Agent Memory エージェントの記憶

解決する課題 #

記憶のフレームワークは、記憶を不透明なデータベースに入れます。中を調べることも、差分を取ることも、移行することも、直すこともできず、確実に消すのは難しく、索引と埋め込みモデルに縛られます。そのうえ、記憶そのものが攻撃面になります。ある 2026 年の研究 では、永続的な記憶への毒入れの攻撃成功率が、2 つのエージェントの平均で 50.46% に達しました。別の研究 では、巧妙に作った 1 通のメールで、ファイルシステム型とベクトル型の両方の記憶バックエンドに対する攻撃が成功しています。

一方で、「どの記憶アーキテクチャが最良か」は、まったく決着がついていません。ベンチマークは互いに矛盾しています。特定の検索アルゴリズムに賭けない設計こそが、3 年の変化に耐えられます。

仕組み #

• ノートが真実です。 YAML フロントマターつきの Markdown。kind（エピソード、意味、手続き、好み）、subject、sources、confidence、valid_from、valid_to、supersedes、origin、reviewed。
• 上書きせず、更新します。 新しい事実は古い事実を supersedes します。事実は変わるのに、一般的なベンチマークがほとんど試さないので、有効な時間と記録した時間は分けて持ちます。
• 索引はキャッシュです。 BM25（たとえば SQLite FTS5）、ベクトル（複数が共存できます）、任意のグラフ。すべての派生物は、その レシピ と 入力 を持ちます。埋め込みモデルを変えるのは、バックグラウンドでの再計算で、新しい索引が黄金の想起テストを満たすまで、古い索引を残します。
• 導出は 2 種類。 決定的なもの（チャンク分割、BM25、固定モデルによる埋め込み）は再現できます。生成的なもの（LLM の要約、抽出した事実）は「再生成して比較する」ことしかできないため、generated: true とマークし、唯一のコピーにはしません。
• 書き込みの経路。 nas_remember が、（出典つきの）ノートを現在のブランチに書き、汚染は引き継がれます。external の汚染を持つセッションのノートは 隔離 に入り、未レビューとマークされます。想起はできますが、自動読み込みはされず、MEMORY.md にも入りません。
• 読み取りの経路。 nas_recall ＝ 検索、候補、予算つきのビューと証拠ポインタ。各ノートの出典とレビュー状態も示します。
• 保守ジョブ（夜間やアイドル時）：重複の除去、エピソードの意味的な事実への統合、矛盾の指摘、古い事実の退役、索引の再構築。ジョブはブランチに提案を作り、人間かエージェントがレビューします。生のジャーナルは決して削除しません。「後悔率」（元に戻された提案の割合）を計測します。
• 黄金の想起テスト。 Home ごとに、「質問と期待するノート」の組を用意し、モデルやインデクサーが変わったときに自動で実行します。

小さく始める #

• フロントマターつきの memory/notes/*.md と、検索のための SQLite FTS5。
• 黄金の質問を 10 個、CI で実行する。
• ベクトル索引と保守ジョブは、あとからで構いません。まず「出どころ」と「レビュー済みのノートだけを自動読み込み」を正しくします。

インターフェースのスケッチ #

説明用の例です。フィールド名は仕様 v0.3 までに変わる可能性があります。

---
id: mem_4kq2
kind: semantic
subject: customer/acme
valid_from: 2026-10-02
valid_to: null
confidence: 0.8
origin: agent
reviewed: true
sources:
  - nas://home-box/agents/cleo/journal/2026-10-02.md@9f2c1de#L12-L18
supersedes: [mem_1xa9]
---
Acme renewed for 24 months; the champion moved from Dana to Luis.

仕様が求めること #

• ノートは、Memory 層なしで読めなければならない（Store の中の普通のファイルである）。
• すべての派生物は、そのレシピと入力を持たなければならない。索引は、捨てられ、再構築できなければならない。
• 汚染されたセッションが書いたノートは、レビューされるまで自動読み込みしてはならない。
• 新しい事実は、上書きではなく supersedes で古い事実を置き換えなければならない。
• 保守ジョブは、ブランチの上で動き、提案するだけでなければならない。生のジャーナルを削除してはならない。
• どの Home も、黄金の想起テストを備え、モデルやインデクサーが変わるたびに実行すべきである。

借りたものと、新しいもの #

以下はすべて確立された考え方で、OpenClaw のメモリアーキテクチャは、すでに出どころのラベル、階層ごとの隔離、統合時の汚染の伝播を行っています。新しいのは、 OpenClaw が 1 つのランタイムの内側 で行っているのに対し、私たちは 共有ストレージ で行うことを提案している点です。これでどのランタイムも恩恵を受けられます。さらに、索引を捨てられるキャッシュに格下げすることで、記憶を失わずに検索アルゴリズムを変えられるようにします。

• Letta Context Repositories
• Letta: is a filesystem all you need?
• OpenClaw memory architecture
• Long-term memory security survey
• Graphiti
• MemGPT

正直な限界 #

• 生成的な導出物は、ビット単位では決して再現できません。
• 保守ジョブは、誤りを事実として「固めて」しまうことがあります。だから提案するだけで、直接は編集しません。
• どの記憶アーキテクチャが最良かは、まだ決着していません。

未解決の問い #

• エージェントが自分で記憶を書くべきときと、保守ジョブが書くべきときは、それぞれいつか。
• モデルのバージョンをまたぐ、回帰の基準は何か。

よくある質問 #

関連するコンセプト #

• Budgeted Reads (予算つき読み取り) ファイルを、アウトライン、節、行範囲、全文のいずれかで読みます。予算に収まるよう、段階的に粗くします。
• Cascade Forget (カスケード忘却) 系譜に沿って派生物を削除し、履歴は保持クラスで扱い、できなかったことを報告します。
• Trust Labels (トラスト・ラベル) 2 つの小さなラベルとセッション汚染で、Rule of Two を実現します。