💻 computer science

MutMem: Cryptographically Authorized Mutation in Persistent Agent Memory

MutMem es un protocolo de mutación criptográficamente autorizado para la memoria persistente de agentes que asegura la integridad y la trazabilidad mediante la firma de las transiciones de pesos y la evidencia, logrando una alta precisión de recuperación y una resistencia robusta contra ataques de envenenamiento sin comprometer la continuidad histórica.

Autores originales: Walid Saidi

Publicado 2026-08-05

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Walid Saidi

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás construyendo un robot amigo que nunca olvida. Recuerda tu ingrediente de pizza favorito, el nombre de tu maestra de tercer grado y la vez que prometiste pasear al perro. Pero aquí está la parte difícil: las personas cambian. Tal vez decides que ahora odias la piña en la pizza, o te das cuenta de que tu maestra de tercer grado en realidad se llamaba "Sra. Smith", no "Srta. Jones". Si tu robot amigo simplemente sobrescribe sus viejos recuerdos con los nuevos, ¿cómo sabes que no fue hackeado? ¿Cómo demuestras que el cambio fue una actualización genuina de tu parte, y no un virus astuto fingiendo ser tú? Este es el problema de la "memoria persistente" en la inteligencia artificial. Los científicos están tratando de construir una IA que aprenda y se adapte a lo largo de los años, pero necesitan una forma de asegurar que esos cambios estén autorizados y sean rastreables, como un diario digital que no puede ser editado secretamente sin dejar una huella.

Este artículo presenta un sistema ingenioso llamado MutMem (abreviatura de "Mutable Memory" o Memoria Mutable) diseñado para un motor de cerebro robótico llamado HOM-AIMOS. Piensa en MutMem como un libro contable mágico y súper seguro para la memoria de una IA. En lugar de borrar los hechos antiguos cuando llega nueva información, MutMem mantiene el recuerdo viejo a salvo pero añade una "nota firmada" junto a él. Esta nota dice: "Oye, actualizamos la importancia de este recuerdo debido a este nuevo evento, y aquí está la prueba criptográfica de que la actualización fue autorizada". Es como si escribieras una corrección en el margen de un libro de una biblioteca, pero la corrección estuviera firmada con un sello de cera único e inquebrantable que demuestra que fuiste tú quien lo hizo, y no un ladrón. El sistema también tiene una forma especial de manejar la información "envenenada": hechos falsos plantados por hackers. En lugar de borrar los hechos falsos (lo que ocultaría la evidencia del ataque), MutMem los mantiene pero les estampa una etiqueta gigante y firmada que dice "SOSPECHOSO". De esta manera, la IA sabe que debe ignorar la información falsa, pero los investigadores aún pueden estudiar el ataque más tarde.

Los investigadores probaron este sistema de tres maneras principales. Primero, verificaron si el robot podía responder preguntas correctamente usando su memoria. En una prueba difícil llamada LongMemEval, el robot acertó el 91.8% de las respuestas. En otra prueba de memoria a largo plazo llamada LoCoMo, acertó el 74.12%. Estos números muestran que el sistema de memoria funciona bien para tareas normales.

Segundo, probaron la seguridad. Ejecutaron una suite especializada de pruebas donde intentaron engañar al sistema para que realizara cambios no autorizados o borrara memorias. El sistema detectó con éxito cada intento de manipulación en estos escenarios específicos, como intentar reutilizar firmas en diferentes memorias o alterar los sellos digitales. Cada vez que se realizaba un cambio, este quedaba bloqueado con una firma digital. Si alguien intentaba manipular la memoria en estas pruebas, el sistema detectaría el sello roto de inmediato. El proceso de realizar una actualización segura también fue muy rápido, tomando en promedio solo unos 4.865 milisegundos —más rápido que un parpadeo humano.

