arxiv.org·2026/10/21
ClawMMU 针对有状态 LLM 智能体的记忆保护：harness 不记录记忆来源与使用范围，取回网页或工具结果中的指令会被当成用户指令，造成间接提示注入和 sleeper memory poisoning。它在每页附加 protection descriptor，标注 owner、scope、origins 和 authority 等级；核心 inheritance rule 规定派生记忆取输入中最低 authority，模型自身也算最低 authority，只有 owner 能升级，所以 authority 不能自我提升。在上下文边界四处检查：map 按来源贴标；derive 按继承规则写存储防类型混淆；reload 比较撤销计数器防撤销后使用；authorize 要求安全参数追溯到足够 authority 且无撤销来源，防混淆代理攻击。论文称其保证不可信内容不能获得用户权限或触发外部动作，但不保证模型决策正确、派生记忆正确或内容保密。未来将在 ClawVM harness 上运行 AgentDojo、InjecAgent 和 sleeper memory poisoning 攻击，测量攻击成功率、检查延迟与 owner 批准频率。
为什么重要 它把长期记忆安全从“模型能否看穿注入”移到 harness 访问控制，落地只需四个钩子与稳定页面身份。适合 构建有状态智能体 harness、工具调用与记忆管线的工程师。
AI 智能体会保留长期记忆，其中很多来自网页和工具结果。运行模型的智能体宿主软件（agent harness）并不记录谁可以对这些记忆采取行动，因此隐藏在抓取页面中的指令可能被当作用户自己的指令。
我们提出 ClawMMU，一种保护层，为每一段记忆标注其所有者、作用域、来源和权限。每当内容进入模型上下文、写入存储、从存储返回或驱动工具调用时，ClawMMU 都会检查这些标签。其核心规则是：信息可以提升权限，但权限永远不能自我提升。由于检查依赖内容来自哪里而不是内容说了什么，记忆攻击就变成经典的保护故障，宿主软件即使模型被欺骗也能阻止。
AI agents keep long-term memory, much of which comes from web pages and tool results.
Agent harnesses, the software that runs the model, do not record who may act on this memory, so an instruction hidden in a fetched page can be treated as the user's own instruction.
We propose ClawMMU, a protection layer that labels every piece of memory with its owner, scope, origins, and authority.
ClawMMU checks these labels whenever content enters the model's context, is written to storage, returns from storage, or drives a tool call.
Its central rule is that information may rise in authority, but authority never lifts itself.
Because the checks depend on where content came from, not on what it says, memory attacks become classical protection faults that the harness stops even when the model is fooled.
EVIDENCE / METHODS
流程
外部内容经 map、derive、reload、authorize 四次校验，越权支付被 monitor 拦截。
新内容进入上下文时赋来源标签；发票作为工具结果标为 Evidence，模型可读但不变标签。
写入存储时按继承规则贴描述符，摘要仍为 Evidence，堵住类型混淆。
返回上下文时比对描述符记录 counter 与当前 counter；撤销后旧描述符失效，改为重新 map。
工具调用参数必须追溯到足够权威且未撤销来源；付款收款方追溯到发票则拒绝。
注释 · 四个 crossing 对应 OS MMU 的映射、换出、换入、权限检查。出自 §3；图1
原版排版与图表 · 手机无法内嵌时可在浏览器打开。PDF 插件内选文不能传给网页助手。