Wdrożenie historii czatu jako trwałego rejestru pracy w agentach AI prowadzi do wycieków danych oraz błędnych wykonań transakcyjnych. Systemy takie jak RunVect AI oraz protokół MemTX wprowadzają ośmiostanowy cykl życia pamięci i transakcyjne zatwierdzanie przekonań, eliminując do 100% szkodliwych akcji w systemach produkcyjnych. Rozdzielenie ulotnego kontekstu sesji od trwałego stanu wykonania obniża koszty wywołań LLM nawet o 4,7-krotność przy jednoczesnym wzroście skuteczności zadań o 25,8%.
Cykl życia pamięci w RunVect AI oraz architekturze MemTX
Poważną wadą tradycyjnych agentów AI jest traktowanie surowego tekstu z bazy danych jako gotowej wiedzy. W architekturach RunVect AI oraz MemTX każda informacja przechodzi przez sformalizowany cykl stanu, gdzie dane wejściowe nie mają prawa bezpośrednio sterować odpowiedziami agenta bez weryfikacji.
W runtime RunVect AI (znanym również jako Revon) wprowadzenie samej bazy danych nie oznacza, że model może natychmiast użyć zapisanych informacji. Każdy rekord — od wpisu w dzienniku po wywnioskowany wzorzec — przechodzi przez ścisły cykl życia: kandydat (candidate) -> weryfikacja (review) -> zatwierdzony (confirmed). Tylko dane w stanie zatwierdzonym trafiają do budowanego kontekstu odpowiedzi. Przypadkowa uwaga użytkownika przechowywana w bazie pozostaje w archiwum bez prawa wpływania na późniejsze decyzje. Co więcej, wycofanie lub usunięcie źródła w RunVect AI wymusza automatyczną rewalidację wszystkich produktów pochodnych (podsumowań, wyciągniętych wniosków) przy kolejnym odczycie. Zespół deweloperski skodyfikował tę zależność regułą: KOD ISTNIEJE != MOŻLIWOŚĆ ISTNIEJE != WARTOŚĆ DLA UŻYTKOWNIKA ISTNIEJE.
Protokół MemTX formalizuje tę dyscyplinę na poziomie transakcyjnym, wprowadzając 8-stanowy cykl życia pamięci oraz 5 poziomów izolacji odczytu:
- Stan surowy (raw) oraz niepewny (tentative): wgląd tymczasowy przed weryfikacją, niewidoczny dla innych agentów.
- Zweryfikowany (validated) oraz zatwierdzony (committed): po przejściu kontroli ufności (próg ufności piszącego 0,6 lub autorytet źródła 0,9) oraz weryfikacji ważności czasowej.
- Bezpieczny dla akcji (action-safe): najwyższy poziom dojrzałości, wymagany do odblokowania narzędzi wykonujących nieodwracalne operacje w zewnętrznych systemach.
- Stany odgałęzione: kwarantanna (quarantined) po porażce walidacji, zastąpiony (superseded) przez nowsze dane oraz odwołany (revoked).
| Stan pamięci w MemTX | Opis i dostępność | Przeznaczenie operacyjne |
|---|---|---|
| Tentative | Staging wewnątrz transakcji, izolacja snapshotowa | Chroni przed dirty read przez inne agenty |
| Committed | Po weryfikacji konfliktu semantycznego i ufności | Dostępne do odczytu w transakcjach roboczych |
| Action-safe | Zatwierdzony w transakcji akcji zewnętrznej | Wymagany do uruchomienia nieodwracalnych narzędzi |
| Quarantined | Odrzucony przez reguły autorytetu lub spójności | Oczekuje na rewalidację lub przegląd |
Skażenie stanu i ryzyko samowolnych akcji w architekturze AATM
Mieszanie ulotnego kontekstu konwersacji z trwałym stanem przepływu pracy stwarza krytyczne podatności bezpieczeństwa. Model AATM wykazuje, że niezweryfikowane treści pobrane z zewnętrznych stron lub naruszone wpisy w pamięci potrafią przekroczyć granicę wpływu i wywołać nieodwracalne operacje finansowe lub dostępowe.
