删掉那句话，85% 的秘密还能拼回来：AI 记忆的删除卡在哪一步
香港科技大学（广州）等团队的评测显示，删掉直接说出秘密的那句话后，85%—99% 的秘密仍能从日常记录里被推导回来；本文拆开这条证据链、法律对「删不干净」的要求，以及把明文挡在进入之前的那条路。
10 月 26 日，几家中文科技媒体转载了同一份评测结果，问题很直接：删了聊天记录，AI 就真能忘掉吗？
评测由香港科技大学（广州）、中国科学技术大学和香港科技大学的团队完成，基准叫 MemCut，论文 10 月 15 日上传。2
剩下的是证据链
他们设计了 15 个跨越 1 到 3 个月的长场景，43,402 轮对话，埋进去 456 个秘密。1
每个秘密除了那句直接点明的披露，还散着平均 8.1 条隐式证据，分布在 8 个不同会话里。1 订票记录、办公地址、日程安排，单看都没有泄密风险。
只有 1.8% 的隐式证据和披露落在同一个会话。1 删掉那一句，删掉的是链条上最显眼的一节。
越清理，越看不见
研究团队接着模拟更用力的一轮：让大模型挑出相关记录，再删 10 轮。
跨 5 种记忆架构、4 个模型共 20 种组合，残余恢复率仍停在 39%—76%。2
清理越深入，剩下的证据越不容易被常规提问命中。20 种配置里有 14 种，底层还能推导出来的秘密，超过一半落在问不出来的地方。2
最难擦的是关系链，平均残余恢复率 71.8%。2 删除请求说的是「忘掉这家公司属于 CFO 的妻子」，证据却是签约记录、法定代表人、结婚纪念日，措辞几乎不重叠。
瓶颈卡在候选覆盖：语义检索够不着那些措辞不同、逻辑相关的证据。2
系统当场答不出，和底层真的没有，是两件事。
法律问的是同一个问题
《个人信息保护法》第四十七条列了五种应当删除的情形。3
这一条接着写：保存期限未届满，或者删除从技术上难以实现的，处理者应当停止除存储和采取必要的安全保护措施之外的处理。3
技术上的「删不掉」因此有了明确后果：删不干净，处理者就要停止使用，只留存储与必要的安全保护措施。
对组织来说，「删干净」这项义务的落点在数据形态上。事后清理要跟一条由日常记录拼成的推导路径赛跑，越用力，越容易留下看不见的残留。
把明文挡在进入之前
墨镜熊（荆华密算）把加密放在输入这一端。客户端先完成加密，验证远端 TEE（可信执行环境）的身份与代码度量，再建立会话密钥。4
推理只在 TEE 内解密完成，平台与模型访问不到明文。
首页把普通 AI 与加密 AI 按输入、传输、存储、计算、结果、可验证性并排成六段。四款密态模型同列一页：DeepSeek V4.1 Flash、DeepSeek V4 Pro Preview、Kimi K2.6、GLM5.2。4
同一页也写明边界：元数据仍会泄露，客户端默认可信，提问记录可以按手机号关联。4 边界写清了，才看得清哪一段被解决了。
存储里没有可读的原文，删除请求的处理对象就从一条拼得回来的证据链，变成一串密文。
入口
高敏感场景的组织不必在公域 AI 上反复清理，可以从数据形态上换一条路。
References
- 1删了聊天记录，AI就真能忘掉你的秘密吗？港科广、中科大等推出 MEMCUT
k.sina.com.cn
- 2
- 3中华人民共和国个人信息保护法
npc.gov.cn
- 4墨镜熊官网首页：普通AI与加密AI对照
mojingxiong.com
- 5墨镜熊关于页：密态链路与核心能力
mojingxiong.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.