共享机器人记忆出错的四种方式

一篇论文命名了四种模式，又在自家生产服务里跑着其中两种

2026 年 6 月 23 日，五位研究者发表了一份分类：当多个智能体向同一份记忆写入时，究竟什么会坏。《Governed Shared Memory for Multi-Agent LLM Systems》——系统名为 MemClaw——「指出了四种基础性失效模式：未授权泄漏、过期传播、矛盾残留与来源丢失」（arXiv 2606.24535）。随后，在同一段摘要里，它披露其中两种正运行在自家的生产服务上。

第一种是范围缺陷：「租户隔离是成立的，但在按 id 直接 GET 取用智能体范围凭据时，子租户范围最初被绕过（已在研究期间披露并修复）。」范围键是对的，绕过它的那条检索路径不对。

第二种更古怪，而且对任何要造这东西的人更有用：「矛盾取代机制对已准入的写入有效，但同步的近重复门可能在异步矛盾检测器评估之前，就提前拒绝掉互相矛盾的写入。」去重机制在矛盾检测器看到之前，就把矛盾吃掉了。两条几乎相同的记录，和两条不可能同时为真的记录，在相似度检验眼里长得一样，而相似度检验先跑。

这里没有一处是理论推演。两个缺陷都由作者自述，这正是引用它们不失公允的原因。

这四个名字，就是我们在大脑上公布的四个。其中三个是 MemClaw 自己的用词、自己的顺序。我们的第一个——跨范围泄漏——是对「未授权泄漏」的改写，点名真正失守的那条边界，而不是被违反的那条权限。

由此有三件事，它们就是本文的论点。四种模式彼此可分，而且每一种都已经被测过。其中三种有机制，机制自身的失效也是可测且有界的；第四种根本没有机制，两个领先的系统还白纸黑字地这么说。而这个领域里几乎每一个数字都来自文本智能体或仿真器——没有人测过两个机器人写入方把互相矛盾的观测放进同一份存储时会发生什么，而那恰恰是一份现场记忆唯一会运行的形态。

每种模式一个实测数字

跨范围泄漏。 AgentLeak（arXiv 2602.11510，2026 年 2 月 12 日）在 1,000 个场景中对七条路径做了插桩，得到 4,979 条经校验的轨迹，测出系统总体隐私暴露为 68.9%。真正该改写审计要求的是另一个数字：「仅看输出的审计漏掉 41.7% 的违规」。多智能体配置反而降低了最终输出上的泄漏，27.2% 对单智能体的 43.2%，同时抬高了总暴露：加智能体只是把泄漏挪出了审计员盯着的那条通道。

MemClaw 自己的探测是同一种模式的另一面。机群内同侪可见性是 120 次探测中的 117 次，0.975，95% Wilson 区间 [0.929, 0.991]。跨机群泄漏是 80 次外部机群探测中的 0 次，95% Wilson 区间 [0.000, 0.046]。那是一个 4.6% 的上界，不是泄漏不可能发生的证明，而它出自同一项研究——正是那项研究发现了子租户绕过。作者自列局限的最后一条是「无对照」：一项服务拿自己跟什么都不比。

过期传播。 MELD（arXiv 2608.16357，2026 年 8 月 17 日）报告，按声明分状态的 CRDT「在 30 次真实分区恢复试验中 30 次重新收敛，而最后写入者获胜只做到 11 次」。默认的修法——最近一次写入获胜——三十次里错十九次。

矛盾残留。 MemToC（arXiv 2608.26295，2026 年 8 月 26 日）以 542 道经质量控制的问题跑了 6,504 个评估回合，发现模型在面对错误的工具返回时，只在 6.5% 到 17.1% 的合格案例里守住了已核实为正确的记忆答案。

