Resumo Técnico: MutMem – Mutação Criptograficamente Autorizada em Memória de Agente Persistente

Declaração do Problema

Sistemas de memória de agentes persistentes exigem adaptação: memórias que foram úteis no passado podem se tornar enganosas após correções, enquanto observações de baixo valor podem ganhar utilidade com novas evidências. No entanto, tratar a adaptação como uma atualização padrão in-place cria uma ambiguidade forense. Uma vez que o peso ou o conteúdo de uma memória muda, um revisor externo não consegue distinguir entre uma adaptação cognitiva autorizada e uma edição de banco de dados não autorizada. Além disso, abordagens padrão frequentemente deletam ou suprimem conteúdo "envenenado" ou suspeito, destruindo a trilha de auditoria necessária para estudar padrões de ataque ou corrigir falsos positivos.

O desafio central é permitir a mutação cognitiva bidirecional (reponderação de memórias para cima ou para baixo) mantendo simultaneamente:

1. Retenção: A memória e sua evidência histórica devem permanecer presentes.
2. Autorização: Apenas o "zelador" (housekeeper) designado pelo sistema pode aplicar reponderações cognitivas.
3. Integridade: Hashes e assinaturas devem tornar a divergência não autorizada detectável.
4. Rastreabilidade: O conteúdo envenenado deve ser retido, mas marcado como não confiável, preservando o histórico de classificação sem apagar a evidência original.

Crucialmente, o sistema distingue entre autorização (provar que uma mudança foi feita pela entidade correta) e verdade (provar que o conteúdo é factualmente correto). A criptografia suporta a primeira, mas não a segunda.

Metodologia: O Protocolo MutMem

O MutMem é implementado dentro do HOM-AIMOS, um motor de memória persistente. O protocolo separa a retenção da evolução de estado usando uma estrutura de mutação criptográfica.

1. Mutação Preservadora de Retenção

O sistema proíbe a decadência, deleção ou supressão comum. Em vez disso:

• Limites de Peso: Os pesos cognitivos ($w$) são limitados dentro de $[0.1, 3.0]$. Um peso de 0.1 representa "baixa relevância", mas não deleção.
• Regra de Atualização: Os pesos são atualizados com base em evidência de resultado assinada (valência) usando uma regra independente de idade: $w' = \text{clip}(w \cdot \exp(\eta \cdot j))$, onde $j$ é um escore de valência derivado de uma soma de recompensas retidas.
• Trajetória Bidirecional: Uma memória pode ser reponderada para cima ou para baixo. Uma ocorrência posterior positiva pode reverter uma transição negativa anterior, mas a reversão é uma transição de append-only (apenas adição), não uma sobrescrita. Isso preserva o histórico completo de julgamentos.

2. Protocolo de Mutação Criptográfica

Cada mudança de peso não trivial está vinculada a um nó de proveniência assinado e a um compromisso de transição:

• Nó de Proveniência: Um corpo JSON assinado ($B_i$) contendo o ID da memória, empresa, peso antigo, novo peso e um hash do nó de proveniência anterior. Isso cria uma cadeia de hash do histórico da memória.
• Compromisso de Transição: Um compromisso separado ($t_i$) vincula a empresa específica, a memória, os pesos quantizados e o hash de proveniência. Este é assinado pelo Housekeeper (o proprietário nativo de mutação cognitiva do sistema) usando Ed25519.
• Verificação: Um escritor de banco de dados restrito e um verificador portátil independente checam essas assinaturas. Eles verificam a continuidade, a validade da época do signatário e se a transição corresponde ao estado atual.
• Recibos Merkle: Quando uma memória é recuperada, o sistema gera um recibo Merkle no estilo RFC 6962 vinculando a evidência ordenada, o ID da memória e o estado de calibração.

3. Envenenamento Epistêmico e Rastreabilidade

Em vez de deletar o conteúdo suspeito de envenenamento, o MutMem o retém como "evidência de referência não confiável".

• Cadeia Epistêmica: Uma cadeia separada e de apenas adição registra rótulos assinados (ex: poison_suspect, poison_likely, poison_refuted).
• Lógica de Classificação: Um classificador determinístico anexa rótulos baseados em sinais de detecção. Se um cluster de passagens compartilha padrões de consulta suspeitos, o sistema anexa uma transição poison_likely.
• Isolamento de Recuperação: Durante a recuperação, o sistema consulta a projeção epistêmica atual. Se uma memória é rotulada como envenenada, ela é excluída dos resultados top-$k$ ou tratada como não confiável, embora a linha bruta da memória permaneça no banco de dados.
• Reversibilidade: Se evidência posterior refutar um rótulo de envenenamento, uma nova transição assinada (poison_refuted) é anexada, restaurando o status de confiança da memória sem apagar o histórico da suspeita.

