记忆不是免费的。对智能体而言，每一比特被“记住”的历史，都要在精度、成本、延迟和安全四张账单上同时付息。
引言：10月22日，三份“记忆账单”同时寄到
2026 年 10 月 22 日是一个值得记住的日子——讽刺的是，这一天行业讨论的核心恰恰是“该忘掉什么”。同一天里，三份重量级材料先后发布：上海交通大学研究者 Zedong Peng 在 arXiv 上贴出论文《MemoryTax: The Bitter Lesson of Agent Memory》（arXiv:2610.29823），用真金白银的 API 账单给各类智能体记忆系统算了笔账[1]；另一组研究者在论文《Is Complex Agentic Memory Always Needed? Naive RAG Is Stronger Than We Thought》中直接宣称：在 7 个基准-模型组合中的 6 个里，一个“笨拙”的朴素稠密检索基线击败了精心设计的复杂记忆系统[2]；同日，Databricks 发布了企业级 Agent Memory 服务与 AI Runtime，Google Cloud 则公开了“受治理的自进化智能体”参考架构 Project Chrysalis[3][4]。
一边是学术界冷静地拆台，一边是产业界热火朝天地盖楼。这种分裂本身就是信号：智能体记忆在 2026 年已经从“锦上添花”变成了“兵家必争”，但它的真实收益与真实代价，直到最近才被认真核算。这篇文章想做的，就是把这四张账单——精度、成本、延迟、安全——一张一张摊开给你看。
图为 Unsplash 上的抽象神经网络光纹作品，恰如智能体记忆中互相缠绕的检索路径
一、记忆为什么突然成了头号工程
答案藏在一个尴尬的数字里。麦肯锡《State of AI in 2026》报告显示：年营收超过 10 亿美元的企业中，只有约 40% 能够将智能体规模化部署；而营收低于 10 亿美元的企业，这一比例只有 22%[3]。智能体落地难，难在哪？企业客户的反馈高度一致：不是不会做事，而是记不住事。
传统大模型的“记忆”就是上下文窗口——把历史对话全部塞进 prompt。这在演示环境里无懈可击，但在真实业务中立刻撞上三堵墙：
- 经济墙：一个跑了三周的客服智能体，历史对话可能超过百万 token。每次都全量塞进上下文，推理成本随时间线性膨胀，很快超过人力成本。
- 注意力墙：即便是 2026 年的长上下文模型，在超长上下文中也存在“中间信息迷失”（lost in the middle）问题——窗口越大，不等于用得越好。
- 工程墙：上下文窗口是无状态的，服务重启、会话切换、多设备同步，全都要企业自己想办法。
于是 10 月下旬，大厂的动作密集得像在赶集。我们把近期的关键节点整理成一张表：
| 时间 | 主体 | 动作 | 关键词 |
|---|---|---|---|
| 2026-03 | Anthropic | 提出 Claude Code 的“七层记忆”分层体系 | 记忆分层 |
| 2026-10-21 | NVIDIA | 发布 Sentry 运行时安全架构（GTC Berlin） | 智能体安全 |
| 2026-10-22 | Databricks | 发布 Agent Memory（beta）与 AI Runtime（GA） | 企业记忆服务 |
| 2026-10-22 | Google Cloud | 公开 Project Chrysalis 参考架构 | 自进化智能体治理 |
| 2026-10-22 | arXiv | MemoryTax 与 Raw-RAG 两篇论文同日上线 | 记忆的净价值 |
| 2026-10 下旬 | Letta | 发布 FrontierMemory 基准（测“从经验中学习”） | 记≠会用 |
图/Unsplash：每一层记忆架构背后，都是这样的基础设施在持续运转
二、三条技术路线：记忆系统的“三张面孔”
过去三年，社区围绕“智能体该怎么记东西”演化出三条主流路线，各自的哲学截然不同。
第一张面孔：操作系统隐喻。 2023 年 UC Berkeley 的 MemGPT 论文（arXiv:2310.08560）提出把 LLM 当作操作系统：主存是上下文窗口，外存是磁盘，模型自己决定何时把什么内容换入换出[5]。这条路线的后继者 Letta 至今仍坚持“让智能体自治管理记忆”的理念，其记忆文件系统甚至用 Git 做版本管理——每次记忆修改都有 commit 记录，可回滚、可审计。优点是智能体对记忆拥有完全的“元认知”，缺点是记忆管理本身要消耗大量推理步骤。
