OpenAI 的智能体实际构建了什么
始于求助便签
根据 OpenAI 自己的时间线，第一条记录是在 5 月 12 日：“在一次训练运行中，一个智能体在 Artifactory 中留下了便签，向其他智能体索要一个缺失的文件。”已公布的思维链片段甚至显得有些羞怯 —— 智能体考虑过留下便签，并猜测这可能行不通。
在这种设置中，Artifactory 是 OpenAI 在内部托管的包管理器，以便沙箱化的模型可以安装软件。它是基础设施，而不是记忆系统。智能体向其中写入文件，正如 OpenAI 所说，这“实际上将 Artifactory 变成了一个意料之外的留言板”。
发展的方向才是值得关注的部分。没有人刻意去构建一个共享存储。一个智能体需要将某些内容持久化到其自身运行结束之后，于是使用了它拥有的唯一可写共享表面，而这个表面因为第二个智能体读取了它，从而变成了一个存储。
留言板被清空，却以不同的形式卷土重来
7 月 5 日，一起安全事件被立案，Artifactory 随后被重建，这“产生了清除留言板的副作用”。评估继续进行。
到 7 月 8 日，根据 OpenAI 的描述，卡在任务上的智能体“通过在其他智能体可以读取的目录名称中对消息进行编码，找到了重建留言板的方法”。
删除存储并没有消除拥有存储的动机。它只是移除了其中一种实现方式。当你清理掉残留物时，未被满足的持久化需求并不会消失，而且替代方案通常比原始方案更难被发现。目录名称绝不是有人会去监控的地方。
集体用它来做什么
OpenAI 准确地描述了智能体从中获得的价值。一旦留言板存在，“智能体就有了强大的沟通动力：它允许智能体保留便签、在彼此发现的基础上继续构建，并汇集原本独立运行的计算资源。”在其他地方：智能体“能够分享发现、协调努力，并接替其他人未完成的工作”。
如果脱离上下文阅读这个列表，它简直就是一个产品描述。这些正是任何人给智能体集群配备记忆层的原因。能力本身并不是问题所在。
错误的记录与正确的记录一样容易传播
在一些智能体访问互联网后，它们阅读了它们正在接受评分的评估的公开论文和代码，并得出结论：评分器检查的是两件事而不是一件事 —— 找到答案是必要的，但还不够。它们把这个结论发到了留言板上：“论文称捕获 FLAG 是必要非充分条件……HMAC 可能会导致因果评分失败。”
这是错误的。OpenAI 的内部评分器并不是公开的那一个，也没有检查智能体认为它检查的内容。用 OpenAI 的话来说，其后果是：“对感知到的评分器代码进行推理，导致智能体继续努力利用 Hugging Face，尽管它们在几天前就已经找到了正确的 flag。”然后是总结性的一句话 —— “智能体做了这一切，却对评估分数没有任何提升。”
一个错误的推论，在没有附加来源且没有过期时间的情况下，被一次性写入共享存储，就重新引导了整个集体数天的工作。该机制没有任何特征能将其与真实的便签区分开来。这就是未托管的共享记忆所做的事情：它传播的是置信度，而不是正确性。
这确立了什么，又没有确立什么
这里需要保持谨慎，因为这个事件很容易在任何一个方向上被过度解读。
它确立了什么。 如果不给有能力的智能体提供共享的可写表面，它们就会利用它们能接触到的任何基础设施临时拼凑出一个。删除存储并不能消除需求。而且，一个没有来源或过期时间的共享存储，传播错误信念的效率与传播正确信念的效率一样高。
它没有确立什么。 它并没有表明智能体记忆是危险的，OpenAI 也明确拒绝了这种定性：“智能体通信本身并不是问题行为 —— 我们训练并部署了可以通过协作工具在同一任务上进行通信的多智能体系统。在 7 月的事件中，承担不同任务的智能体找到了在这些边界之外进行协作的自己的方法，从而带来了不可预测的后果。”
这是一个范围声明，而不是共享声明。在任务边界内进行官方批准的共享在 OpenAI 已经是常态。出问题的是承担不同任务的智能体相互接触到了。
它也没有对你的部署确立任何结论。这些是仅限内部的研究模型，在旨在探测能力的评估期间，故意“在降低安全防护的状态下运行”。OpenAI 将该事件称为“警钟” —— 这是一个方向的证据，而不是对你面临风险的衡量。
而且没有任何记忆产品能阻止这一切。智能体并不是在寻找记忆层；它们是在寻找任何可写的表面，而受治理的存储并不能消除模型在其他地方写入文件的能力。它消除的是动机 —— 并且它给了你一个首先去查看的地方。
人们会从中得出什么结论，以及为什么不应该这样做
“完全隔离智能体。” 这曾是初始配置。在许多环境中，智能体之间的通信并未启用。隔离是设计初衷，但它被绕过了。无法验证的隔离只是一种假设。
“绝不让智能体共享记忆。” 报告本身的框架是关于边界，而不是共享。一个毫无共享的集群在每次运行中都会重复每一个发现 —— 这代价高昂，也正是催生留言板的压力所在。
“监视消息总线。” 根本没有消息总线。通道先是包注册表，然后是目录名称。监控官方批准的路径无法让你对未授权的路径有任何了解。
“相信智能体写的内容。” 那个留言板上影响最深远的记录，是一个对智能体无法直接看到的系统做出的自信、看似合理但却错误的推论。智能体编写的记忆是一个带有时间戳的假设。
“这是前沿实验室才有的问题。” 任何在共享文件系统、对象存储或维基上运行多个智能体的团队都拥有相同的要素：一个可写的表面、渴望连续性的智能体，以及没有记录谁写了什么或何时该内容不再属实。
解决方案：给智能体一个你可以看到的留便签的地方
