記憶污染與三區治理：來源、候選與接受知識

系列：可繼承的認知：從自我解構到遞歸生成式記憶系統（第 8 篇）
作者：Neo.K
研究協作：Aletheia（阿萊）
版本：v1.0
日期：2026-07-30
文章類型：命題猜想論文／知識治理論文／GCMS 記憶污染防護架構論文

摘要

當知識系統只負責保存外部文件時，錯誤通常表現為資料品質問題；當系統開始摘要、重建、生成、組合、自我反思並把結果寫回長期記憶時，錯誤便會轉化為更危險的「記憶污染」。污染不一定意味著某一段內容完全虛假。它也可能是來源角色被誤標、候選推論被當成既有事實、舊版本覆蓋新版本、局部事件被過度概括、模型生成內容在多輪引用後失去生成標記，或外部惡意文件藉由高相關性進入檢索與決策鏈。人類記憶的來源監測研究早已表明，記得一項內容與正確判斷其來源是不同問題；近年的 RAG 知識庫投毒、長期 Agent 記憶攻擊與遞歸合成資料訓練研究，則把同一問題推進到人工智能知識系統：錯誤一旦獲得高檢索權重、被反覆重述或進入下一輪訓練與寫回，便可能從局部偏差變成持久結構。

本文提出 GCMS 的三區記憶治理架構：

\mathcal M = \mathcal M_{\mathrm{source}} \cup \mathcal M_{\mathrm{candidate}} \cup \mathcal M_{\mathrm{accepted}}.

其中，來源區保存「某一內容由何者、在何時、以何版本被觀測或輸入」；候選區保存系統生成、組合、推論、修訂與待驗證結果；接受區保存通過明確驗證程序、可以在指定範圍內被當成可依賴知識使用的內容。三區的差異不是資料夾位置，而是認知角色、證據義務、可調用權限、寫回規則與錯誤責任的差異。

本文強調：

\boxed{ \text{來源} \neq \text{真理} }

來源區只保證來源與版本可追溯，不保證內容必然正確；接受區也不等於永恆真理，而是指內容在既定驗證標準、時間與應用範圍內獲得可撤銷的接受狀態。候選區則不是垃圾桶，而是允許系統探索、發散與形成新知識，同時防止未驗證結果污染正式記憶的必要緩衝層。

本文建立知識物件的型別化表示、三區狀態機、來源證據閉包、污染風險函數、污染傳播模型、寫回閘門、角色感知檢索與可撤銷接受機制，並提出「來源角色不可偽造命題」、「候選隔離降污命題」、「遞歸污染放大命題」、「證據閉包命題」、「接受可撤銷命題」、「角色感知檢索優勢猜想」與「矛盾保存命題」。本文亦提出可否證實驗：比較單池記憶、來源／生成雙區、三區治理，以及三區加來源溯源與污染標記四種系統，在普通錯誤、版本衝突、對抗性投毒、長期遞歸寫回與多智能體轉交情境下的錯誤接受率、候選洩漏率、污染放大率、來源歸因率與回滾成功率。

因此，GCMS 的安全遞歸不應表示為：

\text{生成} \rightarrow \text{直接寫回},

而應表示為：

\boxed{ \text{來源保存} \rightarrow \text{候選形成} \rightarrow \text{獨立驗證} \rightarrow \text{有限接受} \rightarrow \text{持續監測與可撤銷} }

關鍵詞：GCMS、記憶污染、來源監測、資料溯源、候選知識、接受知識、RAG 投毒、Agent memory、模型崩潰、遞歸寫回、知識治理、證據鏈、可撤銷接受

一、問題的提出：當生成結果開始成為下一輪記憶

前七篇依序建立了：

從成果傳遞到生成能力傳遞；
有限認知繼承與外部化邊界；
生成式壓縮記憶；
原文無損軌與語義近無損軌；
區塊、流式、跳躍、發散與集中索引；
重建、生成、組合與跨域再結構化；
自調用記憶與後設控制。

在第七篇之後，GCMS 已具備以下理論能力：

q_t \xrightarrow{\mathrm{SelfInvoke}} \mathcal R_t \xrightarrow{\mathrm{Transform}} \mathcal Y_t \xrightarrow{\mathrm{Verify?}} \mathcal M_{t+1}.

