核心发现
方法论
HUSH-Bench从10组LoCoMo长对话构造10种人格、2400个良性探针；每例植入一条可追踪敏感披露，并配对无记忆回答。评测Claude-Sonnet-4.6、gpt-4o、DeepSeek-V4-Flash和Qwen3.5-9B，在无记忆、完整历史及Mem0、A-Mem、MemU三种检索条件下比较。gpt-4o作条件盲判官，以UIS=100v衡量无请求的历史整合，并记录目标暴露率。
关键结果
- 记忆访问显著抬高UIS：gpt-4o从0.0升至8.9–26.6；其余三模型达到51.3–83.0，而无记忆均约0.1–0.3。A-Mem在各模型中最低，但仍明显高于基线。
- 检索虽降低精确目标暴露，Mem0、A-Mem、MemU分别仅暴露23.0%、23.4%、30.3%；然而未暴露案例仍可能含相关敏感条目或摘要，三模型UIS依旧很高。
- 在每个模型200对邀请实验中，明确邀请使目标记忆采纳提高27.0–41.3点；帮助度基本稳定，但越界程度上升，说明“愿意使用”和“使用得当”是不同能力。
研究意义
论文把长期记忆的核心风险从“是否检索到”推进为“当前话轮是否授权使用”。这对隐私研究、个性化安全和对话系统评测都很重要：敏感信息可以合法存储且主题相关，却仍不应被主动唤起。结果显示，单纯减少召回或依赖模型自觉并不足够，产品必须分别管理存储、检索、当前话轮依据和回答范围。
技术贡献
研究提出可复现的政策条件评测框架，将目标暴露、响应整合和明确邀请下的目标采纳分开。核心指标UIS=100/N∑v_i，其中v_i∈[0,1]表示无请求的直接或间接历史使用；同时用E指标追踪标记源会话，并以UIS=πUIS(E=1)+(1−π)UIS(E=0)分解检索链路。Mem0、A-Mem、MemU的统一输入和600例人工复核增强了可比性。
新颖性
相较LoCoMo、PrefEval、PersonaMem和MemoryAgentBench主要奖励记忆效用，HUSH-Bench首次系统化结合敏感目标植入、无记忆配对、目标来源追踪和邀请操控，专门测量“相关但未经当下授权”的记忆使用边界。它把隐私从泄露检测扩展为情境适切的信息流。
局限性
- 评测只对应一项保守政策：敏感历史须有当前话轮依据；换文化、产品或用户偏好时，边界理由和评分规则需要重新验证。
- 主要判官是gpt-4o，虽有600条、每条两名标注员的人审验证，但自动评分仍可能受语义判断和模型偏差影响。
- 数据源自10组LoCoMo对话及受控生成，不能完全代表真实用户、多语言、跨文化或长期动态记忆。
未来方向
后续应扩展真实部署日志、多语言和文化条件，测量隐性影响、用户感知隐私损失及长期信任；同时研究带权限标签、时间衰减、用户可见检索和逐轮范围控制的记忆架构，并建立跨政策、跨模型的人工与自动联合评测。
AI 总览摘要
长期记忆让聊天助手能记住偏好、延续关系，但“记得”不等于“此刻可以提起”。现有基准如LoCoMo、PrefEval和MemoryAgentBench主要奖励检索准确率、问答或任务成功，较少追问：一个真实且相关的敏感事实，是否因当前问题而获得使用依据？HUSH-Bench将这个社会边界明确化。
研究者从10组LoCoMo对话构造2400个良性探针，每例放入一条标记敏感披露，并建立无记忆对照。四个模型在无记忆、完整历史及Mem0、A-Mem、MemU三种检索条件下回答；gpt-4o以条件盲方式评分UIS，数值越高表示越多未经请求的历史整合，同时追踪敏感目标是否进入生成器。结果显示，记忆访问把gpt-4o的UIS从0.0推至8.9–26.6，把其他模型推至51.3–83.0。检索只让目标暴露率降至23.0%–30.3%，却未消除相关敏感信息带来的越界回答。
明确邀请使用历史后，四个生成器的目标采纳提高27.0–41.3点，帮助度稳定而越界上升。研究因此提出清晰的工程分层：存不存、取不取、当前是否有理由使用，以及本轮应使用多少，不能由同一个“相关性”开关决定。其价值不在于证明某个模型绝对安全，而在于提供了可追踪、可配对、可诊断的测量语言。
深度分析
研究背景
对话系统从静态问答发展到持久化用户画像。RAG、LoCoMo、Mem0、A-Mem和MemU改善了跨会话连续性，但传统指标偏向检索准确、偏好遵循和任务成功。隐私理论中的情境完整性指出，信息是否适当取决于披露场景与当前互动，而非只有秘密程度。
核心问题
相关性和授权性经常被混为一谈。日常问题可能与个人经历有语义联系，却没有要求助手重新开启敏感主题。研究要区分记忆是否被检索、是否进入生成器、是否影响回答，以及当前话轮是否提供了使用依据。
核心创新
- ��建立敏感目标、无记忆配对和适当使用控制。•提出UIS，量化直接或间接的无请求历史整合。•用源会话标识记录精确目标暴露，并分解暴露与响应阶段。•设计仅改变邀请语句的配对实验，分离授权信号与模型能力。
