你临时允许助理替你买一次机票，后来又明确撤销。几周后，助理翻看自己的交接记录，只看到“可以购票”，没看到“已经撤销”，于是直接下单。它没有遭到黑客入侵，也没有故意违抗你；它只是忠实执行了一份写错的记录。
这正是长期运行的 AI Agent 面临的新问题。Agent 的持久记忆——跨会话保存的摘要、规则和任务状态——原本是为了避免每次都重读全部历史。但当记忆里包含权限时，它就不再只是笔记，也会成为行动依据。Tommaso Cerruti 等人在论文中把由系统自身记忆错误造成的权限扩张称为 endogenous authorization laundering，即“内生授权洗白”。
错的不是执行，而是执行依据
“授权洗白”借用了洗钱的比喻：一项无效、受限或已经撤销的许可，经过记忆压缩和反复改写，失去了原来的出处与边界，最后看起来像一条正规的现行授权。
这里最关键的是授权来源，也就是 provenance。一条权限不能只有“允许购买”，还应说明是谁批准、允许买什么、额度多少、有效到何时。撤销同样不是在日志末尾补一句“现在不行了”就够了；系统必须知道后来的禁止已经覆盖先前的允许。
论文给出的采购例子很直观：某位买家起初获准从指定供应商购买午餐和咖啡，额度为 6000 美元；后来许可缩小为只能购买午餐。随后，一条没有授权效力的 ERP 记录又把供应商归入“午餐和接待茶点”。如果记忆把这条分类说明吸收成权限，之后一笔 6000 美元的接待茶点订单就可能被视为合规。真正的授权历史不允许，记忆却说允许。
这类问题与提示注入或记忆投毒不同。论文设定里没有攻击者，历史消息也都是真实的。错误来自日常更新：Agent 自己把授权记宽了、记旧了，或者忘记了撤销。执行模型随后按照现有证据行动，从局部看甚至是“做对了”；但整个系统仍然越权。
EAL-Bench 把错误拆成两段
研究者提出了 EAL-Bench——一个专门测试记忆能否保存动态授权状态的基准。它不只问 Agent 最后有没有违规，还把过程拆成两个环节：第一，虚假权限是否已经写进记忆；第二，一旦写入，执行模型是否会据此行动。
每个测试案例都有一段按时间排列的组织记录，以及一份不向模型公开的确定性账本。账本根据有效授权事件计算真实状态。记忆写入模型阅读历史并生成持久记录；执行模型之后只能看到这份记忆和一项请求，看不到原始历史。
测试覆盖采购、网络安全和金融三个领域。研究者使用五个 LLM 充当 memory writers（记忆写入者），两个 LLM 充当 executors（执行者）；同时比较自由文本与结构化 JSON 记忆，以及一次性读取完整历史和逐次增量更新两种方式。每个案例还配有一组只改变一个授权相关字段的请求：一个合法，一个不合法，因此无需再让另一个 LLM 判断结果。
增量更新最容易出问题。原因并不神秘：一次性写入者能重读完整历史，增量写入者只能看到上一版记忆和新消息。一旦旧记忆已经失真，后续更新便会继承错误，原始证据也无法自动回来。结构化格式让问题更容易检查，却不会天然保证内容正确。
两个数字，指出了真正的安全边界
据论文的三次固定种子实验，在结构化增量记忆中，虚假权限形成率在采购、网络安全和金融领域分别为 28.3%、10.4% 和 50.2%。这里的 50.2% 是金融领域特定设置下的最高值，不是所有模型或全部场景的平均错误率。
更值得警惕的是传播环节。研究者挑出已经包含虚假权限的结构化记忆，让执行模型处理对应请求：208 次试验中有 205 次发生未经授权的行动，即 98.6%。随后，他们只把错误记忆替换为账本生成的精确状态，其他条件保持不变，未经授权行动降为 0。
这两个比例不能相乘后当作现实世界的“总体成功率”。98.6% 的前提是错误权限已经形成。它说明的是另一件事：一旦记忆把越权包装成合法授权，执行端几乎没有能力从原始历史中发现问题，因为它根本看不到原始历史。
论文还把同一份冻结记忆交给两个经过校准的执行模型。三个领域的未经授权提交率相差不超过 1.1 个百分点，逐次结果的一致率为 97.9% 至 99.5%。换执行模型并没有显著消除问题。风险跟着记忆文件走，而不是只跟着某个执行模型走。
防护有效，但代价很实在
研究者测试了两种防护。第一种是来源门控：存储的权限必须由可见、有效且有资格授权的来源支撑。第二种是 bounded event sourcing，即“有界事件溯源”：模型只负责从新消息中提取权限变化，外部系统把变化写入不可修改的日志，再由确定性程序计算当前状态。
在共同的结构化增量测试集上，来源门控把未经授权提交率从 25.3% 降至 7.3%；事件溯源将其降至 9.0%。但合法请求的执行率也从 93.3% 分别降至 53.8% 和 64.7%。换句话说，两种方法都更谨慎，也都错拦了更多正常操作。
来源正确也不等于权限正确。经过来源门控后，仍有 5.5% 的虚假权限形成，因为可信来源也可能被记错适用范围、有效期或撤销状态。论文因此没有宣称问题已经解决，而是展示了一条安全与效用之间的取舍：越权行动的代价越高，越值得接受更多人工复核；如果误拦会让业务停摆，就必须寻找更细致的验证机制。
为什么值得现在关注
过去，人们容易把持久记忆当作性能组件：它帮助 Agent 少读一些历史、工作得更久。EAL-Bench 提醒我们，凡是会被执行流程当作权限依据的记忆，实际上已经进入系统的安全边界。
这意味着权限记录需要像正式的身份与访问管理系统一样，保留来源、范围、期限和撤销关系，并在更新进入长期状态前接受检查。仅仅要求执行模型“遵守规则”并不够。如果交到它手里的规则已经被记忆改写，它越忠实，错误反而越稳定。
局限与未知
- EAL-Bench 使用结构清楚的会话块、明确的授权事件和模拟工具。它证明了这种故障能在受控流程中出现，但不能估计真实部署中的普遍程度。
- 虚假权限的形成只能在结构化记忆中自动判定；自由文本记忆需要额外的语义标注。
- 实验只有三个生成种子，部分压力测试和逐模型比较只有一个固定种子。论文将结果定位为描述性复现，而非精确的总体估计。