AIOS 的内核管理共享内存：面向系统级个性化的新抽象

多智能体里，一个智能体学到的用户上下文到不了其他智能体，检索、隐私和注入又各自实现。

• 场景：作者认为系统要记住偏好、当前工作和历史交互，回复才会更相关。不同智能体分别学到稳定偏好、当前任务或直接答复；这些信息若互相隔离，整体行为就无法连贯（Section 1）。
• 现有做法：Figure 1a 的 agent-managed memory 由每个智能体自行检索、过滤和注入，隐私靠各自约定。作者认为这容易在 Section 3.3 的方式上出错；已有记忆系统多把控制留在单智能体或应用层。
• 设计选择：作者把写顺序、隐私执行、检索、排序和注入收进独立于任一智能体的 agent-system kernel。智能体只写带标签的结构化记忆。
• 本文提出的系统：该抽象名为 kernel-managed shared memory，实现在 AIOS 上。作者称抽象本身不绑定 AIOS。对照包括无内核编排的 Mem0、标准检索增强注入，以及未过滤的全量拼接。
• 可见性对手：附录 A.2 考虑一个被攻破、有缺陷或恶意的智能体，想读同一用户下其他智能体的 private 记忆，或其他用户的任何记忆。可见性在内核的检索路径上检查一次。作者写明这只覆盖可见性、不覆盖完整性，并且以身份解析正确为前提。

Related Work 按记忆系统、多智能体共享、个性化路径和 OS 式运行时分组。基线放在实验部分，用来分开“有没有上下文”和“有没有内核编排”。

单智能体与应用层记忆

• 延长上下文之外的持久化：MemoryBank（Zhong et al., 2024）、MemGPT（Packer et al., 2023）、LongMem（Wang et al., 2023）、ReadAgent（Lee et al., 2024）把记忆控制放在单个智能体或模型包装里。
• 结构和适应性：Mem0（Chhikara et al., 2025）、Zep（Rasmussen et al., 2025）、LangMem（LangChain Team, 2025）、A-MEM（Xu et al., 2025）改进记忆结构和适应性。作者指出这些系统里记忆仍是应用层组件，本文则把访问、过滤、格式化和注入做成跨智能体的内核操作。

多智能体共享与治理

• 协调框架：AutoGen（Wu et al., 2023）、CAMEL（Li et al., 2023）、MetaGPT（Hong et al., 2024）、AgentVerse（Chen et al., 2023）侧重协调和角色分工，共享状态靠消息传递或工作流上下文，个性化通常按智能体重建。
• 跨智能体治理：Collaborative Memory（Rezazadeh et al., 2025）用带来源标签的二部图做访问控制；SSGM（Lam et al., 2026）用写校验和读过滤门应对漂移；Yang et al.（2026）报告只靠良性交互也可能出现跨用户泄漏。作者称自己的可见性规则和写序屏障针对同一类失败，用的是逐条静态元数据和一个序号屏障。

个性化与 OS 式运行时

• 单路径个性化：Lewis et al.（2020）、Salemi et al.（2024a,b）、Kumar et al.（2024）、Zhang et al.（2024）、Liu et al.（2025）、Tan and Jiang（2023）把个性化写成检索、提示、微调或用户建模，并假设单一应用或推理路径。作者指出它们没有处理多智能体中哪些事实对哪个智能体可见、何时检索、如何注入。
• 运行时基础设施：AIOS（Mei et al., 2024）把调度和记忆管理等与智能体应用分开；OS-Copilot（Wu et al., 2024）、SWE-agent（Yang et al., 2024）、OpenHands（Wang et al., 2024）强调运行时；MemOS（Li et al., 2025）主张记忆应当可调度。作者认为现有基础设施还没有把共享个性化记忆做成智能体获取用户状态所经过的中心内核服务。

基线方法

• 四个条件：naive_concat 把合成 profile 与 task 全文拼进提示，不做检索和过滤；vanilla_rag 把这些上下文分块并用嵌入检索取 top-k；mem0_default 用 Mem0、配置为仅 private，且没有内核编排、写顺序或跨智能体共享；kernel_shared 为本文方法（Table 1）。评测是合成 profile、合成任务上下文和欠指定追问，论文没有使用带名称的公开基准。作者用同一底层提供者比较 kernel_shared 与 mem0_default，用来分离写顺序、身份解析和隐私执行。