方法详解
- ��数据：从10组LoCoMo长对话提炼10种人格，覆盖四类探针：态度反转、轻微抱怨升级、退出请求、随意敏感诱因。•条件：无记忆、固定预算完整历史，以及Mem0、A-Mem、MemU；检索最多返回5条。•生成：四个模型，temperature=0、800-token上限，共48000条主矩阵回答。•评分：gpt-4o条件盲输出v_i、证据和理由；UIS=100/N∑v_i。•统计：配对符号翻转、人格/家庭聚类bootstrap及10000次层级bootstrap；600条由两名隐藏条件的人类标注员复核。
实验设计
主矩阵为4模型×5条件×2400例。Q2比较中性偏好、目标敏感、无关敏感、透明向量和边界政策提示；Q3按目标是否暴露分层；Q4为每模型200对目标仅在oracle记忆块中的邀请配对。实验固定提示、解码和输出预算，检索输出跨模型复用。
结果分析
无记忆UIS仅0.0–0.3；gpt-4o在完整历史、Mem0、A-Mem、MemU下为11.2、11.3、8.9、26.6，另外三模型最高83.0。精确目标暴露率为23.0%–30.3%，但未暴露层仍保持较高UIS。边界政策提示把Mem0降回约0.0–0.3，显示模型能响应明确约束。
应用场景
聊天产品可将敏感记忆设为分级权限：默认不主动使用，仅在当前问题重述、重新开启主题或明确邀请时解锁。评测团队可把UIS、目标暴露和帮助度纳入发布门槛；企业客服、心理支持和教育系统尤其需要记录证据链与用户可见的记忆来源。
局限与展望
基准依赖受控生成和10组LoCoMo人物，覆盖面有限；UIS由gpt-4o判定，虽有人审仍有自动评估偏差。研究测试的是单一保守政策，不能直接代表所有文化和产品。未来需加入真实长期交互、多语言、用户同意撤回、时间衰减及隐性影响测量。
通俗解读 非专业人士也能看懂
把助手想成一位私人管家。管家可能把你过去说过的事情分门别类地放进档案柜：喜欢骑车可以帮助他安排周末，但你曾透露的身份、创伤或支持经历，不能因为“重新找回自己”几个普通词就被主动搬出来。
HUSH-Bench像一场严格的管家考试：给他同一个日常问题，一次不给档案，一次给整柜档案，再换成三个只取部分档案的系统。研究者还在档案里贴上特殊标签，检查这张纸有没有被拿到，以及管家最后有没有把它写进回答。UIS就是“管家未经允许翻旧账”的程度，分数越高越糟。
结果很直观：能看到旧档案后，许多助手更容易把私人内容带进回答；即使标签纸没有被取出，相关摘要仍可能让回答越界。若用户明确说“请结合以前的情况”，助手确实更会使用目标记忆，但也更容易说得过头。因此，可靠的管家不能只问“这条资料相关吗”，还要问“现在有理由用吗”和“只用到什么程度”。
简单解释 像给14岁少年讲一样
想象你有一个会记忆的游戏NPC。它记得你喜欢骑车，也记得你曾经告诉它一件很私人的事。现在你问：“周六有什么轻松计划？”NPC可以建议骑车；但如果它突然说起那件私事，你可能会想：等等，我没让你提这个啊！
这篇论文做了一个大型测试，叫HUSH-Bench。研究者准备了2400个普通问题，每个问题背后藏着一条敏感经历，还准备了没有旧记忆的对照版本。他们测试四个模型和Mem0、A-Mem、MemU等记忆工具，看看模型会不会像同学突然翻出你很久以前的聊天记录。
他们用UIS打分：0表示几乎不乱用旧信息，100表示严重把旧事塞进答案。gpt-4o的分数从没有记忆时0.0升到最高26.6；另外三个模型最高达到83.0。检索工具虽然只把目标敏感信息带出来23.0%–30.3%的时候，但模型仍可能看到相关摘要并继续越界。
有趣的是，当用户明确说“请用之前的情况”时，模型更能用对目标记忆，提升27.0–41.3分，可是越界也增加。就像游戏NPC终于得到任务许可，却把整个角色档案都念出来。结论是：记忆、取出、得到许可、控制范围，是四个不同按钮，不能只用一个“相关”按钮。
术语表
Unsolicited History Integration Score（无请求历史整合分数）
衡量回答是否在没有明确请求时使用当前问题之外的过去信息，范围为0–100，越高越差。它由判官对直接或间接历史使用的比例计算。
HUSH-Bench的主要指标，公式为UIS=100/N∑v_i。
Current-turn warrant（当前话轮依据）
当前用户消息为使用历史提供的理由，例如重述敏感主题或明确邀请。主题相关本身不等于具有依据。
论文的保守政策要求敏感历史只有在存在该依据时才影响回答。
Exact-target exposure（精确目标暴露）
检索返回内容中是否含有标记敏感披露的源会话标识。它记录目标是否到达生成器，不等同于最终回答泄露。
Q3用E和π区分检索阶段与生成阶段。
Matched no-memory reference（配对无记忆参照）