来源丢失。 《Utility Under Attack》（arXiv 2608.21230，2026 年 8 月 21 日）[单一来源] 污染了 LongMemEval 语料的 1.2%，准确率从 0.850 掉到 0.300。它的写入期筛查流水线「拒绝了 360 条被投毒记忆中的 0 条」，而它的来源加权——已经落地的那一种，把信任变成排序乘子——「在统计上与不设防御无法区分（p=0.80）」。单作者预印本，未经复现，就该这么读。

跨越整个生命周期而不是按模式来看：MemSecBench（arXiv 2607.27080，2026 年 7 月 29 日）在 310 个案例、24 种配置上跑一套受控的「写入—执行—遗忘」协议，发现恶意记忆在 84.2% 的案例中留存。

还有一种失效落在这四种之外。它出现在这里，是因为它对逐条写入的防御做了什么。《Salami Attack: Stealthy Collusive Memory Poisoning against OpenClaw》（arXiv 2608.01637，2026 年 8 月 3 日）表明「多条看似无害的记忆可以共同诱发不安全行为」：记忆保存率 81.3%，攻击成功率 75.0%，覆盖 48 个场景。每一条单独的写入都通过。组合才是载荷，而一次只评估一条写入的筛查，永远不会把组合摆在眼前 [推断]。

第二个面落在协调通道上，而不是存储上。《When Coordination Becomes a Threat》（arXiv 2608.06830，2026 年 8 月 7 日）在 NVIDIA Isaac Sim 4.5.0 中，对一种多机器人架构打出 97.8% 的不安全动作成功率。那是消息完整性，不是记忆，它属于另一篇文章。

跨范围泄漏

• AgentLeak——仅看输出的审计漏掉 41.7% 的违规，基于 4,979 条经校验的轨迹文本智能体
• MemClaw——机群内 120 次探测中 117 次可见，跨机群 80 次探测中 0 次泄漏文本智能体

过期传播

• MELD——按声明分状态的 CRDT 在 30 次分区恢复试验中 30 次重新收敛，最后写入者获胜为 11 次文本智能体
• EvoNav-Bench——在 ProcTHOR 上把过期的先验观测与新观测融合；未公布比率仿真机器人 · 单智能体

矛盾残留

• MemToC——已核实为正确的记忆在 6.5% 到 17.1% 的合格案例中挺过错误的工具返回，基于 6,504 个回合文本智能体

来源丢失

• Utility Under Attack——写入期筛查拒绝了 360 条被投毒记忆中的 0 条；来源作为排序权重，在 p = 0.80 上与不设防御无法区分文本智能体 · 单一来源
• PACT——排除一个构造的对抗性分支后，来源分区使 ncsAURC 相对单点聚合降低 0.0557真实世界 · 离线人机数据
• Seeing is Not Believing——遥测在来源层之下被伪造，对基于 AI 的检测器 87% 成功真实世界 · 单条实体机械臂 · 单一来源

两个机器人写入方，一份存储

• 跨范围泄漏无人测量
• 过期传播无人测量
• 矛盾残留无人测量
• 来源丢失无人测量

• 文本智能体——只有软件智能体，没有身体
• 仿真机器人——在仿真器中测得
• 真实世界——实体机器人，或录制下来的人机数据；这里没有一条有两个机器人写入方
• 无人测量——该格没有已发表的结果

仿真、真实，还是根本没人测过

对这四种模式的测量，几乎全部来自软件智能体。三个例外就在上面那张图里：一个仿真导航器、一份离线人机数据集和一条实体机械臂。它们都没有第二个机器人在写。记忆安全与记忆治理这一支文献完全是文本智能体：AgentLeak、MemSecBench、MemToC、MELD、MemGauge、Nous、《Utility Under Attack》、Salami Attack、MAP-Graph——其作者自陈评测仅为合成——以及 MemClaw 自己，它把自己的适用范围描述为软件智能体。