作者把本文放在系统级策略下的统一用户上下文：多个智能体写入并消费它，访问控制不留在应用层。

kernel-managed shared memory 由专门智能体写入结构化记忆，由 agent-system kernel 完成身份解析、写顺序、检索、隐私过滤、排序和提示注入。实现在 AIOS 上；作者称任何有共享记忆后端和受控提示构造路径的多智能体运行时都可以采用同一设计。只在推理时运行，不重新训练。

问题设定与记忆模型

• 形式：智能体集合为 A，记忆库为 M。查询 q=(ai, u, x)，ai 是请求智能体，u 是用户标识，x 是输入提示。记忆条目 m=(u, o, t, s, c)，依次为用户、拥有者、类型、共享策略和内容。类型包括 profile、task_context、conversation；策略为 private 或 shared。内核输出 x′=K(ai, u, x)。
• 身份解析：作者称智能体没有独立于内核的一致用户身份；若用请求智能体自己的标识代替 u，并发试验会出现跨用户污染。优先级是：请求上附着的标识、最近注册的会话标识、曾出现标识的回退登记、最后才是请求智能体自己的标识。该顺序在内核边界统一执行。作者称开发中遇到过这类错误，并指向 Section 4；实验节没有单独列出案例。

五步路径与可见性

• 角色分工：Figure 2 中 ProfileAgent 与 TaskAgent 写记忆。AssistantAgent 不查询记忆后端，也不自己构造个性化提示；个性化上下文只从内核管理的提示路径进入。
• 五步：对该用户执行先写后读；R=search(M, u, x)；按可见性过滤；按语义相关性和 token 预算排序并截断；再执行 x′=inject(x, Rk)。作者把最后一步放在系统调用路径上。
• 可见性：每条记忆带 owner_agent、user_id、memory_type、sharing_policy，拥有者与用户标识互相独立。式（1）把 visible(m, a_i) 定义为：拥有者就是请求智能体，或策略为 shared 时为真，否则为假。策略缺失、损坏或写明 private 时都按 private 处理。
• 安全性质与限制：式（2）要求，他人拥有且策略为 private 的记忆，在任何执行历史上对请求者都不可见；作者称这是只依赖元数据的安全性质。附录 A.2 写明两点限制：内核不管完整性或来源，恶意 ProfileAgent 仍可改写 AssistantAgent 对用户的看法；若身份解析落到错误的 user_id，可见性会在错误分区上照常执行。

写屏障

• 竞争：ProfileAgent、TaskAgent 的写入与 AssistantAgent 的检索异步。检索若发生在写入尚未进入持久索引之前，个性化会变差，且没有可见错误。
• 序号屏障：写在被接受时获得该 user_id 上的单调序号。检索记下当时的最高序号，并阻塞到不超过该快照的写都已结束；默认超时 5000 ms，之后 fail-open。式（3）只保证看到序号不超过快照的该用户写，或者超时；作者称它不单独保证范围和格式正确。失败的写仍会 release，避免检索一直等待。设计理由在附录 A.7：停滞的写损害的是个性化是否完整，助手仍可用部分上下文回答。
• 和可见性的差别：作者称可见性不会 fail-open；屏障超时则允许带着部分上下文继续。该等待按单个 user_id 计算，上界与写者数量有关，而不是记忆库大小。

表示、角色与调用面

• 格式：作者称早期实验中原始 JSON 使较小本地模型难以稳定使用。内核把 profile 和 task 渲染成自然语言再注入，结构化形式仍用于检索和审计。主实验配置为相关性阈值 0.3、每次最多 10 条、记忆 token 预算 2000、屏障超时 5000 ms（Section 4.2）。
• 三个智能体：ProfileAgent 抽取稳定属性，包括偏好、工具、语言和回复风格。TaskAgent 抽取短期上下文，包括目标、阻碍和下一步。AssistantAgent 只根据内核注入的上下文生成面向用户的回复。
• 模块：Table 7 列出 MemoryManager、Mem0Provider、ContextInjector、MemoryWriteBarrier、MemoryFormatter、ConversationExtractor。智能体不直接调用 Mem0Provider 或 MemoryWriteBarrier。附录 A.9 分两段取记忆：先取本智能体范围并推断 user_id，再取其他智能体的 shared 记忆；本地没有用户标识时，回退到已知用户的全局登记。