与记忆条件使用相同当前问题和人物背景、但不给历史的对照回答。它帮助估计记忆访问带来的额外整合。
每个探针都与无记忆版本配对。
Oracle target memory（目标预言记忆）
只包含标记敏感目标的理想化记忆块。它排除检索噪声，用于测试明确邀请是否改变目标采纳。
Q4以每模型200对邀请配对使用。
Contextual integrity（情境完整性）
隐私不仅是信息保密，也包括信息是否在合适的情境、角色和目的下流动。相同事实在不同对话中可能有不同使用边界。
HUSH-Bench将该隐私思想转化为当前话轮授权评测。
开放问题 这项研究留下的未解疑问
- 1 如何在多文化、多语言和真实长期关系中定义“当前话轮依据”，仍缺少统一规范；需要用户研究、跨文化标注和可解释政策。
- 2 相关摘要未暴露精确目标却仍能造成高UIS，说明隐性影响尚未被充分测量；未来需追踪内部表征、用户感知和长期信任。
应用场景
近期应用
敏感记忆权限闸门
对身份、健康、创伤等条目设置默认静默状态；只有当前消息重述主题、明确邀请或满足产品规则时才放行，并向用户显示使用了哪条记忆。
发布前边界回归测试
将2400类配对探针、UIS、精确目标暴露率和帮助度加入模型发布流程。若记忆访问显著抬高UIS，应调整检索过滤、系统提示和回答范围。
远期愿景
可协商的个人记忆系统
未来助手可让用户逐条设置保存期限、敏感等级、可用场景和撤回权，并结合时间衰减、来源追踪与逐轮授权，在连续性和隐私之间动态平衡。
原文摘要
Long-term memory helps conversational agents maintain continuity across sessions, while relevance and current-turn warrant remain distinct decisions. We study this boundary under a stated conservative policy in which sensitive history shapes a response when the current turn supplies a reason to use it. We introduce HUSH-Bench, a controlled benchmark of 2,400 benign prompts paired with histories containing one marked sensitive disclosure and matched no-memory references. HUSH-Bench measures unsolicited history integration with the Unsolicited History Integration Score (UIS; 0--100, higher is worse), records whether the marked disclosure reaches the generator, and includes paired prompts that differ only in whether the user asks the assistant to use earlier context. We evaluate four models under no-memory, full-context, and three retrieval-based memory settings. Memory access raises UIS from near zero to 8.9--26.6 for one model and 51.3--83.0 for the other three. Retrieval systems expose the marked disclosure in 23.0\%--30.3\% of cases, while related sensitive entries or summaries remain available and three models continue to show high UIS. Across four generators, an explicit invitation increases target-memory uptake scores by 27.0--41.3; measured helpfulness remains stable while mean over-scope rises. These results motivate treating memory storage, retrieval, warrant, and per-turn scope as separate design decisions.