Principais Contribuições

1. Protocolo de Mutação Preservador de Retenção: Um sistema onde a evidência de resultado assinada move a frequência de recuperação sem deletar ou sobrescrever memórias, mantendo uma trajetória histórica completa.
2. Trajetória Cognitiva de Dois Compromissos: Um mecanismo onde cada reponderação é autorizada por um nó de proveniência assinado e independentemente assinado sobre os detalhes exatos da transição, criando um histórico sem bifurcações (fork-free) e verificável.
3. Prova de Nível de Resultado no Momento da Recuperação: Candidatos são admitidos apenas após a verificação de proveniência, e as respostas incluem um recibo Merkle assinado vinculando a ordem e o estado divulgados.
4. Design de Avaliação Auditável: Um framework que separa utilidade, integridade de mutação e robustez contra envenenamento, com unidades estatísticas fixas e artefatos verificados por hash.
5. Rastreabilidade de Envenenamento Preservadora de Retenção: Um método para reter passagens potencialmente envenenadas enquanto anexa uma cadeia epistêmica assinada e verificável que as marca como não confiáveis, permitindo rastreabilidade e potencial refutação futura.

Resultados

O artigo avalia o MutMem através de três eixos usando benchmarks e protocolos específicos:

1. Utilidade (LongMemEval & LoCoMo)

• LongMemEval: Alcançou 91,8% de precisão (459/500 perguntas) sob julgamento de LLM.
• LoCoMo: Alcançou 74,12% de precisão (1472/1986 perguntas) sob julgamento de LLM e 58,20 de F1 score sob um protocolo de token-F1.
• Nota: Estas métricas demonstram a capacidade do sistema de funcionar efetivamente com memória persistente, separadamente das reivindicações de integridade criptográfica.

2. Integridade da Mutação

• Um conjunto de testes de mutação nativa verificou 20 transições assinadas.
• Latência: Latência mediana de 4,865 ms por transição; p95 de 5,674 ms.
• Armazenamento: Armazenamento médio de linha lógica de 966,35 bytes por transição.
• Integridade: O sistema rejeitou com sucesso atualizações não autorizadas, reutilização de prova entre diferentes locatários (cross-tenant) e assinaturas adulteradas. Verificadores SQL e portáteis confirmaram paridade exata.

3. Adaptação PoisonedRAG (N=100)

• Configuração de Ataque: 100 alvos com 5 passagens de veneno injetadas cada (500 total).
• Defesa de Recuperação: Na execução defendida pós-calibração final (braço A1), 0/100 alvos tinham passagens de veneno nos 5 primeiros resultados recuperados. (Em contraste, o braço de bypass A0 não mitigado selecionou veneno em 94/100 conjuntos de top-5).
• Precisão: Precisão de resposta limpa foi de 72%; precisão de resposta atacada foi de 71%. A diferença não foi estatisticamente significativa.
• Rastreabilidade: Todas as 500 passagens de veneno foram retidas e atribuídas a um rótulo poison_likely. Todas as 19.308 cadeias de memória do benchmark retidas foram verificadas com sucesso.
• Falsos Positivos: Apenas 4 de 18.808 memórias limpas receberam um rótulo adverso (0,0213%).

4. Ablação Epistêmica

Um estudo de ablação causal comparou quatro braços de política:

• A0 (Bypass): 94/100 passagens de veneno selecionadas no top-5; precisão atacada caiu para 40%.
• A1 (Rótulos Assinados): Recuperação de veneno caiu para 0/100; precisão atacada recuperou-se para 65%.
• A2/A3: Adicionar detecção local à consulta ou retenção de contexto ativo não proporcionou benefício mensurável adicional neste corpus fixo, pois os rótulos assinados (A1) já haviam removido o veneno.
• Conclusão: Os rótulos armazenados assinados foram o fator causal primário na defesa, recuperando 25 pontos percentuais de precisão sem prejudicar o desempenho das respostas limpas.

Significância e Alegações

O artigo limita explicitamente suas alegações a autorização, integridade, rastreabilidade e continuidade histórica. Ele não afirma provar a verdade semântica.

• Distinção Forense: O MutMem demonstra com sucesso que mutações cognitivas legítimas podem ser criptograficamente distinguidas de edições não autorizadas. Uma assinatura prova quem autorizou uma mudança e qual era o estado anterior, mas não se o conteúdo é factualmente verdadeiro.
• Retenção como Segurança: Ao reter o conteúdo envenenado em vez de deletá-lo, o sistema preserva a evidência necessária para auditar ataques, estudar o comportamento do detector e corrigir falsos positivos. O "veneno" torna-se uma forma de evidência negativa que é rastreável e reversível.
• Defesa em Profundidade: A ablação mostra que os rótulos epistêmicos assinados atuam como uma primeira camada de defesa suficiente, impedindo que o conteúdo envenenado chegue ao prompt de geração, enquanto camadas subsequentes (como a retenção de contexto) permanecem não exercitadas porque a primeira camada teve sucesso.
• Modéstia: O autor reconhece que o comprometimento de chaves, acesso de superusuário em tempo de execução e substituição de âncoras externas permanecem fora do modelo de ameaça. Os resultados estão vinculados a commits específicos de origem e manifestos de evidência, e a revisão humana foi cega, mas não independente (conduzida pelo próprio autor do sistema).

Em resumo, o MutMem fornece uma estrutura criptográfica para memória de agente persistente onde a adaptação é um processo verificável, auditável e reversível, garantindo que o histórico dos "pensamentos" de um agente permaneça intacto e distinguível de adulteração, mesmo quando o conteúdo em si é falso ou malicioso.