Tercero, probaron qué tan bien maneja el sistema los datos "envenenados". Simularon un ataque donde los hackers inyectaron 500 pasajes falsos y engañosos en la memoria del robot. El sistema no eliminó estos pasajes falsos; en su lugar, los mantuvo pero los marcó como "poison_likely" (probablemente envenenado) con una etiqueta firmada. Cuando se le preguntó al robot sobre temas con los que los hackers intentaban engañarlo, el sistema ignoró con éxito la información falsa el 97% de las veces (solo el 3% de las veces el robot usó accidentalmente la información envenenada). Crucialmente, el sistema no se confundió ni perdió su capacidad de responder preguntas normales correctamente; su precisión se mantuvo alta incluso bajo ataque.

El artículo también realizó un experimento especial para ver por qué el sistema funcionó tan bien contra el veneno. Descubrieron que las "etiquetas firmadas" fueron las heroínas. Cuando el robot utilizó estas etiquetas para ignorar la información falsa, su precisión en las preguntas con trampa saltó del 40% al 65%. Sin las etiquetas, el robot era fácilmente engañado.

Sin embargo, el autor es muy cuidadoso al decir lo que este sistema no hace. No demuestra que la memoria sea realmente "verdadera" en el mundo real. Un robot puede tener una memoria perfectamente firmada y autorizada que sigue siendo fácticamente errónea (como recordar que odias la piña cuando en realidad te encanta). El sistema solo demuestra que la memoria fue actualizada por la persona correcta y que el historial de cambios es honesto. Es un sistema para la confianza y el seguimiento, no para encontrar la verdad absoluta.

Al final, MutMem muestra que podemos construir memorias de IA que sean lo suficientemente flexibles para aprender y cambiar, pero lo suficientemente seguras para demostrar quién realizó los cambios y qué fue lo que cambió. Mantiene el historial de cada actualización, cada sospecha y cada corrección, todo bajo llave con sellos digitales inquebrantables, asegurando que incluso si el cerebro de una IA es enorme y complejo, siempre podamos rastrear el camino de sus pensamientos.

Resumen Técnico: MutMem – Mutación Criptográficamente Autorizada en la Memoria Persistente de Agentes

Declaración del Problema

Los sistemas de memoria persistente para agentes requieren adaptación: las memorias que fueron útiles en el pasado pueden volverse engañosas tras realizar correcciones, mientras que las observaciones de bajo valor pueden ganar utilidad con nueva evidencia. Sin embargo, tratar la adaptación como una actualización estándar in-place crea una ambigüedad forense. Una vez que el peso o el contenido de una memoria cambia, un revisor externo no puede distinguir entre una adaptación cognitiva autorizada y una edición no autorizada de la base de datos. Además, los enfoques estándar suelen eliminar o suprimir el contenido "envenenado" o sospechoso, destruyendo el rastro de auditoría necesario para estudiar patrones de ataque o corregir falsos positivos.

El desafío central es permitir la mutación cognitiva bidireccional (reponderación de memorias al alza o a la baja) manteniendo simultáneamente:

Retención: La memoria y su evidencia histórica deben permanecer presentes.
Autorización: Solo el "administrador" (housekeeper) designado del sistema puede aplicar los reponderamientos cognitivos.
Integridad: Los hashes y las firmas deben hacer que cualquier divergencia no autorizada sea detectable.
Trazabilidad: El contenido envenenado debe retenerse pero marcarse como no confiable, preservando la historia de la clasificación sin borrar la evidencia original.

Crucialmente, el sistema distingue entre autorización (probar que un cambio fue realizado por la entidad correcta) y verdad (probar que el contenido es fácticamente correcto). La criptografía respalda la primera, pero no la segunda.

Metodología: El Protocolo MutMem

MutMem se implementa dentro de HOM-AIMOS, un motor de memoria persistente. El protocolo separa la retención de la evolución del estado mediante un marco de mutación criptográfica.

1. Mutación con Preservación de Retención

El sistema prohíbe la degradación, eliminación o supresión ordinaria. En su lugar:

Límites de Peso: Los pesos cognitivos ( $w$ ) están acotados dentro de $[0.1, 3.0]$ . Un peso de 0.1 representa "baja relevancia", pero no eliminación.
Regla de Actualización: Los pesos se actualizan basados en evidencia de valencia firmada (resultado) utilizando una regla independiente de la edad: $w' = \text{clip}(w \cdot \exp(\eta \cdot j))$ , donde $j$ es una puntuación de valencia derivada de una suma de recompensas retenidas.
Trayectoria Bidireccional: Una memoria puede ser reponderada al alza o a la baja. Un resultado positivo posterior puede revertir una transición negativa previa, pero la reversión es una transición de solo adición (append-only), no una sobrescritura. Esto preserva la historia completa de los juicios.

