Os agentes de IA que trabalham durante longos períodos dependem cada vez mais de memória persistente para conservar factos, preferências, regras e decisões tomadas anteriormente. Um novo preprint de Yi Ting Shen, Kentaroh Toyoda e Alex Leung analisa um problema concreto: o que acontece quando uma informação é substituída por outra mais recente, mas o registo antigo continua fisicamente guardado?
Os autores afirmam que, nos cinco sistemas de memória avaliados, um registo já considerado inválido pode voltar a aparecer na pesquisa e influenciar a ação seguinte quando surge acima da informação que o substituiu. O estudo abrange nove situações de política, nove modelos e seis condições de defesa. Foi submetido ao arXiv em 8 de setembro de 2026, pelo que deve ser tratado como investigação preliminar e não como prova de que todos os sistemas de memória têm o mesmo problema.
Marcar um facto como ultrapassado não impede que ele volte a ser usado
Muitos sistemas preservam o histórico em vez de eliminar definitivamente os dados. Uma regra pode ser substituída e marcada como expirada ou inválida, permanecendo armazenada para auditoria ou análise temporal.
Este desenho só é seguro se o mecanismo de pesquisa respeitar efetivamente esse estado. Nas configurações testadas, os autores dizem que nenhum dos cinco sistemas aplicava essa exclusão por omissão. Inseriram uma regra já revogada e a respetiva substituição e mediram se a informação antiga voltava a ser recuperada e se o modelo ainda agia com base nela.
O repositório experimental distingue dois modos. Num deles é utilizado diretamente o mecanismo de invalidação de cada sistema. No outro são introduzidos apenas textos contraditórios e a própria camada de memória tem de perceber qual deixou de estar atual. Esta separação ajuda a distinguir uma falha na extração de informação de uma falha na política usada durante a pesquisa.
O problema torna-se mais difícil quando o agente volta a escrever na memória
A parte mais relevante do trabalho surge na etapa seguinte. Um agente pode tomar uma decisão com base numa regra antiga e depois registar essa decisão como um novo facto.
O novo registo já não tem necessariamente a marca de invalidação associada à regra original. Assim, uma instrução ultrapassada pode transformar-se, através da própria atividade do agente, numa memória recente que parece válida.
Num sistema de produção, isto altera o tipo de controlo necessário. Filtrar apenas registos explicitamente marcados como inválidos pode bloquear dados antigos conhecidos, mas não deteta automaticamente factos novos que foram derivados deles. É por isso necessário preservar a origem das memórias e conseguir identificar quais os registos e decisões que deram origem a uma nova informação.
A validade tem de ser aplicada no momento da leitura
A análise da Aipolix é que a revogação de uma memória deve funcionar como uma regra de acesso durante a pesquisa, e não apenas como metadados guardados ao lado de um registo antigo.
Se uma aplicação consegue declarar uma informação obsoleta, mas o mecanismo que constrói o contexto do agente continua a devolvê-la sem verificar o seu estado, a revogação não é efetiva. O filtro deve atuar antes da ordenação dos resultados e antes de o contexto chegar ao modelo. A mesma regra precisa de abranger todos os agentes e funções que consultam o mesmo armazenamento.
Os autores referem que o filtro aplicado na própria camada de armazenamento foi a única defesa testada que chegou a zero erros na matriz apresentada. O repositório inclui ainda uma proteção independente do sistema de memória, destinada a retirar registos explicitamente revogados e a detetar contradições entre os resultados recuperados. Estes valores são resultados reportados pelos autores e necessitam de reprodução independente antes de serem generalizados.
Uma memória partilhada pode levar o mesmo erro a vários agentes
O estudo inclui experiências com três funções, execução, revisão e planeamento, sobre a mesma memória. Apenas o agente executor recebe a consulta histórica do atacante; os outros dois procuram informação de forma independente no armazenamento partilhado.
Este cenário é importante em arquiteturas com vários agentes. Um segundo agente não constitui uma revisão verdadeiramente independente se consulta a mesma fonte comprometida. Alterar o prompt, a função ou mesmo o modelo não garante independência dos dados usados na decisão.
As equipas devem, por isso, separar independência de função de independência da evidência. Um agente encarregado de rever uma decisão precisa de receber informação cuja validade e origem tenham sido verificadas por um caminho próprio.
O código ajuda a reproduzir o estudo, mas há limitações
Os autores disponibilizam um repositório Apache-2.0 com testes determinísticos, a matriz experimental, experiências de propagação e persistência e uma implementação da proteção proposta. Os cinco sistemas analisados são Graphiti, Zep, mem0, LangMem e cognee.
O próprio repositório indica, contudo, que os resultados brutos e alguns detalhes dos serviços utilizados não são publicados. Para confirmar as taxas apresentadas é necessário voltar a executar as experiências. O artigo é ainda a versão 1 no arXiv e não existe, na informação disponível, confirmação de revisão por pares.
Não é, portanto, correto concluir que todos os produtos de memória persistente são vulneráveis. A conclusão útil é mais específica: uma arquitetura que mantém registos substituídos, mas não faz cumprir a sua validade durante a pesquisa, pode voltar a introduzir instruções antigas; se o agente registar novas decisões derivadas dessas instruções, a origem do problema torna-se ainda mais difícil de detetar.
O que as equipas devem testar
Um teste prático consiste em registar uma regra, substituí-la e depois consultar todos os caminhos de pesquisa usados pelos agentes. A versão antiga não deve conseguir influenciar a ordenação dos resultados, o contexto enviado ao modelo nem decisões sobre ferramentas. O mesmo teste deve continuar depois de o agente ter escrito na memória uma decisão derivada da regra antiga.
Para auditoria, convém conservar o motivo da invalidação, a ligação ao registo substituto, as decisões tomadas durante a recuperação e a origem das novas memórias criadas por ações do agente. Sem essa cadeia, um registo recente pode esconder uma autoridade antiga.
A memória persistente melhora a capacidade dos agentes para trabalhar ao longo do tempo, mas transforma o ciclo de vida da informação numa fronteira de segurança. Se um facto pode ser revogado, essa revogação precisa de ter um significado técnico verificável no momento em que a memória é consultada.