MemLeak: Diagnosing Information Leaks in Multimodal Agent Memory
作者: Kuan Wang, Chao Zhang
分类: cs.LG
发布日期: 2026-06-29
备注: 23 pages, 3 figures, includes appendix
💡 一句话要点
提出MemLeak以诊断多模态智能体记忆中的信息泄露问题
🎯 匹配领域: 支柱三：空间感知与语义 (Perception & Semantics) 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 多模态智能体 信息泄露 记忆系统 信息来源图 内容感知删除 视觉语言模型 数据隐私 恢复能力评估
📋 核心要点
- 现有的多模态记忆系统在删除信息时存在不足，无法有效防止信息泄露。
- 论文提出信息来源图（IPG）作为分类工具，揭示了多种信息泄露渠道，并通过MemLeak基准测试进行评估。
- 实验结果显示，保留的相关文本和图像能够显著恢复被删除的信息，且内容感知的语义删除方法有效降低了信息残留。
📝 摘要（中文）
当多模态AI智能体被要求遗忘某个事实时，现有的记忆系统通常仅删除文本条目并报告成功。然而，我们发现该事实仍然可以通过保留的用户图像恢复，包括与完全不同事实标记的图像，因为视觉语言模型（VLMs）在推理时使用隐式视觉线索。我们引入了信息来源图（IPG），对记忆表示进行分类，揭示了删除失败的多种渠道。我们的基准测试MemLeak测量了这一删除级联过程：直接探测删除能力系统的恢复率低于1%，而保留的相关文本使恢复率达到18.3%，保留的图像则为12.0%（盲基线为0.0%，假阳性率为0.3%），其中47%的图像泄露无法通过文本恢复。内容感知的语义删除将图像残留降低至2.0%。
🔬 方法详解
问题定义：本论文旨在解决多模态智能体记忆系统在信息删除时存在的泄露问题。现有方法仅删除文本条目，未能有效防止信息通过其他渠道恢复。
核心思路：论文提出信息来源图（IPG），对记忆表示进行分类，揭示了信息删除过程中的多种泄露渠道，并通过MemLeak基准测试量化这些泄露。
技术框架：整体架构包括信息来源图的构建、删除能力系统的直接探测、以及对保留文本和图像的恢复能力评估。主要模块包括信息分类、恢复率测量和实验验证。
关键创新：最重要的技术创新在于引入信息来源图（IPG），它提供了一种新的视角来理解和分类记忆表示的删除能力，与现有方法相比，能够更全面地揭示信息泄露的风险。
关键设计：在实验中，采用了多种VLMs和真实的Unsplash授权照片进行验证，设置了不同的恢复基线，并通过双注释者的人工验证确保结果的可靠性。
🖼️ 关键图片
📊 实验亮点
实验结果显示，直接探测删除能力系统的恢复率低于1%，而保留的相关文本和图像分别使恢复率达到18.3%和12.0%。内容感知的语义删除方法有效将图像残留降低至2.0%，显示出显著的性能提升。
🎯 应用场景
该研究的潜在应用领域包括智能助手、自动化客服和任何依赖于多模态记忆的AI系统。通过有效地管理信息删除和防止信息泄露，能够提高用户隐私保护和系统安全性，具有重要的实际价值和未来影响。
📄 摘要（原文）
When a multimodal AI agent is asked to forget a fact, current memory systems usually delete the text entry and report success. We find that the fact can remain recoverable from retained user images, including images tagged to entirely different facts, because VLMs use implicit visual cues at inference time. We introduce the Information Provenance Graph (IPG), a taxonomy that classifies memory representations by deletion affordance. The IPG reveals that deletion fails through multiple channels. Our benchmark, MemLeak, measures this across a deletion cascade: direct probing of deletion-capable systems yields <1%, but retained correlated text enables 18.3% recovery, and retained images enable 12.0% recovery (0.0% blind baseline, 0.3% FPR) -- with 47% of image leaks not text-recoverable. Content-aware semantic deletion reduces the image residual to 2.0%. The residual appears across multiple VLMs, a production memory system, and real Unsplash-licensed photographs. Dual-annotator human validation (kappa = 0.88) confirms judge reliability.