余弦相似度0.92，载荷其实早就死了

一个智能体从记忆里取回了点东西，下一步动作看起来变了。于是有人写博客：智能体被持久记忆投毒了。

也许吧。但"动作变了"和"记忆改变了动作"之间，隔着一道很大的鸿沟，我见过的几乎每一个演示都掉进了这道沟里。

这篇要讲的，是用仪器测量而不是用形容词，来把这道沟填上。它带来了三个阴性结果，其中一个我认为是整个项目里最有用的数字：一个功能上早已死掉的载荷，嵌入余弦相似度是 0.923。

被混为一谈的两个断言

人们谈记忆投毒或者"AI 蠕虫"时，通常把两个截然不同的说法揉在了一起。

一个载体可以被检索到、进入提示词、繁衍出后代，却完全不承重。我没有为这种情况做设计，是测试台在第一次运行时就发现了它，而它比任何阳性结果都更能说明问题。

所以核心指标是 Δaction（动作差异），它需要一个反事实对照。

方法：反事实截肢

跑一遍场景，记录一切。然后用完全相同的方式重放同一个场景，只改一件事：在某个特定载体第一次产生影响的读取之前，让它无法被检索到。

Δaction 就是两次动作轨迹的差异比例。有两个性质让它成为一个估计量，而不是一次演示。

• 只改一件事——检索被允许返回什么。
• 它是经过校准的。截掉一个根本不存在的载体，必须精确产生零，这一点由测试套件断言，而不是假设。

核心代码小到可以直接放进来：跑基线，再跑一次排除掉指定载体的版本，然后对比两条动作轨迹。

估计量本身，注释比代码更重要：变化了的动作步数占总步数的比例，就是测得的因果效应。

这就是整个因果引擎。其余的一切，都是为了让这个引擎保持诚实。

先杀掉"我的测试台坏了"这个假设

测量台给出的零，在你证明它能给出非零之前，一文不值。所以要先在一个确定性的脚本化智能体上验证它，再接入任何模型。

脚本运行复现了一次跨会话的重新进入：载体在第一段会话进入记忆，在第二段会话通过检索返回，改变了智能体的动作，并创造出一个新载体；第三段会话同时看到两者。

现在把种子载体截掉：动作差异 0.50，变化的步骤是第 2、3 步。

测试台在有真实效应时能看见效应。还有两个对照。

截掉中间载体 c_s2_t1——一个确实扩散了的载体：动作差异 0.00，变化步骤为空。解读是：没有测到行为效应，因此绝不能声称有影响。

截掉一个不存在的载体，用于校准：动作差异 0.00。

中间那个结果才是有意思的。c_s2_t1 由智能体创造，出现在后续上下文里，还产生了后代。它是一个真实的、在扩散的载体——但它是冗余的，因为原始种子 c_seed_1 仍然带着同样的载荷留在上下文里。把它拿掉，什么都不会变。

一个载体存在并在扩散，不等于它在承重。那是两张不同的图，两个不同的断言。

这种冗余同时也是一种防御属性。它应该被测量，而不是被抹平——所以它被一个测试钉住了：截掉一个冗余的、已传播的载体，什么都不会变。

先装仪器，再接模型

模型会让上面这一切变得更难，所以在模型到来之前，测试台要先拿到那些决定一个数字到底能不能被解读的指标。

• 解析失败率——无法从中提取出决策的模型响应占比。无效响应永远不会被悄悄替换成一个名义动作。
• 空响应——与其他解析失败分开追踪。
• 模型摘要——模型版本是实验的一部分，不是环境的一部分。如果摘要与场景钉住的不一致，那是硬错误，不是警告。
• 经验噪声下限——来自阴性对照：同样的配对流程，但截掉一个从来就不存在的载体。
• 配对重复 + 双重差分 + 精确符号检验——因为一次随机运行得出的一个 Δaction 不算测量。符号检验用整数运算，不用正态近似，因为样本量按设计就很小。
• 默认保守——平均 Δaction 小于等于噪声下限，结论就是"与运行间的噪声下限无法区分"。不是边缘结果，不是有希望的趋势。

测试台的判定函数是刻意悲观的：只要平均差异不超过噪声下限，就返回"与运行间的噪声下限无法区分"。

这种悲观一路延伸到退出码——只要没有效应超过噪声下限，报告命令行就返回非零状态。

这意味着"我们什么都没找到"不能悄悄通过、伪装成一次绿色构建。如果你的测试框架默认报告成功，那么一个空结果和一个坏掉的框架，在持续集成里长得一模一样。

三个模型，三个阴性结果

配置是 Apple M2 Max / 32 GB，本地推理服务器跑在 127.0.0.1:11434，温度设为 0，每一对都钉住种子，三组配对重复，载体是 c_seed_1，智能体是 llama3-groq-tool-use:8b。

三个模型跑下来，得到的都是阴性结果。而那个 0.923 的余弦相似度，恰恰说明了一件事：嵌入空间里的"像"，和功能上的"活着"，根本不是一回事。一个载荷可以在向量空间里和原版几乎重合，却在行为上早已死透。

所以下次再看到"智能体被记忆投毒了"的演示，先问一句：你截掉那个载体之后，动作变了吗？