实验设置

• 模型与方法：助手模型为 GPT-4o、Llama-3.1:8B、Qwen-2.5:7B。方法为 kernel_shared、naive_concat、vanilla_rag、mem0_default（Table 1）。作者把 naive_concat 称为可用上下文的上界，并写明它不是回答质量的上界。
• 试验：12 个条件各 150 trials，共 1,800。每次生成合成用户 profile、合成任务上下文和故意欠指定的追问，文中例子是询问下一步该关注什么。作者希望个性化内容来自注入记忆，而不是来自问句本身。
• 评审：唯一自动评审是 GPT-5.4，与三个助手都不同。作者用它避免 LLM-as-judge 的自我偏好。三个 1–5 维度为 Profile Usage、Task Usage、Integration，后者指 profile 与 task 是否被连贯地一起使用。
• 内核配置：auto_extract 与 auto_inject 为 true，相关性阈值 0.3，每次最多 10 条，token 预算 2000，写屏障开启且超时 5000 ms。
• 检验：kernel 对 naive 的九组比较使用 Welch t、Mann–Whitney U 和 bootstrap 95% 区间，每组 n=150（Table 4、Figure 3）。论文未报告 vanilla_rag 的 k，也未报告检索用的 embedding 模型。
• 人工子集：30 个 GPT-4o trial，每种方法 6 条唯一条目，共 24 条，另加 6 条重复。一名评分者只评 Integration，并且不知道条件和自动分数（附录 A.1）。

主结果

下表来自 Table 2，单位为均值±标准差，评审为 GPT-5.4，每格 150 trials。省略三个模型的 vanilla_rag，以及 Qwen-2.5:7B 的 mem0_default。

表格较宽，可左右滑动

模型	方法	Profile	Task	Integration	延迟(s)
GPT-4o	kernel_shared	4.69±0.50	4.99±0.08	4.61±0.52	7.5
GPT-4o	naive_concat	4.61±0.67	4.93±0.25	4.50±0.63	19.2
GPT-4o	mem0_default	1.05±0.21	1.03±0.16	1.00±0.00	3.9
Llama-3.1:8B	kernel_shared	3.87±0.83	4.33±0.75	3.63±0.80	21.7
Llama-3.1:8B	naive_concat	4.03±0.74	4.54±0.50	3.93±0.65	25.5
Llama-3.1:8B	mem0_default	1.07±0.25	1.31±0.47	1.04±0.20	10.5
Qwen-2.5:7B	kernel_shared	3.63±1.09	4.40±0.49	3.58±0.94	26.3
Qwen-2.5:7B	naive_concat	3.71±1.17	4.43±0.54	3.61±0.94	36.3

• 省略行：Qwen-2.5:7B 的 mem0_default 为 Profile 1.24±0.43、Task 1.60±0.51、Integration 1.19±0.39、延迟 26.9s。vanilla_rag 的 Profile 在 GPT-4o、Llama-3.1:8B、Qwen-2.5:7B 上为 1.84、1.91、1.84，Task 为 3.84、3.78、3.84（Table 2）。
• 相对 Mem0 与 RAG：作者报告 kernel 对 vanilla_rag 和 mem0_default 在三个模型和三个维度上均有 p<1e-18，rank-biserial 为 0.44–1.00。摘要称相对 Mem0 的个性化分数提高 2.4–4.0 分（5 分制）。作者称 RAG 的 Profile 不随模型能力变化，是因为追问更接近任务内容，检索丢掉 profile 块；并称 mem0 接近量表底部，而两者共用提供者，所以差距来自写顺序和身份解析。
• 相对全量拼接与延迟：作者称 kernel 在两个模型上与 naive_concat 相当，在第三个模型上有依模型而异的差距。分维度检验见 Table 4。作者写端到端延迟降幅为 15–61%，并称该延迟结果不依赖于上面这场质量比较的胜负（Section 4.5）。