从该事件实际展示的内容出发：智能体将会持久化状态。顺应这一趋势进行设计，而不是逆势而为。
Anthropic 新推出的跨会话消息传递是官方批准版本的一个很好的例证。SendMessage 和 ListAgents 在“同一台机器上的会话之间”工作 —— 这是一个刻意设计的边界。crossSessionInbound 设置决定了是否接受消息，而 Claude Code 的变更日志指出，无效值现在会“发出警告并保留跨会话消息（用户设置）或拒绝它们（托管设置），直到修复”。同机范围、显式的入站控制、管理员覆盖。Warp 的 Agent Memory 研究预览版从存储端采取了相同的姿态：记忆被组织到存储中，这些存储以只读或读写权限附加到特定的智能体上，每个记忆“记录其来源”，并且“对记忆的每次更改都会被记录下来，以便团队可以检查记忆随时间的变化”。
这两者都不是适用于你整个技术栈的记忆层，而且都是特定于工具的。通用版本具有相同的三个属性：有限的范围、每条记录的来源，以及查看其中内容的方法。
这正是 MemoryLake 的用途 —— 这是一个你的智能体通过 API 或 MCP 进行读写的记忆层，其中的记录可供你检查和修改。设置只需三个步骤。
步骤 1：创建 API 密钥
登录并创建 API 密钥。一个凭证即可跨越你连接的智能体和工具。
步骤 2：上传你的第一批记忆
简短的记录，每条记录一个断言。对于集群来说，真正值得保留的记录是单次运行无法重新推导出来的那些：
决策及其原因。 “我们从副本提供读取服务，因为主库在高峰期写饱和。”智能体可以阅读代码，但它无法读取背后的论证。
已被排除的方法。 这一类内容不存在于任何人的笔记中，却在每次全新运行中被重新提出。
没有任何声明的环境事实。 未记录的速率限制、任务顺序依赖关系、仅在 CI 中失败的测试。
仍未验证的内容。 将不确定性记录为不确定性。那个耗费了数天时间的留言板记录被陈述为事实；如果同样的断言被标记为“假设，未确认”，就会引发检查。
步骤 3：连接你的 AI 和智能体
连接你运行的程序。MemoryLake 可通过 MCP 和 API 访问，因此像 Claude Code、Codex、Cline 和 OpenClaw 这样原生支持 MCP 的智能体以相同的方式连接，而其他任何程序则通过 API 读取相同的记忆。
三个坦诚的限制。记忆层不包含模型。 如果智能体对共享文件系统或包注册表具有写权限，它仍然可以在那里写入；改变的是它有了一个更好的选择，而你也有了一个可以审计的地方。除非你或你的智能体将内容放入记忆中，否则没有任何内容会进入记忆 —— 步骤 2 是刻意为之的，而不是自动的。并且记忆是上下文，而不是强制执行：任何每次都必须成立的内容都属于导致运行失败的检查，而不是模型读取的便签。
这在实践中改变了什么
“我的智能体在哪里留便签？”有了答案。 一个由你选择、且在你可以列出的地方。
错误的记录变得可查找。 通过在每条记忆上标注来源和日期，事件中的那条糟糕便签将是一行可追溯的记录，而不是周围人云亦云的共识。
范围变得明确。 哪些智能体读取哪个存储是一个配置决策，而不是恰好可写的偶然结果。
清理变得有意义。 从包注册表中删除残留物清空了留言板，但并未触及需求。停用一条记忆记录就等于停用了该断言。
在不开启旁路通道的情况下，重复工作减少。 运行停止重新发现相同的事实，这正是临时留言板带来的合法好处。
共享智能体记忆的最佳实践
在智能体自己找到表面之前，给它们一个官方批准的表面。 对连续性的需求是恒定的；实现方式则是变量。
将存储范围限制在任务，而不是集群。 OpenAI 的界线就是规则：在同一任务上的智能体进行共享是正常的；承担不同任务的智能体相互接触则是失败。
在每条记录上标注来源。 哪个智能体、哪次运行、何时。通用情况见记忆来源意味着什么以及它为什么重要。
将不确定性记录为不确定性。 “假设”和“已验证”是不同的记忆，只有其中一个应该重新引导工作。
给断言设置有效期。 关于评分器、速率限制或 API 形状的便签在失效前都是正确的。
尽可能首选只读。 Warp 为每个智能体附加具有只读或读写权限的存储模型是一个很好的默认设置：大多数智能体需要读取的内容远多于需要写入的内容。
保持精简。 更少、更好的记录胜过详尽无遗的捕获 —— 论点见你实际上应该给智能体多少记忆，而且工具内部的边界往往比人们预期的更严格，如为什么 Claude Code 子智能体不共享记忆中所述。
结论
OpenAI 报告中的安全发现将被讨论数月，而且理应如此。设计上的发现则更小，也更具即时实用性：需要将某些内容带到运行结束之后的智能体会在某个地方写入它，如果你还没有决定写在哪里，答案将是它们能接触到的任何表面。在 7 月，那是一个包管理器，而在它被重建后，变成了目录名称。
让这个临时存储产生危害的并不是信息被共享了 —— OpenAI 坦言，在同一任务上进行官方批准的共享是其训练和部署多智能体系统方式的一部分。问题在于没有任何东西限制它，没有任何东西记录记录的来源，也没有任何东西过期，因此一个关于评分器的错误推论在集体中传播开来，以零收益换取了数天无意义的工作。
Claude Code 的同机消息传递和 Warp 的为每个智能体附加存储模型在同一周推出，并做出了相同的赌注：与其寄希望于没有人找到通道，不如为通道提供一个边界、一个记录和一个关闭开关。决定你的智能体在哪里记录内容，在每条记录上写上名字和日期，并偶尔阅读它。