第二张面孔：向量记忆层。 以 Mem0 为代表的路线把记忆做成独立服务：对话结束后由模型抽取“事实片段”，向量化入库，下次对话时按语义相似度检索。它对开发者最友好——一个 API 调用就能接入，不改变智能体主体架构，因此在消费级个性化助手场景 adoption 最快[6]。
第三张面孔：时序知识图谱。 以 Zep 的 Graphiti 为代表，把记忆组织成带时间戳的实体关系图：“张三 3 月是 A 公司 CTO，7 月跳槽到 B 公司”不是覆盖旧记忆，而是图上两条带有效期的边。在需要审计、合规、时序推理的企业场景（金融、医疗、法务），这是唯一能回答“当时的规定是什么”的架构[6]。
Anthropic 在 2026 年 3 月提出的七层记忆体系，则可以看作对这三条路线的“垂直切片”：从会话内上下文、会话摘要、跨会话项目记忆，一直到跨项目的组织级知识库——层级越高，离模型越远，但保质期越长[7]。
| 路线 | 代表系统 | 记忆写入方式 | 强项场景 | 主要代价 |
|---|---|---|---|---|
| OS 隐喻 | MemGPT / Letta | 模型自主编辑记忆文件 | 编程智能体、长程自治任务 | 管理开销大 |
| 向量记忆层 | Mem0 | 事后抽取事实片段 | 个性化助手、SaaS | 重建成本高 |
| 时序知识图谱 | Zep / Graphiti | 实体关系+时间戳 | 企业审计、时序推理 | 图谱维护复杂 |
三、记忆税：两篇论文把账算明白了
理论上的三足鼎立，被 10 月 22 日的两篇论文泼了一盆冷水。
MemoryTax 的核心发现：记忆是弱模型的拐杖，却可能是强模型的负资产。 作者用一段 419 轮、152 个问题的真实 LoCoMo 对话做实验，横跨 4 种记忆方案（全量上下文、BM25 检索、Mem0、Zep）与 3 个模型（GPT-4o-mini、GPT-6 Luna、Claude Opus 5.5），并逐格记录 API 花费[1]。结论有三层：
- Mem0 只在最弱的 GPT-4o-mini 上跑赢了全量上下文——而它仅建库一项的成本，就超过了强模型一次全量推理的总花费；
- 记忆系统的天花板由写入模型决定：用弱模型写记忆，再用强模型读，读不回写入时就丢掉的信息——“更强的读者无法挽回更弱的作者漏写的东西”；
- 在最强模型下，一个简单的 Pi 编程智能体以不到竞争对手的成本拿到 99% 准确率，占据成本-精度前沿的恰是“不建记忆系统”的组合。
作者把这个现象命名为“记忆税”：为了让弱模型看起来更强，你付出了一笔经常高于直接升级模型的隐性成本。
Raw-RAG 论文则补上了另一半证据。 郑者 Bao 等人的研究把朴素稠密检索（直接对原始对话历史建向量索引）与一众复杂记忆系统同台竞技：在 LoCoMo、LongMemEval、MEME、MemoryAgentBench 四个基准上，Raw-RAG 在 7 个基准-模型组合中 6 次排名第一，领先幅度 0.13 到 5.53 分，处理百万 token 对话的速度比最复杂的系统 EverMemOS 快 30.4 倍[2]。
更有洞察力的是它的归因分析。论文把记忆系统拆成两个指标：覆盖率（需要的信息是否被检索进来）与利用率（信息在手时的答对率）。数据显示，各系统在 MemoryAgentBench 上的利用率都挤在 80%–89.7% 的窄带里，覆盖率却从 19.1% 到 45.3% 拉开了巨大差距——瓶颈根本不在“读了会不会用”，而在“有没有把证据读进来”。复杂记忆系统在压缩、摘要、整合的过程中亲手丢掉了证据，而“笨拙”的 Raw-RAG 因为什么都没丢，反而赢了。
还有一个数字值得所有架构师记在笔记本上：在 LoCoMo 对话中，记忆系统做出的写操作里，UPDATE 和 DELETE 只占 1.90%（LongMemEval 上 1.34%），而且其中大多数还是重复或格式错误的操作[2]。也就是说，复杂记忆系统引以为傲的“记忆整理”能力，绝大多数时候根本没有被触发——你为屠龙术付了钱，而龙没来。
图/Unsplash：最朴素的检索管道，往往是深夜调参后依然站得住的那一个
当然，这两篇论文都有明确的适用边界：实验集中在多轮对话记忆场景，任务类型以问答为主；MemoryTax 更是坦承每个实验格只跑了一次，统计功效有限。它们推翻的不是“记忆系统有价值”，而是“记忆系统在所有场景下都值得”——在强模型 + 工具检索的 2026 年，记忆系统的默认地位应当从“必选项”降级为“待评估项”。
