V konsolidácii pamäte LLM rozhoduje o zápise recency of mention, nie oprava
Zmerané naprieč dvoma rodinami modelov: stiahnutá hodnota zopakovaná posledná sa re-uloží v 45-85 % prípadov; daj opravu na koniec a padne to na 0.00. Cez tri reálne write-back cykly sa chyba zamyká, nerastie. Write-path guard ju nuluje bezpodmienečne; promptová inštrukcia len ak model poslúchne.
Problém. Pamäť agentov má write-back slučku, ktorú nikto nebenchmarkuje: agent si vytiahne spomienky, koná, a potom konsoliduje — niečo zapíše späť do skladu. Ak vytiahnutý povrch obsahuje korumpovanú položku (starú hodnotu, ktorú niekto zopakoval po tom, čo bola opravená), konsolidačný krok môže korupciu re-uložiť a sklad ju nabudúce vráti. Produkčný bug report ukazuje, kde to končí: v mem0 issue #4573 jedna halucinovaná veta „User prefers Vim" splodila 808 kópií presne cez túto slučku (uložená, vybavená, re-extrahovaná ako pravda), a výmena extrakčného modelu to neopravila. My sme zmerali modelovú vrstvu tej slučky priamo.
Setup. Dve rodiny modelov (glm-5.2, deepseek-v4-flash), n=20 na bunku, Wilson 95 % CI, nula chybných volaní. Syntetické konfiguračné fakty, ktoré modely nemôžu poznať parametricky, takže z tréningových dát sa nedá nič zachrániť — namerané miery sú podmienka čistej propagácie a pravdepodobne horná hranica pre všeobecne známe fakty. Každý prípad: hodnota sa uloží, opraví, potom sa stiahnutá hodnota zopakuje (echo). Model dostane samostatný call bez otázky na akciu: aká jediná hodnota sa má uložiť ako aktuálna?
Zistenie 1: konsolidácia re-ukladá echom zopakovanú starú hodnotu, a rozhoduje recency of mention.
| podmienka (store-only konsolidácia) | glm-5.2 | deepseek-v4-flash |
|---|---|---|
| permisívny povrch, echo spomenuté posledné | 0.45 [0.26, 0.66] | 0.85 [0.64, 0.95] |
| tie isté tri riadky, oprava spomenutá posledná | 0.00 | 0.00 |
| povrch vyčistený write-path guardom | 0.00 | 0.00 |
Sám od seba, bez čohokoľvek na vykonanie, model re-uloží stiahnutú hodnotu v 45 až 85 percentách prípadov. Otoč poradie tak, aby posledný riadok bola oprava, a miera padne na nulu v oboch rodinách, hoci stará hodnota sa teraz vyskytuje dvakrát. To je konzistentné s tým, že o write-backu rozhoduje čistá recency of mention, nie väčšina zmienok ani vierohodnosť obsahu. (Najprv sme merali act a store v jednom calle, 0.60/0.75; samostatný call vylučuje vnútro-odpoveďovú konzistenciu ako vysvetlenie. CI sa prekrývajú.)
Zistenie 2: cez reálne write-back cykly chyba nerastie. Zamyká sa. Pustili sme skutočnú slučku na tri cykly: konsolidácia modelu sa zapíše späť do skladu a ďalší cyklus číta, čo sklad teraz vracia. Na naivnom append-only sklade priemerný podiel starej hodnoty klesá (glm 0.30 → 0.15 → 0.10; flash 0.75 → 0.60 → 0.50), lebo aj správne konsolidácie compoundujú. Ale v treťom cykle polovica flashových prípadov stále vracia stiahnutú hodnotu. Jedna konsolidačná udalosť má tendenciu rozhodnúť osud faktu; slučka potom zachová, ktorýmkoľvek smerom to padlo. Je to perzistencia, nie amplifikácia — produkčný prípad s 808 kópiami navyše obsahoval re-extrakciu pri recalle, ktorú sme nemodelovali, takže reprodukujeme lock-in mechanizmu, nie jeho násobenie.