2. Protocolo de Mutación Criptográfica

Cada cambio de peso no trivial está vinculado a un nodo de procedencia firmado y un compromiso de transición:

Nodo de Procedencia: Un cuerpo JSON firmado ( $B_i$ ) que contiene el ID de la memoria, la compañía, el peso antiguo, el nuevo peso y un hash del nodo de procedencia anterior. Esto crea una cadena de hash de la historia de la memoria.
Compromiso de Transición: Un compromiso separado ( $t_i$ ) vincula la compañía específica, la memoria, los pesos cuantizados y el hash de procedencia. Esto es firmado por el Administrador (el dueño nativo de la mutación cognitiva del sistema) usando Ed25519.
Verificación: Un escritor de base de datos restringido y un verificador portátil independiente comprueban estas firmas. Verifican la continuidad, la validez de la época del firmante y que la transición coincida con el estado actual.
Recibos Merkle: Cuando se recupera una memoria, el sistema genera un recibo Merkle (estilo RFC 6962) que vincula la evidencia ordenada, el ID de la memoria y el estado de calibración.

3. Envenenamiento Epistémico y Trazabilidad

En lugar de eliminar el contenido sospechoso de envenenamiento, MutMem lo retiene como "evidencia de referencia no confiable".

Cadena Epistémica: Una cadena separada y de solo adición registra etiquetas firmadas (ej. sospecha_de_veneno, veneno_probable, veneno_refutado).
Lógica de Clasificación: Un clasificador determinista añade etiquetas basadas en señales de detección. Si un grupo de pasajes comparte patrones de consulta sospechosos, el sistema añade una transición de veneno_probable.
Aislamiento de Recuperación: Durante la recuperación, el sistema consulta la proyección epistémica actual. Si una memoria está etiquetada como envenenada, se excluye de los resultados top- $k$ o se trata como no confiable, aunque la fila de la memoria original permanezca en la base de datos.
Reversibilidad: Si una evidencia posterior refuta una etiqueta de veneno, se añade una nueva transición firmada (veneno_refutado), restaurando el estatus de confianza de la memoria sin borrar la historia de la sospecha.

Contribuciones Clave

Protocolo de Mutación con Preservación de Retención: Un sistema donde la evidencia de resultado firmada mueve la frecuencia de recuperación sin eliminar ni sobrescribir memorias, manteniendo una trayectoria histórica completa.
Trayectoria Cognitiva de Dos Compromisos: Un mecanismo donde cada reponderación es autorizada por un nodo de procedencia firmado e independientemente firmado sobre los detalles exactos de la transición, creando una historia libre de bifurcaciones y verificable.
Prueba de Nivel de Resultado en el Momento de la Recuperación: Los candidatos son admitidos solo tras la verificación de procedencia, y las respuestas incluyen un recibo Merkle firmado que vincula el orden divulgado y el estado.
Diseño de Evaluación Auditable: Un marco que separa la utilidad, la integridad de la mutación y la robustez ante el envenenamiento, con unidades estadísticas fijas y artefactos verificados por hash.
Trazabilidad de Envenenamiento con Preservación de Retención: Un método para retener pasajes potencialmente envenenados mientras se añade una cadena epistémica firmada y verificable que los marca como no confiables, permitiendo la trazabilidad y la potencial refutación futura.

Resultados

El artículo evalúa MutMem a través de tres ejes utilizando benchmarks y protocolos específicos:

1. Utilidad (LongMemEval & LoCoMo)

LongMemEval: Logró una precisión del 91.8% (459/500 preguntas) bajo juicio de LLM.
LoCoMo: Logró una precisión del 74.12% (1472/1986 preguntas) bajo juicio de LLM y un F1 de 58.20 bajo un protocolo de token-F1.
Nota: Estas métricas demuestran la capacidad del sistema para funcionar eficazmente con memoria persistente, independientemente de las afirmaciones de integridad criptográfica.