具身记忆这一支文献很大，而它测的是另一件事：机器人究竟能不能记住。MEMOBench（arXiv 2609.07047，2026 年 9 月 7 日）是 LIBERO 与 robosuite 上的 30 个任务，最好的记忆模块基线为 31.9%，作者写明它「完全在仿真中构建，这让大规模数据采集与可复现的评测成为可能，但无法完整刻画真实世界的因素」。一台机器人。EvoNav-Bench（arXiv 2609.08292，2026 年 9 月 8 日）把终身导航放到 ProcTHOR 上，在任务之间改变环境，发现「现有方法可能把过期的先验观测与新观测融合」——过期传播，发生在一个身体里，定性描述，未公布比率。

然后是 RoboOS-NeXT（智源，arXiv 2510.26536，2025 年 10 月 30 日），迄今最接近「带数字的多机器人共享记忆」的工作。它的时空—本体记忆把「空间场景几何、时间事件历史与本体画像」折进一份共享表示。它的失效拆解就是这个领域反复引用的那个数字：记忆操作占失效的 30.2%，也就是 16 例，来自 200 次仿真餐厅场景试验中被分析的 53 次失效。工具调用占 45.3%（24 例），子任务生成占 24.5%（13 例）。在 Household 域的无错条件下，它报告 89.2，对照的是无记忆基线 81.6；在注入工具失败时是 71.3 对 23.5；在注入幻觉时是 78.5 对 31.0。这些都是 Household 的数字。论文没有给出餐厅、超市与家居三域的任何汇总值，也无法从它的表格中推导出来。

这些数字全部来自仿真。论文自己的 §IV-A 把它的设置称为「一个抽象掉了物理不确定性的仿真设置」。同一篇论文里的真实硬件工作——一台 Unitree G1、一套 Agilex 双臂、一条 Realman 机械臂——是三次定性演示，没有试验次数，没有成功率，也没有时长。这是已发表的最好的多机器人记忆结果，而它是一个仿真设置。下一个问题由作者自己点名：「在长时程上，更新与选择中的噪声会累积，损害时间一致性。」

我们找到的唯一一个带数字的真实硬件共享记忆结果，是 Semantic Autonomy Framework（arXiv 2605.02525，2026 年 5 月 4 日）：两台跑在树莓派 5 上的差速驱动机器人，记忆按「全局环境知识、每位操作员的偏好、每台机器人的能力」这一范围分类来组织。在一台机器人上学到的偏好被提升为确定性规则，通过一份共享的编译摘要单向迁移到第二台——33 次迁移全部正确，95% CI [0.894, 1.000]，覆盖 82 次场景级决策。它是已发表的东西里最接近一份现场记忆所做之事的，而它测的是迁移是否成功——从不测两台机器人各执一词时会发生什么。

这就是这个领域的形状：安全在文本上测，能力在仿真器里测，真实世界的例外要么是定性的，要么只有单写入方，还有一格没有人填。

1. 一个对象，两个写入方机器人 A 在 t1 观测到它。机器人 B 在 t2 观测到同一个对象，记下了一件不可能同时为真的事。两台机器人对自己所见都没有看错。
2. 投递——两条写入乱序到达存储过期传播落在这里：更早的那次观测最后才到。按声明分状态的 CRDT 在 30 次分区恢复试验中 30 次重新收敛，最后写入者获胜只做到 11 次——而重新收敛是一致，不是正确。

3. 准入——唯一没有机制的那条分支

   先是近重复门，然后才是矛盾检测器MemClaw 自己的披露：同步的近重复门可能在异步检测器评估之前，就拒绝掉互相矛盾的写入。两条几乎相同的记录，和两条不可能同时为真的记录，在相似度检验眼里长得一样。