kernel 与全量拼接的检验

• 测了什么：Table 4 给出九组 kernel_shared 减 naive_concat 的均值差，n=150。作者把 Welch t 与 Mann–Whitney U 都 p<0.05 的比较标出。Figure 3 的图注称九个 95% bootstrap 区间中有六个跨过 0；图例区分两种检验都 p<0.05 与并非如此。
• 结果：GPT-4o 的 Task 为 +0.060（两种检验 p 都是 0.006，区间 [+0.020, +0.107]）；Profile +0.087 与 Integration +0.113 的区间跨过 0。Qwen 三维为 -0.073、-0.027、-0.027，两种 p 都大于 0.36。Llama 的 Task 为 -0.213（p=0.004 与 0.026），Integration 为 -0.300（p=0.0004 与 0.0001）；Profile -0.153 的 p 为 0.093 与 0.088，区间跨过 0。
• 作者解读：打平的是 GPT-4o 的 Profile 与 Integration，以及 Qwen 的三维；GPT-4o 的 Task 上 kernel 更高。Llama 的 Task 与 Integration 上 kernel 更低，rank-biserial 0.13–0.19。作者称这一缺口不能用规模解释。

人工评分与隐私端点

• 人工：该子集上分数完全相同的占 41.7%，相差不超过 1 分的占 83.3%，MAE 为 0.75，Spearman ρ=0.727（p=5.7×10^-5）。Table 3 只评 Integration，每种方法 N=6：人类均值 mem0 为 1.00、kernel 为 4.17、naive 为 4.17、vanilla_rag 为 3.67；同一批上自动评审为 1.00、4.50、4.67、2.17。6 对重复里 5 对分数相同，六对绝对差均值 0.17。作者认为自动评审少给了 vanilla_rag 分数，而没有多给 kernel，并认为这与 RAG 丢掉 profile 的情形相符。
• 隐私端点：全私有端点就是主试验中的 mem0_default，三模型 n=450，可检索的跨智能体暴露为 0/450，功能性暴露也是 0/450。其中 1 个 trial 在检索到 0 条记忆时 Task Usage 仍为 3/5；作者手工核对称，评审把泛泛的澄清语句算进了分数，并称这不是泄漏。全共享端点 kernel_shared 同样 n=450，共检索 1,798 条，其中没有默认 private、由 ConversationExtractor 写入的 conversation 类型。作者称共享策略按条目生效，而不是按写者生效（附录 A.2、A.6）。
• 作者标出的未做检查：没有对中间共享配置做有设计的扫描，也没有对抗查询；身份解析回退链没有对着对抗智能体评估（附录 A.2）。

延迟与输出长度

• 词数：Table 5 中 GPT-4o 的 kernel 为 404.7 词、naive 为 563.8 词，差 -159.1（Welch p<10^-6）；Qwen 为 218.7 对 301.8，差 -83.0（p<10^-4）；Llama 为 202.4 对 193.8，差 +8.6（p=0.271）。各条件内词数与延迟的 r 为 0.52–0.86，均 p<10^-11。表注中的 kernel/naive 相关为：GPT-4o 0.66/0.59，Llama 0.84/0.52，Qwen 0.86/0.83。
• 作者解读：GPT-4o 与 Qwen 上 naive 的输出更长，作者称这解释延迟差距的一部分。Llama 的词数差未达到两种条件下的差异标准（p=0.271），但作者称 kernel 仍快 15%，并称这指向输入侧节省。作者认为未过滤上下文可能引出更长回答，并写明没有专门实验检验，只是可能机制。mem0 未进入 Table 5；作者称其输出短、延迟低，是因为几乎没有可注入内容。Table 2 里 mem0 延迟为 3.9s、10.5s、26.9s。

其他消融与分析

• Table 6（Qwen-2.5:7B，30-trial pilot，Phase 2 共享减 Phase 1 私有）：原始 JSON 且仅 LLM 评审时，Profile/Task/Integration 为 -0.73/-1.47/-0.77；加上自然语言格式化后为 -0.10/-0.57/-0.43；再加上明确系统提示后为 -0.10/-0.23/-0.10；改用 HybridJudge 后为 +1.37/+1.27/+0.87。作者称该 pilot 早于主结果核查，对中心结论没有证据权重。
• 正文称写屏障的独立经验贡献见附录 A.5；Table 6 没有单独的屏障开关差值。
• 式（4）把早期分数定义成关键词分与 LLM 分的平均，只用于附录 A.10 的 pilot。主结果的评审是 GPT-5.4，不是这个平均分。
• 附录 A.7：作者未在更大记忆库规模上评估屏障。

