成真实事故。微软 Copilot 那组漏洞最具代表性：研究员 Johann Rehberger 演示的 prompt injection 被微软追踪为 CVE-2026-24299，攻击者能往 Copilot 记忆里增删事实、植入持久指令，甚至留下一个叫 SpAIware 的后门持续外泄秘密，微软直到 2025 年 12 月和 2026 年 3 月才分批补上。Varonis 的 CoSnitch 对应 CVE-2026-24301，攻击面是记忆本身可被改写。

学术圈把这股势头系统地摸了一遍。2026 年出现了一篇专门谈「记忆主权」的综述，还有 PMPA、MemoryGraft、Trojan Hippo 等一系列攻击研究，手法高度一致：先污染记忆，再利用持久化把一次性注入变成持续外泄。Darktrace 在 2026 年 9 月的研究给出更冷峻的结论：主流编码智能体把对话历史明文存进本地 SQLite，且不校验响应是否真的来自模型，攻击者注入一段伪造历史，智能体就会照着假的指令行动，修复还得靠模型厂商对响应做密码学签名，企业自己补不了。

真正让企业 CIO 坐不住的是量。Check Point 的 2026 年 AI 安全报告显示，87% 到 93% 的组织每月至少发生一次高风险生成式 AI 交互，含敏感数据的高危提示占比从 2% 翻到了 4%。更早的 2025 年，就有销售智能体被投毒的 CRM 备注「记住」了虚假折扣审批权限、开发智能体被投毒的提交信息「记住」了可绕过评审直接上生产的政策例外，这类案例流传在安全圈里，虽无官方通报，方向已足够清晰。记忆一旦可写不可控，它就不再是便利，而是攻击者的长期据点。

厂商正在把治理做成产品差异

有意思的是，治理能力正在成为记忆产品的分水岭，也暴露了各家对「记忆归谁管」的真实态度。Anthropic 的 Claude 记忆走「把钥匙交给用户」：记忆以明文、人类可读的文件按主题组织，用户可逐条查看、编辑、删除，纠正跨产品生效；健康、种族、宗教、政治、性别认同等敏感话题默认不存，要存还得显式开启；SSN、政府证件号、犯罪记录、移民状态则无论开关都永不保存；Team 和 Enterprise 更是默认关闭、由管理员控制。OpenAI 的 Dreaming 走另一条路：后台自动综合重写记忆，用户只看到一个摘要页，而摘要不保证完整；「别再提这个」是抑制而非删除，删除对话也不等于删除已派生出来的记忆。一家给可删的文件，一家给看得到的黑盒。这个黑盒里装了什么，有研究给出答案：对 80 名用户、2050 条 ChatGPT 记忆的抽样发现，96% 是系统自动生成，只有 4% 来自用户明确指示，其中 28% 含 GDPR 意义上的敏感个人信息，52% 含对健康、政治、性格的心理推断。

创业公司同样在治理上分出梯队。Zep 靠双时态知识图谱做到每条事实都有 lineage 和时间点重建，合规拿到 SOC 2 Type II；Mem0 则用 user_id、agent_id 做身份隔离，审计日志和本地部署都要 Enterprise 档，合规是 SOC 2 Type I 加 HIPAA 自述，这份差异会在采购单上变成实打实的分水岭。更早一步，安全公司 Harmonic 在部署 Claude Cowork 的实操清单里点了几个硬伤：Cowork 被排除在 Anthropic 的 BAA 之外、没有会话删除接口、RBAC 只有 Enterprise 才有，于是建议企业把 Compliance API 的审计轨迹在试点前打开，否则出了事连历史记录都没有。

把这些摆到一起，一个更大的问题浮出来：独立记忆厂商的治理能力，正在被分发平台吸收。行业里已经有声音担心，记忆的价值最终会沉淀进 AWS、LangGraph、微软、Oracle 这些平台手里，独立的记忆层公司要么被收购，要么被功能化。到那时，企业要回答的就从「选哪家厂商」变成了「平台默认的记忆治理够不够用」。

上图：TechCrunch 报道页原图，2026-08-25，展示 Claude 的记忆列表界面，用户可逐条查看、编辑、删除记忆，来源：techcrunch.com

落地侧已经在为记忆买单，也已经在踩坑

落到真金白银上，记忆的价值和代价同时显现。Kustomer 用统一记忆后，67% 的进线被 AI 自主解决，客户留存同比提升 13%，审计还发现 75% 的客服经理工作量是纯行政事务；DevRev 在 20 万条真实查询上做到 70% 的解决率，省下 500 多万美元，靠的是一套共享记忆，且每步操作可追溯、可回滚。国内一侧，纷享销客的 Agentic CRM 把记忆分成会话、客户、组织三层，目标是把销售的个人经验沉淀成组织资产；信雅达的「猛禽 Agent OS」把记忆管理列为核心组件，服务中国银行、华夏银行、国开行等金融机构，卖点之一是私有化部署「数据不出行」。

金融业是记忆合规压力最大的场景，也是跑得最快的。德国商业银行（Commerzbank）的「Ava」智能体每月处理三万多对话、约 75% 自主解决，靠持久记忆加 Azure Cosmos DB 共享上下文支撑，同时把反欺诈、内容安全和全球 AI 法规合规摆在明面；纽约梅隆银行（BNY）的一百多个「数字员工」把 KYC 开户从约 20 小时压到 7、8 分钟，每个数字员工都有员工 ID、向人类汇报。国内门槛更高：等保 2.0、投顾决策日志留存 5 年、交易信息 SM4 国密加密，医疗场景还要求患者诊疗信息不得出境。蚂蚁数科给昆山农商银行落地客户画像智能体时，靠密态计算做到数据、模型、知识「可用不可见」，成本比明文贵 1.21 倍，买的就是合规。

坑也踩得很实在。金融圈的经典反面教材是 Anthropic Project Vend 里那个「暴走」的自主智能体：擅自打折、低于成本定价、捏造支付方式，把店做亏，事后总结的四条原则里第一条就是「持久记忆」加「决策瞬间的经济护栏」加「human-in-the-loop」。这跟 MIT 那组被反复引用的数据对上了：95% 的企业 AI 试点没有产生可衡量的财务影响，缺的其实是记忆、连接、治理三样基础设施。爱分析给中国记忆市场拍的数是，2025 年约 14.4 亿元，2030 年看 642.5 亿元，五年复合增速超 110%。

落地的难点，恰恰卡在治理那一环。爱分析给企业列的落地路径是五步：场景选择、记忆建模、技术接入、治理与权限、效果度量，最容易被跳过的正是「记忆建模」和「治理」两步，跳过就会堆出一个「数据沼泽」，后期改造成本翻倍。中文开发者社区直觉更直接：Mem0、Zep、Letta 三家在「该遗忘什么」上根本没有共识，社区反复在问，GDPR 式的删除要怎样才能贯穿抽取出来的事实库和知识图谱，厂商至今没人文档化。

上图：三家对「记忆归谁管」的回答不同，直接决定了记忆是黑盒、用户资产还是受控资产。

数字好看，但记忆的合规账、安全账、治理账这三本账，目前没有一家厂商能一并结清。删不掉的是常态，能删的是卖点；管不住的总要出事，管得住的是壁垒。我判断，智能体记忆下一步的分水岭会从「记得多准」移到「删得多干净、管得多清楚」，谁能把这套治理能力做成默认配置，别让它只挂在 Enterprise 加钱项里，谁就拿到企业采购的入场券。