1. 一句话结论
这篇论文把“智能体记忆被投毒后会不会在后续会话里发作”做成可追踪生命周期的基准：用 155 条多会话长程轨迹和 5 种记忆系统做横向评测，而不是只测单轮对话里的提示注入。
2. 方法要点
核心思路是把投毒过程拆成写入、存储、检索、执行几个阶段。恶意指令先在某个会话里进入记忆，之后在后续任务中被检索出来，再影响智能体行为。MemoryDojo 用多会话长程轨迹覆盖 4 个领域，并抽象出统一的记忆系统接口，让 5 种不同记忆架构都能跑同一套评测。它不只统计“有没有被攻击”，而是追踪污染信息在记忆中的生命周期，并观察下游行为变化。
论文还提出“记忆感知的投毒优化流程”：针对不同记忆系统的处理与检索方式调整投毒策略，用同一套轨迹比较不同架构的易感差异。这个设计的关键不在某个固定攻击模板，而在让攻击适配记忆机制，从而把“架构差异”暴露出来。
伪代码可概括为：
输入：轨迹集合 T（155 条）、记忆系统集合 M（5 种）、领域集合 D（4 个）
对 M 中的每个记忆系统 m：
对 T 中的每条轨迹 t：
# 写入阶段：把恶意指令放入会话记忆
写入记忆(m, t, 恶意指令)
# 检索阶段：在后续会话任务中触发记忆读取
检索结果 = 检索(m, t, 后续任务)
# 执行阶段：观察智能体行为是否被污染信息影响
行为 = 执行智能体(检索结果, t)
记录(系统=m, 轨迹=t, 行为=行为)
# 聚合：按记忆系统、领域、轨迹比较投毒影响
输出：投毒生命周期与下游行为结果
形式上，对轨迹 (t) 和记忆系统 (m)，评测关心的是：
[ \text{写入}(m,t,p) \rightarrow \text{检索}(m,t,q) \rightarrow \text{行为}(m,t) ]
其中 (p) 是恶意指令，(q) 是后续会话任务。只要行为在污染信息进入记忆后发生可观测偏移，就说明该记忆架构存在下游风险。
3. 关键数字
原文摘要未披露分项跑分和提升百分比，因此这里只列可核验的评测规模与结论，不补造分数。
| 数据集 / 规模 | 指标 | 对比基线 | 提升幅度 |
|---|---|---|---|
| MemoryDojo：155 条多会话长程轨迹，覆盖 4 个领域 | 投毒信息能否被存储、检索并影响后续行为 | 5 种记忆系统横向对比 | 原文未给出百分比；摘要结论为所有记忆系统均易感，且下游影响差异显著 |
可确认的结论是：所有被评测的记忆系统都容易受到记忆投毒影响，但不同架构的下游影响差异明显。论文提出的记忆感知投毒优化流程还能提高投毒效果，这进一步说明攻击效果与记忆架构有关，不能只用单一系统的结果外推。
4. 局限与前提
- 这是基准论文，不是防御方案。它量化投毒影响，但摘要没有给出通用缓解措施或安全保证。
- 覆盖范围是 4 个领域、5 种记忆系统，不等于覆盖全部生产记忆架构；摘要也未列出领域清单和系统清单。
- 原文摘要没有披露具体分值、置信区间和分领域排名，因此不能据此判断某一系统“最好”或“最差”，只能确认差异存在。
- 记忆感知投毒优化流程依赖对目标记忆系统的理解，摘要没有说明跨架构迁移效果；把它当成通用攻击配方会超出原文结论。
- 评测对象是多会话长程任务，单轮、无记忆或短会话场景不在其核心覆盖范围内。
5. 能不能用
从 arXiv 元数据 看，页面提供 PDF、HTML 实验版和 TeX 源码入口，但摘要页没有列出代码仓库、数据集下载或权重链接；因此“是否开源、能否直接复现”不能从现有信息确认。该基准本身不训练模型，权重不是核心产物，核心是轨迹、记忆系统接口和评测流程。本地复现至少需要：按 155 条多会话轨迹构造任务；接入 5 种记忆系统；准备可执行智能体与统一的写入/检索接口；记录注入、检索、执行日志；按系统与领域聚合结果。若论文正文或附录补充了仓库地址，再按许可证和依赖版本执行；在没有仓库和轨迹细节前，不建议把摘要结论直接用于生产安全评估。