LLM Agent 持久记忆引发隐私泄露的自我强化循环被实证证实

该论文通过多会话模拟实验发现，LLM Agent 使用持久记忆虽能提升回复质量，但会引发非对抗性的隐私泄露循环，导致用户属性被推断的比例随会话轮次增加而扩大。这种泄露并非源于恶意攻击，而是由记忆条件化响应中的预设（presuppositions）驱动：Agent 将早期属性作为既定事实陈述，用户选择确认或保持沉默，这些线索连同Agent的猜测最终被记录为新的记忆值。

实验数据显示，移除Agent对特定属性的提及可将后续泄露量降低约两倍于单次交互的预期效果，而单纯依赖用户主动纠正则无效——因为纠正行为本身即暴露了该属性，拒绝讨论则使预测向敏感值偏移，错误值一旦留存便难以消除。在四种支持模型上的测试表明，最佳缓解策略是约束Agent的响应生成，禁止其陈述或预设属性，此举可将泄露水平降至无记忆状态，同时保留大部分质量增益；相比之下，对用户输入或存储内容进行过滤/匿名化处理会牺牲显著的性能收益。

事实层面，该研究基于24个个人属性的模拟对话数据，对比了有无记忆两种场景下的属性推断准确率。推断层面，持久记忆架构可能成为隐私泄露的结构性漏洞，而非偶发风险。猜测层面，若行业普遍采用“记忆增强”作为产品差异化卖点而未在响应层实施上述约束，可能导致大规模用户数据在合规框架外被隐性累积。