Agent Memory Is a Surface for Endogenous Authorization Laundering
Tommaso Cerruti, Mika Okamoto, Ansel Kaplan Erol
cs.CR, cs.AI
2026-09-02
EAL-Bench在采购、安全和金融上测持久记忆：增量更新最多给50.2%未授权请求写入假权限，执行器有98.6%会照做；换成正确记忆后越权归零。
长跑 agent 要把权限、限制和撤销记在持久记忆里，否则每次都得重读整段历史。问题是记忆会写错：一次撤销被忘掉，过期授权还在；一次范围被写宽，采购员就能下不该下的单。
这跟外部投毒或 prompt injection 不是一类事。历史本身是真的，没有攻击者。出错的是系统自己的记忆层：它把从未被授予的权限写进去，出处被洗掉，下游执行器按记忆忠实行动。论文把这个失败叫 endogenous authorization laundering（内生授权洗白）。2026 年 2 月有过公开案例：一个邮件 agent 在例行压缩上下文时丢掉了「先确认再动手」的指令，把两百多封只该审阅的邮件删了。
现有记忆评测多看召回、对抗投毒或任务完成率。EAL-Bench 单独拆开两步：假权限有没有写进记忆，执行器拿到后会不会照做。
每条样本是一段 5 到 18 个 session block 的组织历史，里面夹着政策变更、过期说法和非权威建议。一条隐藏的确定性账本重放权威事件，给出真实授权状态。记忆 writer 只能看见可见历史，产出一份有容量上限的持久记忆；执行器稍后只拿这份记忆加一条结构化请求，在采购、网络安全、金融三条线里选工具动作。
每条 case 配一对只差一个授权字段的请求：一条该做，一条不该做。typed 记忆是带 source 标识的 JSON 记录，可以在执行前就判定记忆是否授权了账本禁止的动作。free-text 记忆没法这么判，就靠下游行为和「只换记忆、其余全冻住」的干预来定位因果。
对照很干净：
五家 writer 是 Nemotron 3 Ultra、Kimi K2.6、GLM 5.2、Grok 4.3、Qwen-Plus。两家执行器是 GPT-OSS-120B 和 DeepSeek V4 Pro。记忆表示分 free-text 和 typed，更新分一次性读完全部和增量更新。增量路径里，writer 每次只看见上一份记忆加新 block，早期原文不再回放。记忆实现走 LangMem 的 profile 管理器。两条缓解都打在形成端：cited-source 门只保留来源合法、可见、且来自有权授予主体的记录；bounded event sourcing 让模型只抽本 block 变更，由不可变日志和确定性 reducer 合成下一份记忆。
增量更新是最脏的条件。typed 增量记忆下，假权限形成率 P(F) 在采购 28.3%、安全 10.4%、金融 50.2%，和下游越权提交率几乎贴着走（28.9%、10.4%、51.0%）。一次性读完全部历史时，越权要低一个数量级：采购 typed one-shot 只有 1.6%。
假权限一旦写进去，执行器几乎总会照做。在已形成假权限的 typed 记忆上重放：采购 66/68（97.1%）、安全 60/60（100%）、金融 79/80（98.8%）会提交未授权动作，合计 98.6%。换成精确记忆后三域全是 0。失败在记忆，不在执行器对齐。
两家校准过的执行器换着用，越权提交率差不超过 1.1 个百分点，逐条一致率 97.9% 到 99.5%。换更强执行器救不了已经写脏的记忆。
缓解有用，但会误杀合法动作：
| 策略 | 越权提交 | 合法使用 | 假权限形成 |
| typed 增量基线 | 25.3% | 93.3% | 24.9% |
| 来源权威门 | 7.3% | 53.8% | 5.5% |
| 有界事件溯源 | 9.0% | 64.7% | 8.7% |
金融上事件溯源把越权从 51.0% 打到 6.9%，合法使用也从 98.3% 掉到 13.3%。来源门在安全域几乎没效果（10.4% 纹丝不动），那里的错主要不是来源不权威，是范围和生命周期写歪。
压力话术几乎不改采购和安全的越权率，但会把金融越权从 20.9% 抬到 27.3%；更大的伤害是合法使用：采购掉 27.2 点、安全 15.1、金融 19.1。Qwen-Plus 在金融上基线越权已经 43.8%，加压后合法使用从 93.0% 掉到 54.7%。
writer 侧多采样 k=1 到 k=8，采购越权从 13.2% 降到 8.6%。k=8 时 55.0% 的候选池里已经有一份精确记忆，但自审只挑中其中 26.7%。多算力能少写错，挑不出来已经写进去的错。
给长跑 agent 做权限，不能只盯执行器对齐。记忆本身就是有效授权策略的一部分。typed 记忆的假权限在给工具之前就能算出来，这是可以上线的审计点。
漏过一次越权是灾难、挡一次合法动作可恢复时，两条缓解都能用。undergrant 会停工的话，事件溯源更划算：合法使用多保住约 11 个点，越权只高 1.7 个点。换 writer 时两边一起变好，权衡主要来自缓解策略。
已经在用 LangMem 一类 profile 的团队，权限记录需要可验证出处和生命周期，增量更新不要交给模型自己维护。
作者自己写了：历史比真实职场沟通更工整，授权事件异常清楚，测的是受控工作流里会不会发生，不是线上发生率。假权限的确定性标签只覆盖 typed 记忆。writer 对比和压力实验只跑了一个固定 seed，压力对合法使用的打击还集中在 GPT-OSS 一家执行器。来源门假定「谁有权授权」是已知的；事件溯源等于换了整套记忆架构。安全域失败率低，可能是模型对安全任务更保守，不一定说明金融业务更危险。
另外，case 由 Claude Opus 4.8 辅助生成再人工改，评估模型里没有这家。三颗 seed 只支持描述性复现，请求之间共享同一份记忆，不能当独立样本。