告别“阅后即焚”：435篇文献揭秘Agent持久化状态治理机制

Always-OnAgents:A Survey of Persistent Memory, State, and Governance in LLMAgents

现在的智能助手越来越懂你，但大多数 $Agent$ 仍像是在上演现实版《初恋50次》——一旦单次任务结束，上下文清空，所有的用户偏好和任务教训瞬间清零。这种“单次情景”（Episodic）模式确实安全，因为过去是无关紧要的。然而，为了让 $Agent$ 真正成为得力助手，它们必然要走向“永远在线”的常驻模式。本文将深入解读一项前沿综述研究，基于435篇文献的详实语料库，该研究一针见血地指出：赋予 $Agent$ 持久记忆很容易，但要治理好这些状态却危机四伏。

ArXiv URL：http://arxiv.org/abs/2606.30306v1

概念重构：从单纯记忆到持久化状态

如果将 $Agent$ 视作一位企业员工，以往的单次情景 $Agent$ 就像每天早上被抹除记忆的临时工，只要当前输入的提示词（Prompt）干净、工具调用合法，就不会出大乱子。而 常驻智能体（Always-On Agent）则是一位拥有专属“档案柜”的正式工。其核心特征并非物理意义上的24小时不间断运行，而是具备 持久化状态（Persistent State）。

这个档案柜里存放的不仅仅是 $Memory$（过去的聊天记录或知识库），更是关乎系统控制流的硬性记录：任务账本、权限凭证、外部承诺、审计日志以及触发条件。当状态开始具备权威性，危险也就随之而来。一份存在档案柜底部的过期权限凭证，可能会在数月后让 $Agent$ 错误调用高危 API；一个曾经成功但如今已不适用的程序技巧，可能会被作为默认策略不合时宜地触发。这不再是简单的上下文窗口截断问题，而是系统级的安全隐患。

如上图所示，从单次 $Agent$ 向常驻 $Agent$ 演进的过程中，系统必然会与数据库、分布式系统乃至权限安全机制发生深度耦合。

剖析内核：持久化状态的六大诊断维度

为了妥善管理这个庞大且危险的“档案柜”，该研究提出了一个形式化的状态记录模型。我们将一个持久化状态项定义为一条记录 $s = \langle v, a, c, m, p, r, k, \tau \rangle$。其中 $v$ 代表具体的值，而围绕它的则是该研究提出的六个关键诊断维度：

权威性（Authority，$a$）：是什么赋予了该状态影响未来行动的许可？如果一份“档案”缺乏签名，它凭什么指导今天的决策？
作用域（Scope，$c$）：该状态适用于哪些特定的用户、任务或群组？私有记忆一旦缺乏作用域隔离，极易跨会话泄露。
可变性（Mutability，$m$）：状态能否被修改、覆盖或锁定？
溯源性（Provenance，$p$）：状态产生的时间戳和源头是什么？这本台账是谁记录的？经历了哪些转换逻辑？
可恢复性（Recoverability，$r$）：如果基于某条错误状态做出了决定，能否通过句柄回滚操作？
可操作性（Actionability，$k$）：该状态是被动的参考证据，还是可以直接自动执行的策略承诺？

在对435篇文献的编码分析中，该研究发现了一个显著的失衡现象：学术界过度痴迷于如何让 $Agent$ “写”和“读”档案（大部分研究集中在可变性和溯源性），却鲜少关心“档案管理”的权威性与可恢复性（仅有极少部分文献涉及）。一个在召回率上拿满分的记忆系统，如果缺乏权限边界、无法溯源，在犯错后无法回滚，它在真实生产环境中依然是极其危险的。

全貌追踪：状态类型及其生命周期盲区

档案柜里究竟装了什么？该研究将持久化状态分为三层：对象状态（携带的具体信息）、治理信封（元数据与权限凭证）以及外部承诺（如已经发出的邮件或支付的订单）。针对最核心的对象状态，本文重点解析其中最关键的两类：