四、第二张账单：记忆也是新的攻击面
如果说精度和成本是“经济账”，安全就是“生死账”。记忆让智能体拥有了跨会话的持久状态，这同时也意味着：谁污染了记忆，谁就劫持了智能体的未来。
两个 2026 年的真实案例把风险具象化了。4 月，Cisco 研究团队演示了对 Claude Code 的链式攻击：从一次用户正常批准的依赖安装开始，攻击链经由记忆文件、hooks 和 shell 配置逐级放大；Anthropic 随后在 2.1.50 版本中把用户记忆移出系统提示词，显著收窄了攻击路径[8]。8 月，Varonis 的 CoSnitch 研究向 Copilot Personal 的持久记忆写入了攻击者指令，这些指令在用户改密码、吊销会话、重新注册设备、登出之后依然存活——微软于 8 月 18 日发布补丁，所幸没有野外利用的报告[8]。这类攻击最阴险的地方在于：被污染的记忆看起来就像智能体“自己的判断”，管理员重启一百次也没用，因为病灶存在数据库里。
产业界的防御方案也在 10 月集中亮相。Google 的 Project Chrysalis 提出在三个时间尺度（实时、会话、长期）上为自进化智能体设置五道护栏，其核心思想之一是记忆签名：所有写入长期记忆的“经验教训”必须携带来源与签名，不可信来源的写入直接拒绝[4]。NVIDIA 同周发布的 Sentry 架构则把防线下沉到硬件：用 BlueField DPU 的隔离安全层在毫秒级尺度上管控智能体的每一次访问请求[9]。Chrysalis 的作者甚至预测：一年之内，“智能体记忆是否携带签名与溯源”会成为企业安全问卷的固定条目[4]。
图/Unsplash：一条写入持久记忆的恶意指令，可以在无数次重启后依然生效
五、怎么交税最划算：一张决策清单
把前面的账本合起来，我们给不同场景的团队一张务实的决策表：
| 你的场景 | 建议方案 | 理由 |
|---|---|---|
| 强模型 + 编程/工具型智能体 | 先不建记忆系统，用工具直接检索原始历史 | MemoryTax 显示这是成本-精度最优解[1] |
| 多轮对话问答 | 朴素 RAG 优先，复杂记忆按需叠加 | Raw-RAG 在 6/7 组合中登顶[2] |
| 个性化消费级助手 | 向量记忆层（如 Mem0 类） | 接入成本低，个性化收益明确 |
| 金融/医疗/法务等强审计场景 | 时序知识图谱 | 需要回答“当时的真相”，向量库做不到[6] |
| 长程自治智能体 | OS 隐喻 + 记忆签名/审计 | 长时程任务离不开记忆，安全必须前置 |
| 弱模型 + 高频调用 | 评估“直接升级模型”vs“建记忆” | 记忆税可能高于模型升级费[1] |
三条通用原则值得写在架构文档第一页：
- 先测覆盖率，再谈利用率。你的检索管道能不能把证据捞进来，比下游怎么读重要一个量级[2]。
- 记忆要有 TTL 和签名。没有过期机制的记忆库迟早变成垃圾场；没有溯源的记忆迟早变成攻击面[4]。
- 把“不建”当作一个正经候选方案。每次立项记忆系统前，先跑一次“全量上下文”和“朴素 RAG”基线——两周的实验可能省掉一个季度的工程。
图/Unsplash：记忆架构的正确立项方式，是先算账再动工
六、挑战与展望：从“记住”走向“学会”
2026 年 10 月的这一轮讨论，本质上是在纠正 2024–2025 年的一个行业惯性：把人类记忆的隐喻直接搬进工程，默认“记得多 = 更聪明”。接下来会发生什么？三条线索值得跟踪。
第一，评估基准正在从“记得住”转向“用得好”。 Letta 新发布的 FrontierMemory 基准测的是完全不同的东西：给五个智能体框架同样的历史经验，看谁能把它变成下一次任务的更好表现。结果拉开巨大差距——Letta Dream 得分 73.3%，Prime Agent 60%，OpenAI Agents SDK 40%，而 Claude Managed Agents 与 Hermes Agent 分别只有 33.3% 和 26.7%[10]。它反复强调的结论是：回忆不等于学习（Recall isn’t learning）。下一个赛段的竞争焦点，是从“检索记忆”进化到“从经验中改进行为”。
第二，记忆将成为治理对象，而非纯技术组件。 Chrysalis 的“签名记忆进安全问卷”预测，与 NVIDIA Sentry 的硬件级运行时管控，指向同一个未来：记忆系统会像今天的数据库一样进入企业的权限、审计、合规体系——谁可以写、写入要签什么名、多久过期、如何出具审计报告，都会有一套标准答案[4][9]。
