持久化内存是注入和中毒的薄弱面，也限制了智能体之间的记忆共享。我们提出 PerMIT，一种在明确信任假设下提供可证明完整性保证的内存架构：仅信任用户手动输入和在门控处确认的数值。PerMIT 通过有限的内存接口调解来自不可信环境的值的释放和使用，同时保持智能体的多轮规划和工具选择。在该接口上，我们形式化并在 Lean 4 中机器检验了两条完整性定理，保证环境衍生的记忆只有在门控确认后才能触达敏感操作，并且只能通过门控展示的内容影响智能体行为。于是威胁模型中的每一次攻击都归结为一次可审计的决策，可由人类、LLM 验证器或两者共同完成。实验在 Trojan Hippo 场景下显示，使用自检和轻量级验证器时，PerMIT 记录的攻击成功率为零。由于每次确认都会对确切内容生成日志，背书会在用户之间累积，足够背书的条目即可成为社区确认，无需再次验证。在 $\\tau^2$-bench 实验中，最多 90 个自治智能体使用 PerMIT 构建共享知识库，未出现直接的内存注入，且生成的知识显著提升了新智能体在留出任务上的表现，暗示了在测试时安全自我改进的可能路径。
点评