   一位指定人员只在这条分支上，别的分支都没有。一个被纠正的判断在队列上等着，而机群继续按存储当下的样子行动。

   矛盾残留落在这里。MELD 不裁决真伪；MemToC 则直接测出了这道仲裁的失败，在 6,504 个回合上，已核实为正确的记忆只保住 6.5% 到 17.1%。

4. 合并与重建索引来源丢失落在这里：哪个写入方产生了哪条声明，丢了。写入期筛查拒绝了 360 条被投毒记忆中的 0 条，而来源作为排序权重，结果是在 p = 0.80 上与不设防御无法区分。
5. 检索——机群其余部分读取跨范围泄漏落在这里：检索路径绕开范围键作答，而不是穿过它。仅看输出的审计漏掉 41.7% 的违规。

• 有机制的步骤，机制的失效可测且有界
• 一道指定人员的人工关口，站在没有机制的地方

机器人记忆比聊天记忆多出来的东西

四条性质，每一条都取自机器人学的工作，而不是断言出来的。

一个物理时钟。 RoboOS-NeXT 的记忆带着时间事件历史，而它的失效分析点名更新与选择中累积的噪声会损害时间一致性。聊天记忆有轮次顺序；机器人记忆有挂钟时间，一扇门的状态或一处洒漏会照着挂钟时间过期，不管有没有人去读它。

一个位姿。 同一份记忆带着空间场景几何，而 Semantic Autonomy Framework 按环境、操作员与机器人来索引它的范围。一条记录是在某个地方为真，而那个地方是这条记录的一部分。

一个已经动过的执行器。 PACT（arXiv 2609.01662，2026 年 8 月 31 日）之所以存在，是因为一次准入决定要为一个有类型的动作放行，把未满足的放行条件映射到暂停、确认或回退。那个决定之下的来源层，建立在可以被伪造的遥测上。《Seeing is Not Believing》（arXiv 2609.08280，2026 年 9 月 8 日）[单一来源] 表明，一个 ROS 2 环境变量就给了攻击者一个现成的钩子，可以「在遥测与控制信号发布之前隐蔽地截获并注入它们」，在一条实体 Franka 机械臂上，对基于 AI 的检测器达到 87% 成功率。

一个在不同时间看到了同一个对象的第二写入方。 这一条性质背后，没有任何测量。

三个机制，一个空缺

泄漏有机制：硬性授权与分级信任分开。MAP-Graph（arXiv 2608.10509，2026 年 8 月 11 日）在排序之前就把权限上不合格的记录排除掉，而不是给它们降权，报告每种方法在 2,700 个合成任务上 94.96% 的任务成功率——按作者自陈，仅为合成。它的失效是有界的、叫得出名字的：它漏掉的正是仅看输出的审计所漏掉的，而且它也抓不到 MemClaw 那条按 id 直接 GET 的绕过——那条路径根本没有查过范围。

过期传播有机制：新鲜度门加上按声明分状态的 CRDT。它的失效同样有界，只要你对 30/30 到底是什么意思足够精确。重新收敛是一致，不是正确。所有副本最终持有同一个状态；CRDT 里没有任何东西能告诉你，两个都被如实观测到的状态里，此刻哪一个为真。

来源丢失有机制，而它便宜的那个版本已被证明不管用：写入期筛查拒绝了 360 条被投毒记忆中的 0 条，来源作为排序权重的结果，是在 p=0.80 上与不设防御无法区分。管用的是结构性的做法。PACT 对来源做分区，数的是独立的观测而不是相互一致的观测，因为「对一次观测反复推理，可以在不增加证据的情况下放大一致性」，而且「只有当来源允许分别累积时，一致才构成佐证」。在 31,200 次评估上，它报告 ncsAURC 为 0.0861；在排除一个构造的对抗性共识分支后，相对单点聚合降低 0.0557；同一相机内八倍复制，不改变它每个检查点的 720 条有类型的响应。八台相机取得一致，等于一次观测。那项工作是离线的人机协作：录制下来的场景，不是一个在环的机器人。它是我们手上最接近于「文本智能体的机制在接触到一个身体之后仍然成立」的迹象。