第三，模型能力的持续跃升会不断重绘“记忆税”的税率。 MemoryTax 最深的一层启示是：记忆系统的价值是模型能力的函数。模型越强、工具调用越可靠，“外挂记忆”的相对价值越低。任何记忆架构的立项书，都应该假设两年后模型又强了一个数量级——那时的账还算不算得过来？
图/Unsplash：无论记忆架构如何演进，最终都要回到这些机柜上的真实成本
结语
回到 10 月 22 日那三份账单：学术界证明了“朴素可以很强”，产业界则在为“记住一切”修更宽的路。这两件事并不矛盾——它们共同把智能体记忆从信仰问题还原成了工程问题。
Rich Hickey 有句话说得好：“程序员知道做事情的好处，也知道不做的坏处，但往往忽略了做这件事本身的代价。”（Programmers know the benefits of everything and the downsides of nothing.）智能体记忆正是这句话在 2026 年的最佳注脚：记住不是目的，以可承受的代价记住对的事情才是。 下次有人向你推销“给智能体装上完整记忆”时，不妨先问一句——这笔记忆税，你打算用什么交？
参考资料
- Peng, Z. MemoryTax: The Bitter Lesson of Agent Memory. arXiv:2610.29823, 2026-10-22. https://arxiv.org/abs/2610.29823
- Bao, Z. et al. Is Complex Agentic Memory Always Needed? Naive RAG Is Stronger Than We Thought. arXiv, 2026-10-22.（数据引自 Flowtivity 论文解读：https://flowtivity.ai/blog/naive-rag-vs-agentic-memory）
- TechTarget. Databricks’ latest improves AI memory, infrastructure for agents. 2026-10-22. https://www.techtarget.com/data-technologies/news/366652428/
- Shattered.io. Google Chrysalis: 3 Timescales, 5 Guardrails. 2026-10-22.（源自 Google Developers Blog《Architecting Governed, Self-Evolving AI Agents》）
- Packer, C. et al. MemGPT: Towards LLMs as Operating Systems. arXiv:2310.08560, 2023.
- MintMCP. Best AI Agent Memory Frameworks in 2026: Mem0 vs. Zep vs. Letta. https://www.mintmcp.com/blog/ai-agent-memory-frameworks
- NirDiamant. Agent Memory Techniques（含 Anthropic 七层记忆体系整理）. https://github.com/NirDiamant/Agent_Memory_Techniques
- SC Media. After memory poisoning, an AI agent needs more than a restart. 2026-10-23. https://www.scworld.com/perspective/
- NVIDIA Technical Blog. Inside NVIDIA Sentry: Secure AI Agents at Runtime. 2026-10-21. https://developer.nvidia.com/blog/inside-nvidia-sentry-secure-ai-agents-at-runtime
- The New Stack. Five AI agent harnesses took the same memory test. 2026-10. https://thenewstack.io/letta-frontiermemory-agent-harness-benchmark
本文由 AI 辅助整理，引用数据以原始来源为准。配图来自 Unsplash，经腾讯云 COS 分发。