Les agents d'IA capables de travailler sur de longues périodes s'appuient de plus en plus sur une mémoire persistante pour conserver des faits, des préférences, des règles et des décisions antérieures. Une nouvelle prépublication de Yi Ting Shen, Kentaroh Toyoda et Alex Leung examine un cas précis : que se passe-t-il lorsqu'une information est remplacée par une version plus récente, mais reste physiquement présente dans la mémoire ?
Les auteurs indiquent que, dans les cinq systèmes étudiés, un enregistrement devenu invalide peut encore être renvoyé lors de la recherche et influencer l'action suivante s'il est classé avant sa version de remplacement. Leur protocole couvre neuf situations de politique, neuf modèles et six dispositifs de défense. Le texte a été déposé sur arXiv le 8 septembre 2026 et doit donc être considéré comme un résultat préliminaire, non comme une propriété démontrée de tous les systèmes de mémoire.
Déclarer une information obsolète ne suffit pas à la rendre inaccessible
De nombreux systèmes conservent l'historique au lieu d'effacer définitivement les données. Une règle peut être remplacée et marquée comme expirée ou invalide tout en restant stockée, par exemple pour conserver une chronologie ou faciliter l'audit.
Cette approche n'est sûre que si la recherche tient réellement compte de ce statut. Dans les configurations testées, les auteurs rapportent qu'aucun des cinq systèmes n'appliquait cette exclusion par défaut. Ils ont introduit une règle révoquée et sa remplaçante, puis mesuré si l'ancienne règle réapparaissait et si le modèle agissait encore en fonction d'elle.
Le dépôt expérimental distingue deux méthodes. La première invoque directement le mécanisme d'invalidation prévu par chaque système. La seconde n'injecte que des textes contradictoires et laisse la couche mémoire déterminer elle-même quelle information n'est plus actuelle. Cette séparation permet de ne pas confondre une erreur d'extraction avec un défaut dans la logique de recherche.
Le risque augmente lorsque l'agent réécrit sa décision dans la mémoire
La partie la plus intéressante de l'étude concerne l'étape suivante. Un agent peut prendre une décision à partir d'une règle périmée, puis enregistrer cette décision comme un nouveau fait.
Ce nouvel enregistrement ne porte pas nécessairement le marqueur d'invalidité de la règle d'origine. Une instruction obsolète peut alors être transformée, par l'activité de l'agent lui-même, en une information récente qui paraît légitime.
Pour un système en production, cela change le problème. Filtrer les données explicitement marquées comme invalides protège contre certains anciens enregistrements, mais ne suffit pas à repérer les faits nouveaux qui en dérivent. Il faut donc conserver la filiation des informations mémorisées et pouvoir expliquer à partir de quels éléments une nouvelle mémoire a été créée.
La validité doit être imposée au moment où la mémoire est lue
L'analyse d'Aipolix est qu'une révocation doit être traitée comme une règle d'accès appliquée lors de la recherche, et non comme une simple métadonnée attachée à un ancien enregistrement.
Si une application peut déclarer une information obsolète alors que la recherche utilisée pour construire le contexte de l'agent continue à la renvoyer, la révocation reste théorique. Le filtrage doit intervenir avant le classement des résultats et avant la composition du contexte remis au modèle. La même règle doit s'appliquer à tous les rôles et sous-agents qui consultent un stockage commun.
Les auteurs rapportent que le filtrage directement dans la couche de stockage est le seul dispositif testé ayant atteint zéro erreur dans leur matrice. Leur dépôt propose aussi un garde indépendant du moteur de mémoire, capable d'écarter les enregistrements explicitement révoqués et de détecter des contradictions parmi les résultats renvoyés. Ces résultats restent ceux des auteurs et nécessitent une reproduction indépendante avant toute généralisation.
Une mémoire partagée peut contaminer plusieurs rôles
Les expériences comprennent également un exécutant, un réviseur et un planificateur utilisant la même mémoire. Seul l'exécutant reçoit la requête historique de l'attaquant ; les deux autres rôles interrogent le stockage avec leurs propres questions.
Ce scénario est particulièrement pertinent pour les architectures multi-agents. Un deuxième agent n'est pas réellement indépendant si son raisonnement s'appuie sur la même source compromise. Changer le rôle, le prompt ou même le modèle ne suffit pas à créer une vérification indépendante.
Les équipes doivent donc distinguer l'indépendance des rôles de l'indépendance des éléments de preuve. Un agent chargé de contrôler une décision a besoin de données dont la validité et la provenance ont été vérifiées séparément.
Le code facilite la reproduction, mais plusieurs limites subsistent
Les auteurs publient sous licence Apache-2.0 un dépôt contenant des tests déterministes, le banc d'essai principal, des scénarios de propagation et de persistance ainsi qu'une implémentation de leur garde. Les systèmes étudiés sont Graphiti, Zep, mem0, LangMem et cognee.
Le dépôt précise toutefois que les sorties brutes des expériences et certaines informations sur les services utilisés ne sont pas publiées. Il faut donc relancer les essais pour vérifier les taux annoncés. Le papier est en outre une première version sur arXiv et aucun statut de validation par les pairs n'est confirmé dans la fiche disponible.
Il serait donc excessif de conclure que toutes les mémoires persistantes sont vulnérables. Le résultat architectural est plus précis : conserver des données remplacées sans faire respecter leur validité lors de la recherche peut réintroduire des instructions obsolètes, et la réécriture des décisions par l'agent peut ensuite masquer leur origine.
Les tests à ajouter à une architecture de mémoire
Une équipe peut commencer par enregistrer une règle, la remplacer, puis interroger chaque chemin de recherche utilisé par ses agents. L'ancienne règle ne devrait plus pouvoir influencer le classement, le contexte du modèle ni une décision d'outil. Il faut répéter le test après qu'un agent a enregistré une décision dérivée de l'ancienne règle.
Pour l'audit, il est utile de conserver la raison de l'invalidation, le lien avec l'information de remplacement, les décisions prises lors de la recherche et la filiation des nouvelles mémoires créées par les agents. Sans cette chaîne, un horodatage récent peut donner une apparence de fraîcheur à une autorité devenue obsolète.
La mémoire persistante améliore les capacités des agents sur la durée, mais elle introduit aussi un cycle de vie de l'information qui doit être gouverné techniquement. Une donnée déclarée invalide ne l'est vraiment que si le chemin de lecture sait l'empêcher de redevenir une instruction active.