长期记忆 AI 项目实战：从“能记住”到“可控、可删、可评测”

长期记忆最容易被低估的点：它不是“让助手更聪明”的装饰，而是一个可写、可持久、可跨会话复用的状态系统。只要它存在，就会同时带来价值与风险。

TL;DR

• 先把目标讲清楚：你要的是“跨会话偏好复用”，还是“可追溯的事实沉淀”，还是“任务状态与工作流推进”。
• 记忆系统至少要有四个能力：写入策略、读取策略、用户控制（看/删/导出）、评测回归。
• 安全从第一天做：记忆可被投毒，且投毒能跨会话放大影响[2][3]。

1. 什么时候需要“长期记忆”

下面这些信号，通常说明你已经需要长期记忆了：

• 同一用户重复讲同一背景信息，且背景信息能稳定复用（角色/偏好/常用工具/业务上下文）。
• 任务型对话频繁跨天继续（“上次我们做到哪了”“把上次未完成的步骤继续”）。
• 你希望做个性化但不想把所有历史对话塞回上下文（成本与效果都会变差）。

反过来，如果你的场景“单次问答为主、用户不在乎连续性”，短期记忆或会话内历史就足够。很多框架也把短期记忆与长期记忆拆开解释：短期记忆更像“线程内历史”，长期记忆强调“跨线程/跨会话的可复用信息”[1]。

2. 先定“记忆的产品口径”

长期记忆的产品口径，建议拆成三类问题：

1. 写什么：哪些信息值得沉淀（白名单），哪些信息必须拒绝（黑名单/敏感）。
2. 谁能看：按用户、组织、项目、会话、角色做权限与隔离。
3. 怎么用：是注入到提示词、作为工具检索结果、还是驱动工作流状态机。

一条很实用的规则：默认不记忆，只有命中规则才写入。否则你会很快遇到“垃圾记忆”与“错误记忆”把模型带偏的问题。

3. 最小可行架构（MVP）

把长期记忆当成一个小型数据系统来看，MVP 也应该至少包含以下组件：

• Memory Store：存储层（结构化 + 非结构化），支持 TTL、版本、审计字段。
• Write Policy：写入策略（触发条件、字段白名单、去噪、敏感信息处理）。
• Read Policy：读取策略（检索范围、排序规则、最大注入预算、冲突处理）。
• Governance UI / API：用户可查看、可删除、可导出；管理员可审计、可回滚。

安全上，建议把“记忆读写”当作高风险操作。OWASP 的 Agent Memory Guard 项目把 agent memory 视为高价值攻击面，并强调运行时完整性校验、策略、快照与回滚[2]。

4. 写入策略：别让“对话历史”变成“永久负担”

写入策略建议从三个层次做：

4.1 触发：什么时候写

• 显式触发：用户说“记住这个”“以后都按这个偏好”。
• 隐式触发：用户完成一次明确决策（例如选择了默认语言/输出格式/常用搜索源）。
• 工作流触发：某个任务进入新状态（例如“已付款”“已验收”“已发布”）。

4.2 过滤：写哪些字段

用“字段白名单”控制写入范围，例如：

• profile：岗位、行业、语言偏好（低频变更）
• preference：输出格式、长度、语气、默认工具（中频变更）
• facts：可验证事实（例如公司名称、系统环境约束）

对敏感字段做最小化：能不记就不记；必须记就加密/脱敏，且提供可删除与审计。

4.3 压缩：怎么把长文本写成“可用记忆”

长期记忆不等于把原始对话永久存起来。更实用的做法是：

• 原文只做短期保留（用于纠错与审计）
• 长期层保存“结构化摘要 + 证据指针”（例如来源链接、docId、事件ID）

5. 读取策略：把“相关”变成“可控”

长期记忆的读取常见失败模式是：检索到的内容“看起来相关”，但其实是注入指令或过期信息。

工程上可以做三件事：

1. 范围收敛：按用户/项目/产品线限制检索范围，默认不跨域。
2. 预算限制：给“记忆注入”单独 token/条目预算，避免挤占核心上下文。
3. 指令隔离：把“记忆内容”当作数据，而不是指令，特别是从工具输出或外部内容写入的记忆。

很多 agent 安全工具与指南都把“工具、记忆、行动”视为一体化风险面：记忆投毒可能跨会话生效，导致后续工具调用偏离预期[3][4]。

6. 用户控制：可删、可导出、可解释

长期记忆做得再聪明，如果用户没有控制权，最终都会变成“信任债务”：

• 可查看：用户能看到系统记了什么
• 可删除：支持选择性删除与“一键清空”
• 可导出：满足合规与迁移需求
• 可解释：告诉用户“这条记忆来自哪里、什么时候写入、为什么写入”

7. 评测与回归：把记忆当成可测试组件

建议从三类测试入手：

1. 功能正确性：写入规则是否生效、删除是否真的删除、隔离是否正确。
2. 质量评测：记忆是否提升任务成功率/减少重复提问；是否引入错误偏好。
3. 安全回归：针对投毒样本、提示注入样本进行回归，确保策略能拦截或降权[2][3]。

近30天动态（节选）

• Google Cloud 把 MCP servers 的可观测能力接入 Cloud Trace（2026-04-10），对“工具调用/记忆读写”做链路追踪是落地关键一步。更多见：近30天动态总览
• OWASP 发布 Agent Memory Guard 项目页与路线图（2026），强调运行时防护与可回滚[2]。

参考与延伸阅读

• [1] LangChain：Short-term memory（含 long-term memory 入口）https://docs.langchain.com/oss/javascript/langchain/short-term-memory
• [2] OWASP：Agent Memory Guard https://owasp.org/www-project-agent-memory-guard/
• [3] mguard（Memory defense for AI agents）https://www.github.com/mguard-ai/mguard
• [4] The Red Council：Agent Security Testing Guide https://github.com/sherifkozman/the-red-council/blob/main/docs/agent-testing-guide.md
• [5] LangChain Forum：Encrypted Memory Modules proposal https://forum.langchain.com/t/proposal-encrypted-memory-modules-for-langchain-redis-mongodb/2849