矛盾残留没有机制，而两个领先的系统白纸黑字地拒绝去造一个。MELD：「MELD 不裁决真伪；被检出的矛盾会被保留下来留待日后裁决，绝不悄悄解决。」Nous（arXiv 2606.22030，2026 年 6 月 20 日）[单一来源] 报告，「仅靠贝叶斯信念更新，相比朴素的最后写入者获胜几乎没有好处，因为现有的对话记忆基准很少包含互相矛盾或可靠性不同的证据」——而在一个专门构造的矛盾基准上，它大幅胜过最后写入者获胜。这项技术看起来一文不值，直到有人把测试它的案例造出来。MemToC 的 6.5% 到 17.1%，就是那道仲裁失败的直接测量。而 MemClaw 的取代只对已准入的写入有效——近重复门在这里又回来了。

那一次碰撞是这批文献里最好的证据，也正是为什么去重不是四种模式的第五个同级，而是弄坏了其中一种的那套机制。MELD 的答案在协议层：五种准入结果——插入、合并、关联、冲突、拒绝。合并与冲突是由不同检验得出的不同判决，而把两者都塞进同一个相似度阈值的系统，会悄悄丢掉第二种。

我们在大脑上公布：核心记忆只能经指定人员修改。那是一个收容决定，不是一个解法。没有人有机制，所以我们把一个人放在机制本该在的位置上，四条分支里恰好只放一条，而代价是真实的：一个被纠正的判断要在队列上等。这个做法不是我们首创。Harness Robotic OS（arXiv 2609.11225，2026 年 9 月 10 日）[单一来源] 描述了「一个安全受门控的自演化回路，它把执行轨迹转成带版本的候选更新，而不允许不受约束的在线修改」，跑在一台四足机器人上，发表于本文立项的前一天。

需要测的是什么

缺的那个实验具体到可以写下来：一套「写入—执行—遗忘」协议，在一个身体里，有两个或更多写入方。

它的每一块都单独存在。MemSecBench 有协议，没有身体。MEMOBench 有身体，只有一个写入方。RoboOS-NeXT 有好几台机器人，和一个仿真设置。CoCoBench（arXiv 2608.28266，2026 年 8 月 28 日）有 897 个经断言校验的实例上的多机器人协调，完全没有记忆测量。MA-EgoQA（arXiv 2603.09827，2026 年 3 月 10 日）有多路第一人称视角流，测的是聚合，不是冲突。

我们没有找到这个基准，而且我们找过两遍——2026 年 9 月 5 日与 9 月 11 日，在 cs.RO、cs.AI、cs.MA 与 cs.CR 上大约四十次 arXiv 分类检索 [推断]。那是两次检索得出的否定，不是证明。如果它存在，我们希望有人发给我们。

它要测的不是一个成功率。两台机器人在不同时间观测到同一个对象，都写了，存储里于是有两条不可能同时为真的声明。要量的是：哪一条写入活了下来；在有人察觉之前，机群按错的那条行动了多久；审计能否还原出谁写了什么；以及在这一切被记录下来之前，去重门先移走了多少。

对一个手里有混合机群的买家来说，可用的部分是这种不对称。四种里有三种有机制，供应商可以演示，所以提问时要带着分母：做了多少次范围探测，其中多少次失败；做了多少次分区恢复试验，其中多少次重新收敛。然后问，来源是资格上的硬过滤，还是排序里的一个权重——因为对加权那个版本，已发表的证据是它的表现与完全不设防御无异。第四种没有机制可以演示。在那里，问题不是哪个算法解决矛盾，而是谁来解决、队列有多长，以及在它没被解决之前，机器人在做什么。

我们自己的立场，直说：Crew（协同模式）尚未交付，现场记忆服务处于设计阶段，本文中没有一个测量是我们的。大脑让我们承诺，将连同自身结果发布一个小型的多写入方机器人记忆基准。我们还没有跑过它。等我们跑了，失败会和数字放在同一个地方。