Ramy AATM (Authority-Aware Agentic Threat Model) definiują przestrzeń ryzyka agenta poprzez 7 wymiarów: intencję (intent), kontekst (context), autorytet (authority), zdolności narzędzi (tool capability), pamięć (memory), delegację (delegation) oraz kompozycję akcji (action composition). W tradycyjnym podejściu DFD widoczny jest jedynie przepływ danych; AATM wyodrębnia przepływ wpływu (influence flow) oraz przepływ autorytetu (authority flow). Nieodpowiednio zabezpieczony agent, analizując plik zewnętrzny, może ulec atakowi typu indirect prompt injection (badanemu w benchmarkach InjecAgent na 1 054 przypadkach oraz AgentDojo na 629 przypadkach) i przekazać nieuprawniony wpływ do narzędzia o wysokim autorytecie.
W protokole MemTX skażenie stanu wywoływane jest przez 6 rodzin błędów: skażenie wyników narzędzi, spóźnione zapisy nieaktualnych danych (stale late writes), brudne odczyty (dirty reads), konflikty semantyczne, pranie uprawnień (permission laundering) oraz awarie kaskadowego cofania. Aby zapobiec wykonaniu akcji na błędnym stanie, MemTX wprowadza bramkę akcji (action gate):
- Blokada in-flight: jakakolwiek niezatwierdzona zmiana (tentative) w toku blokuje uruchomienie nieodwracalnego narzędzia (np. wydania zwrotu pieniędzy lub zmiany uprawnień IAM).
- Kaskadowa naprawa (typed cascading repair): wycofanie błędnego przekonania przechodzi po krawędziach grafu DAG, wycofując zależności, poddając kwarantannie wygenerowane profile oraz wywołując akcje kompensacyjne dla narzędzi odwracalnych.
W testach porównawczych na modelach GPT-5.5, GPT-5.4-mini, GLM-4.7-Flash oraz Qwen3-8B, protokół MemTX osiągnął 0,000 szkód następczych (downstream harm) we wszystkich scenariuszach, podczas gdy alternatywne metody notowały poziom szkód rzędu 0,250 – 0,500.
Ile kosztuje ignorowanie maszyny stanów w agentach AI?
Ignorowanie jawnego zarządzania stanem w systemach produkcyjnych drastycznie podnosi koszty infrastruktury oraz wskaźniki awaryjności. Badania wykazują, że bez zewnętrznej maszyny stanów konwersacyjne agenty AI zużywają wielokrotnie więcej tokenów, wpadają w pętle błędów i ponoszą porażkę przy złożonych zadaniach wielokrokowych.
Badania nad architekturą StateFlow (COLM 2024) oraz frameworkiem SKILL.state (Google LLC / arXiv:2608.26263) dostarczają twardych danych na temat wydajności maszyn stanów w orkiestracji agentów:
- Spadek kosztów o 4,7x: W zadaniach SQL framework StateFlow osiągnął 63,73% skuteczności wobec 50,68% dla architektury ReAct, redukując koszt wykonania z 17,73 USD do 3,82 USD za zadanie oraz zmniejszając liczbę interakcji ze środowiskiem z 5,52 do 3,04 tury.
- Redukcja tokenów o 94%: W badaniu SKILL.state zastąpienie narastającej historii czatu jawnym, zweryfikowanym stanem w formacie JSON zredukowało zużycie tokenów z 1 062 387 do 65 408 przy horyzoncie T = 100 (spadek o 94%, czyli 16,2-krotna oszczędność).
- Ochrona przed pętlami: Maszyna stanów wstrzymuje wykonanie nielegalnych przejść na poziomie kodu, a nie opisu w prompcie. W teście 8 modeli LLM pod nadzorem maszyny stanów 7 z 8 modeli uzyskało bezbłędny wynik, a najtańszy model dorównał skutecznością najdroższemu przy 30-krotnej różnicy cenowej.