原始经验的堆积：情景追踪

情景追踪（Episodic Traces）是对系统所发生事件的原始记录，涵盖对话轮次、工具调用及环境观察。它们是其他状态类型的基石。情景追踪最容易犯的错误并非遗忘，而是毫无节制地堆积。

随着交互的增加，存储呈线性增长，不仅积累了海量噪声，还可能无意中保留隐私数据。更致命的是，普通的 $Agent$ 日志通常只存储表面文本，却丢掉了后续审计或回滚所必须的来源（$p$）和检索句柄（$r$）。该研究指出，单纯的文本堆砌只会让档案柜变成一个无法检索和追踪的垃圾场。认知科学中的互补学习系统理论（Complementary Learning Systems）早已证明，快速的情景存储必须与缓慢的语义巩固交织进行，才能避免灾难性干扰。

提纯后的认知：语义事实

语义事实（Semantic Facts）是 $Agent$ 从复杂交互中提取的无上下文主张，例如“用户住在某城市”或“某项目依赖特定框架”。这是个性化推荐和长期记忆系统最常评估的类型。

目前的评测基准（如 PersonaMem 或 PrefEval）主要关注 $Agent$ 能否跨越长上下文准确回忆起这些事实。然而，这种测试掩盖了真正的治理难题：当现实世界发生变化，或者用户撤回了某些偏好时，系统是否有机制剥夺该事实的权威性？语义事实的治理极度依赖于可变性和权威性的协同。遗憾的是，现有的许多系统只会盲目执行回忆起的偏好，却缺乏让权威性单调衰减或动态撤销的机制。

破局之道：AOEP评估协议的提出

在传统的单次任务 $Agent$ 或单纯的 $RAG$ 系统中，我们习惯于用“回答准确率”、“召回率”等指标来论英雄。但这种评价体系对常驻 $Agent$ 而言是完全失效的，因为单次问答的正确与否无法反映系统长期的安全性和稳定性。

为此，该研究提出了 常驻评估协议（Always-On Evaluation Protocol, AOEP-v0）。AOEP的核心逻辑在于，不再仅仅评估 $Agent$ 生成的答案质量，而是将状态变更与恢复义务作为评分的核心。

在 AOEP 的框架下，一个完整的生命周期不仅包括观察、写入、验证、组织、检索和行动，更关键的是后半段：更新、遗忘、审计和回滚。系统必须满足五个严格的不变量：

权威单调性（撤销的权限不能被意外恢复）
作用域非扩张（不能越界访问他人的状态）
删除传播（当源数据被删，衍生的记忆摘要也必须级联删除）
溯源保留（永远知道某项决定是谁授权的）
回滚可追踪（出错后能够顺藤摸瓜撤销影响）

工程启示与局限性

这项涵盖数百篇文献的综述，为正在构建新一代智能应用的技术团队敲响了警钟，也指明了演进方向：

抛弃单纯的 RAG 思维：不要简单地将外部数据库挂载给大模型就自称实现了长期记忆。真正的常驻系统必须建立严格的“治理信封”（Governance Envelope）。状态不仅要能被检索，还要有明确的失效时间（$\tau$）和权限边界（$a$）。
拥抱机器遗忘与回滚机制：在设计 $Agent$ 架构之初，就必须将审计（Audit）和回滚（Rollback）作为一等公民。当恶意信息被注入，或者用户要求清除隐私时，系统必须具备从错综复杂的记忆摘要中剥离并删除特定溯源链路的能力。
借鉴分布式系统经验：常驻 $Agent$ 面临的状态冲突、脏读以及事务一致性问题，正是传统分布式系统和数据库领域已经解决的问题。未来的 $Agent$ 操作系统，必将是认知科学与现代数据库理论的深度融合。

尽管目前的 AOEP 仍处于试点评估阶段，未能完全覆盖极其复杂的异步多体 $Agent$ 交互场景，但该研究确立的“持久化状态”分析框架，无疑为大模型应用从玩具走向真正的工业级生产力工具，奠定了坚实的理论基础。告别“阅后即焚”，迎接懂规矩、可追溯的永远在线智能体，将是下一个爆发的黄金赛道。