Zistenie 3: obranný stack má jasné poradie.
| obrana | echo write-back | cena |
|---|---|---|
| write-path guard (retirovanie echa v sklade, tu inspeximus) | 0.00, každá podmienka, všetky 3 cykly | žiadna nameraná na tejto úlohe; adaptívni útočníci netestovaní |
| inštrukcia „ukladaj len overené hodnoty" | 0.00 na tejto fixtúre, obe rodiny | závisí od poslušnosti modelu; glm abstinoval 6/20 a recall cena abstencie je nemeraná |
| extraktor-vrstvová semantizácia (mem0 pipeline) | čiastočná: 0.25 | inde rozmazáva revert intent: na „go back" povrchu model ctí pokyn používateľa len v 0.45–0.65 prípadov, vs 1.00 na surovom alebo guarded povrchu |
Guard na úrovni skladu vyhráva, lebo starú položku odstráni skôr, než ju model vôbec uvidí, a nespolieha sa na poslušnosť modelu. Férový kredit: mem0 extraktor echo naozaj tlmí; cena sa ukáže na inom prípade. A poctivé varovanie mieri aj na nás: recency mechanizmus dáva útočníkovi recept (dostaň svoju hodnotu na koniec) a náš guard je testovaný len na vzoroch, ktoré tieto fixtúry pokrývajú.
Kam to patrí. Zombie Agents (arXiv:2602.15654) ukázali, že injektované spomienky prežívajú evolúciu pamäte; Faulty Memories (arXiv:2605.12978) že konsolidácia degraduje aj čisté vstupy; STALE (arXiv:2605.06527) zmeral retrieve-versus-act medzeru. Konkrétna spojka — čo model použije, to aj re-uloží, akou mierou, a ktorá vrstva obrany ju pretne — bola nemeraný šev. A je to prirodzené pokračovanie nášho cross-system integrity benchmarku: ten meral, či sklady držia opravenú hodnotu; toto meria, či ju model vráti späť. A rýmuje sa to s oveľa starším výsledkom: od DNS cache poisoningu po model collapse (Shumailov et al., Nature 631) bol trvácny fix pre read-act-write korupciu vždy brána na write ceste, lebo zápis je jediné miesto slučky, kde sa čisté a korumpované ešte dajú rozlíšiť.
Čestný rozsah. n=20 na bunku, dve rodiny modelov, jedna rodina fixtúr, tri cykly, syntetické fakty zámerne. inspeximus bunky bežia na našej vlastnej fixtúre a inspeximus vyrábame my — harness a každý výsledný JSON sú v repozitári, mem0 bunky bežia jeho reálnu pipeline (na Ollama stacku, popísané v probe; Graphiti sme vylúčili, lebo tento stack degradoval jeho extrakciu pod meraciu úroveň, čo je výrok o našom rozpočte, nie o Graphiti).
FalzifikátorKeby samostatný call ukázal nízke store-only miery, write-back by bol prompt-artefakt a mŕtvy. Keby reversal kontrola mierou nepohla, recency by bol nesprávny mechanizmus. Keby guarded rameno v slučke pretieklo, write-path tvrdenie by bolo mŕtve. Každá kontrola mohla svoje tvrdenie zabiť; žiadna to neurobila.
FAQ
Čo je write-back kontaminácia v pamäti agentov? Keď LLM agent konsoliduje pamäť, môže re-uložiť starú alebo korumpovanú hodnotu, ktorú si práve vytiahol, čím uzavrie slučku, v ktorej sa sklad sám otravuje. V našom meraní modely re-uložili echom zopakovanú stiahnutú hodnotu v 45 až 85 percentách prípadov na permisívnom povrchu.
Rastie korupcia časom? V našom trojcyklovom meraní nie. Zamyká sa: priemerný podiel starej hodnoty klesá, ale polovica prípadov jedného modelu po troch write-back cykloch stále vracala stiahnutú hodnotu. Perzistencia, nie amplifikácia.
Čo reálne rozhoduje o tom, čo model zapíše späť? Posledná spomenutá hodnota. S opravou spomenutou poslednou padol stale write-back na nulu v oboch rodinách modelov, aj keď sa stará hodnota vyskytla dvakrát. Recency of mention, nie recency of truth.
Vie to opraviť inštrukcia v prompte? Na tejto fixtúre áno: „ukladaj len overené hodnoty" zrazilo stale write-back na nulu. Ale závisí to od poslušnosti modelu, jeden model abstinoval na 6 z 20 prípadov (nemeraná recall cena), a guard na úrovni skladu dosahuje tú istú nulu bezpodmienečne.
Je to to isté ako memory poisoning útoky? Netreba žiadneho útočníka. Praktikova formulácia znie, že nikto nás neotravuje, otravujeme sa sami: slučka beží na nevinných zopakovaniach. Útočné práce (AgentPoison, MINJA, Zombie Agents) študujú adversariálnu injekciu; toto meria každodenný mechanizmus, ktorý tie útoky zneužívajú.