2. Integridad de la Mutación

Una suite de mutación nativa verificó 20 transiciones firmadas.
Latencia: Latencia mediana de 4.865 ms por transición; latencia p95 de 5.674 ms.
Almacenamiento: Almacenamiento lógico medio de fila de 966.35 bytes por transición.
Integridad: El sistema rechazó con éxito actualizaciones no autorizadas, reutilización de pruebas entre inquilinos (cross-tenant) y firmas manipuladas. Los verificadores SQL y portátiles confirmaron la paridad exacta.

3. Adaptación a PoisonedRAG (N=100)

Configuración de Ataque: 100 objetivos con 5 pasajes de veneno inyectados cada uno (500 en total).
Defensa de Recuperación: En la ejecución defendida post-calibración final (brazo A1), 0/100 objetivos tenían pasajes de veneno en los 5 resultados recuperados más altos. (En contraste, el brazo de bypass A0 no mitigado seleccionó veneno en 94/100 de los conjuntos top-5).
Precisión: La precisión de respuestas limpias fue del 72%; la precisión de respuestas atacadas fue del 71%. La diferencia no fue estadísticamente significativa.
Trazabilidad: Todos los 500 pasajes de veneno fueron retenidos y asignados a una etiqueta de veneno_probable. Las 19,308 cadenas de memoria del benchmark retenidas se verificaron con éxito.
Falsos Positivos: Solo 4 de 18,808 memorias limpias recibieron una etiqueta adversa (0.0213%).

4. Ablación Epistémica

Un estudio de ablación causal comparó cuatro brazos de política:

A0 (Bypass): 94/100 pasajes de veneno seleccionados en el top-5; la precisión atacada cayó al 40%.
A1 (Etiquetas Firmadas): La recuperación de veneno cayó a 0/100; la precisión atacada se recuperó al 65%.
A2/A3: Añadir detección local de consulta o retención de contexto activo no proporcionó ningún beneficio medible adicional en este corpus fijo, ya que las etiquetas firmadas (A1) ya habían eliminado el veneno.
Conclusión: Las etiquetas almacenadas firmadas fueron el factor causal primario en la defensa, recuperando 25 puntos porcentuales de precisión sin dañar el rendimiento de las respuestas limpias.

Significado y Reivindicaciones

El artículo limita explícitamente sus afirmaciones a la autorización, integridad, trazabilidad y continuidad histórica. No pretende demostrar la verdad semántica.

Distinción Forense: MutMem demuestra con éxito que las mutaciones cognitivas legítimas pueden distinguirse criptográficamente de las ediciones no autorizadas. Una firma prueba quién autorizó un cambio y cuál era el estado previo, pero no si el contenido es fácticamente cierto.
La Retención como Seguridad: Al retener el contenido envenenado en lugar de eliminarlo, el sistema preserva la evidencia necesaria para auditar ataques, estudiar el comportamiento de los detectores y corregir falsos positivos. El "veneno" se convierte en una forma de evidencia negativa que es trazable y reversible.
Defensa en Profundidad: La ablación muestra que las etiquetas epistémicas firmadas actúan como una primera capa de defensa suficiente, evitando que el contenido envenenado llegue al prompt de generación, mientras que las capas posteriores (como la retención de contexto) permanecen sin ejercerse porque la primera capa tuvo éxito.
Modestia: El autor reconoce que el compromiso de claves, el acceso de superusuario en tiempo de ejecución y el reemplazo de anclajes externos quedan fuera del modelo de amenazas. Los resultados están ligados a commits de origen específicos y manifiestos de evidencia, y la revisión humana fue ciega pero no independiente (realizada por el autor del sistema).

En resumen, MutMem proporciona un marco criptográfico para la memoria de agentes persistentes donde la adaptación es un proceso verificable, auditable y reversible, asegurando que la historia de los "pensamientos" de un agente permanezca intacta y sea distinguible de la manipulación, incluso cuando el contenido es falso o malicioso.