作者指出的局限与后续方向

• Llama 上的差距：相对 naive_concat，Llama-3.1:8B 的缺口不能用规模解释，作者留给后续工作（Section 5）。
• 完整性：内核保证可见性，不保证完整性或来源；恶意 ProfileAgent 仍可以污染 AssistantAgent 对用户的看法。作者把这称为该保护的具体限制（附录 A.2）。
• 对抗性身份解析：可见性以已经解析出的用户身份为前提。作者未评估回退链面对抢先注册会话的对抗智能体，并称那样会在错误分区上执行访问控制（附录 A.2）。
• 共享配置与对抗查询：作者未对中间共享配置做有设计的扫描，也未做对抗查询，并把两者都标为未来工作（附录 A.2）。
• 输出长度的读法：对 GPT-4o 与 Qwen，“未过滤上下文引出更长回答”只是可能机制。作者写明没有专门实验，留待以后（附录 A.4）。
• 记忆库规模与评分者：写屏障未在更大记忆库上评估（附录 A.7）。人工校验只用一名评分者，作者注明因此不能计算 Krippendorff’s α 这类评分者间信度（附录 A.1）。

实验覆盖范围

• 主实验：助手模型为 GPT-4o、Llama-3.1:8B、Qwen-2.5:7B，共 3 个；4 种方法各 150 trials，合计 1,800。评审为 GPT-5.4，指标是 Profile、Task、Integration 的 1–5 分，以及端到端延迟（Section 4.2，Table 2）。
• 对照与检验：基线为 naive_concat、vanilla_rag、mem0_default。kernel 与 mem0 共用底层提供者，mem0 配置为仅 private（Table 1）。九组 kernel 对 naive 的比较使用 Welch t、Mann–Whitney U 和 bootstrap 区间（Table 4）。
• 人工与隐私计数：人工子集为 30 个 GPT-4o trial，含 24 条唯一条目和 6 条重复，一名评分者，只评 Integration，每种方法 N=6（附录 A.1，Table 3）。隐私计数用主试验的两端点：全私有 n=450，全共享 n=450、共 1,798 条（附录 A.2）。
• 任务与参数：每次试验是合成 profile、合成 task context 和欠指定追问。运行参数为相关性阈值 0.3、最多 10 条、token 预算 2000、屏障 5000 ms（Section 4.2）。
• 论文未报告：vanilla_rag 的具体 top-k、检索 embedding 模型的名称，以及按次输入 token 数和推理费用。摘要写到 token 用量和费用下降；附录 A.4 量化的是输出词数，以及词数和延迟的相关。

kernel-managed shared memory 把多智能体的检索、隐私和注入收进 agent-system kernel，并在 AIOS 上与三种替代方案比较。

• 问题：偏好、任务和对话若留在各自智能体里，其他智能体用不到，隐私也靠约定。
• 做法：ProfileAgent 与 TaskAgent 写带类型和 private 或 shared 的记忆。内核解析身份、等待写屏障、按式（1）过滤，并做自然语言注入。AssistantAgent 不检索。损坏或缺失的策略视为 private；超时默认 5000 ms，之后 fail-open。
• 主结果：每条件 150 次，由 GPT-5.4 打 1–5 分。GPT-4o 上 kernel 的 Profile、Task、Integration 为 4.69、4.99、4.61，mem0 为 1.05、1.03、1.00（Table 2）。作者报告对 Mem0 与 vanilla_rag 的比较均有 p<1e-18。vanilla_rag 的 Profile 在三个模型上为 1.84、1.91、1.84。
• 对照全量拼接：Table 4 里，GPT-4o 与 Qwen 的多数区间跨过 0；GPT-4o 的 Task 差为 +0.060（两种检验 p=0.006）。Llama 的 Task 与 Integration 差为 -0.213 与 -0.300。延迟降幅作者写为 15–61%。
• 隐私与人工：全私有暴露为 0/450。全共享的 1,798 条中没有默认 private 的 conversation。30 个 GPT-4o trial 上，人类给 kernel 与 naive 的 Integration 都是 4.17（各 6 条），与 GPT-5.4 的 Spearman ρ 为 0.727。
• 作者结论：作者称集中到内核之后，能拿到无约束上下文的大部分个性化收益，并降低相对全量拼接的延迟。摘要还写到 token 与费用下降，正文给出的是延迟和输出词数。Llama 上的缺口留给后续。可见性不包含完整性，身份解析也没有做对抗评估。