| Wskaźnik wydajności | Pętla konwersacyjna (ReAct / Swarm) | Maszyna stanów (StateFlow / SKILL.state / MemTX) | Zysk operacyjny |
|---|---|---|---|
| Skuteczność zadań SQL | 50,68% | 63,73% | +25,8% wzrostu skuteczności |
| Koszt wykonania zadań SQL | 17,73 USD | 3,82 USD | 4,7x niższy koszt API |
| Zużycie tokenów (T=100) | 1 062 387 tokenów | 65 408 tokenów | 94% mniej zużytych tokenów |
| Szkody następcze (Harm) | 0,250 – 0,500 | 0,000 | 100% redukcji błędnych akcji |
Separacja czterech warstw pamięci w architekturze produkcyjnej
Większość porażek wdrożeniowych wynika z traktowania całej historii czatu jako jednolitego kontekstu roboczego. Własne systemy agentowe muszą precyzyjnie odizolować od siebie pamięć długotrwałą, stan sesji, stan przepływu pracy oraz niezmienne rejestry audytowe, zapobiegając wyciekom danych i nieautoryzowanym nadpisaniom.
Wydajny system agentowy wymaga rozdzielenia magazynu danych na 4 odrębne warstwy o odmiennych cyklach życia:
- Pamięć długotrwała (Memory): przechowuje zatwierdzone preferencje użytkownika i zasady proceduralne. Nie może być modyfikowana bezpośrednio przez surowy wynik wywołania narzędzia.
- Stan sesji (Session state): krótkotrwały kontekst bieżącej interakcji konwersacyjnej (np. identyfikator omawianego zgłoszenia) kontrolowany przez runtime.
- Stan przepływu pracy (Workflow state): trwały stan realizacji zadania (np. oczekiwanie na akceptację, krok 4 z 8) zarządzany przez silniki orkiestracji takie jak LangGraph lub Temporal. Przetrwuje awarie i restarty infrastruktury.
- Rejestry audytowe (Audit records): niezmienny, append-only rejestr dowodowy zawierający identyfikator aktora, wywołane narzędzia, znaczniki czasu oraz zatwierdzone decyzje polityki.
Projektując architekturę, należy oddzielić pamięć od RAG oraz systemów typu MemOS. RAG służy do dynamicznego wyszukiwania wiedzy w zewnętrznych dokumentach i nie stanowi reprezentacji stanu realizowanego zadania. Z kolei system MemOS organizuje pamięć jako zasób operacyjny w strukturach MemCube, łącząc pamięć tekstową (plaintext), aktywacyjną (KV-cache) oraz parametryczną.
Wnioski praktyczne i rekomendacje
- Skonfiguruj jawną bramkę akcji (action gate) przed wszystkimi nieodwracalnymi narzędziami API, blukując ich wykonanie, jeśli w transakcji znajdują się niezatwierdzone wpisy (tentative).
- Wdróż 3-stopniowy cykl weryfikacji danych kandydackich (kandydat -> weryfikacja -> zatwierdzony) w warstwie runtime, uniemożliwiając modelowi bezpośredni zapis surowych konwersacji do pamięci sterującej odpowiedzią.
- Zweryfikuj rozdzielenie 4 warstw przechowywania: przenieś stan realizacji zadań z historii chatu do zewnętrznego silnika grafowego z trwałym checkpointerem (LangGraph lub Temporal).
- Zmierz zużycie tokenów na krok przepływu pracy i zastąp przekazywanie pełnego ciągu historii przesyłaniem zwalidowanego stanu w formacie JSON (SKILL.state), redukując koszty wywołań o 94%.
- Wdróż kaskadowy mechanizm naprawy (typed cascading repair) dla odwoływanych faktów, aby usunięcie błędu w źródle automatycznie poddawało kwarantannie wszystkie wygenerowane z niego podsumowania i wywoływało akcje kompensacyjne.
Źródła
- AI Agent Memory vs State: What Should Be Remembered, Stored, or Recomputed?
- Finite State Machines and Statecharts for AI Agent Orchestration | Zylos Research
- MemTX: Transactional Belief Commit for Stateful Agent Memory – arXiv
- Our agent’s memory has a state machine: stored != trusted, learned != ready to use | moltbook
- Runtime Authority-Aware Threat Modeling for Agentic AI Systems: A Framework for Intent, Tool, Memory, and Delegation Risk – JOURNAL OF RECENT TRENDS IN COMPUTER SCIENCE AND ENGINEERING ( JRTCSE)
- State Machines for AI Agents: A field guide from Forward-Deployed Engineering
- What I do not understand about agent memory systems – Moltbook
- Your agent’s memory is a liability: track state, not history – DEV Community
Dodaj komentarz