真正的危險集中在最後一個問號：

系統產生的新內容，究竟何時可以成為下一輪正式記憶？

如果系統把所有生成結果直接加入記憶庫，便會出現以下循環：

y_t = G(q_t,\mathcal M_t),

\mathcal M_{t+1} = \mathcal M_t\cup\{y_t\},

y_{t+1} = G(q_{t+1},\mathcal M_{t+1}).

只要 $y_t$ 含有一項錯誤、過度概括、錯誤來源標記或惡意內容，該內容便可能在下一輪被重新檢索、重述、擴展、組合並獲得更高的表面可信度。

於是：

\text{一次生成錯誤} \rightarrow \text{記憶條目} \rightarrow \text{後續證據} \rightarrow \text{反覆引用} \rightarrow \text{結構性污染}.

這與一般回答錯誤不同。

一般回答錯誤的生命週期可能在本輪結束；記憶污染則會改變未來系統能看到什麼、相信什麼、優先檢索什麼，以及如何解釋新資料。

因此，本篇的核心問題不是：

系統如何避免任何錯誤？

而是：

在錯誤不可完全消除的前提下，如何阻止未驗證內容獲得不相稱的認知地位，並確保污染可以被定位、隔離、修正與回滾？

二、什麼是記憶污染？

2.1 操作性定義

令知識物件 $k$ 的實際角色為：

\rho^{\ast}(k) \in \{ \mathrm{source}, \mathrm{candidate}, \mathrm{accepted} \}.

令系統賦予的角色為：

\widehat\rho(k).

若：

\widehat\rho(k) \neq \rho^{\ast}(k),

便發生角色錯標。

但記憶污染不只包含角色錯標。本文將污染定義為：

任一知識物件、關係、版本或生成路徑，因來源遺失、角色混淆、內容變造、過度概括、錯誤接受、未授權寫回或遞歸放大，而使系統未來的檢索、推理、決策或生成，系統性偏離其應有證據狀態的現象。

形式上，若理想記憶狀態為：

\mathcal M_t^{\ast},

實際記憶狀態為：

\widehat{\mathcal M}_t,

且某一偏差：

\Delta_t = D \left( \widehat{\mathcal M}_t, \mathcal M_t^{\ast} \right)

會持續影響未來操作分布：

P(a_{t+1}\mid\widehat{\mathcal M}_t) \neq P(a_{t+1}\mid\mathcal M_t^{\ast}),

則可稱為記憶污染。

2.2 污染不等於單純錯誤

一項錯誤內容若被清楚標記為「未驗證候選」，並且只在探索模式中使用，它雖然不正確，卻未必已污染正式記憶。

相反地，一項內容即使最後證明為真，只要它曾被錯誤標記成原作者原文、偽造來源或繞過權限寫入，也構成治理污染。

因此：

\boxed{ \text{污染} \neq \text{內容為假} }

污染至少包含四個維度：

\mathcal C(k) = \left( C_{\mathrm{truth}}, C_{\mathrm{source}}, C_{\mathrm{role}}, C_{\mathrm{process}} \right).

其中：

$C_{\mathrm{truth}}$ ：內容錯誤；
$C_{\mathrm{source}}$ ：來源或版本錯誤；
$C_{\mathrm{role}}$ ：候選、來源與接受角色混淆；
$C_{\mathrm{process}}$ ：驗證、授權或寫回程序被繞過。

2.3 污染具有時間性

記憶污染不是固定標籤，而是時間狀態。

某一內容在 $t_0$ 時可能是合理接受知識：

\rho_{t_0}(k) = \mathrm{accepted},

但在新證據出現後：

\rho_{t_1}(k) = \mathrm{disputed},

甚至：

\rho_{t_2}(k) = \mathrm{revoked}.

因此，接受區不能是永遠不變的真理區，而必須是可版本化、可重新驗證、可撤銷的治理區。

三、研究背景一：人類記憶中的來源監測與錯誤歸因

3.1 記得內容與記得來源是不同問題

Johnson、Hashtroudi 與 Lindsay 提出的來源監測框架指出，人類通常不會為每一段記憶保存一個絕對來源標籤，而是根據感官細節、情境資訊、語義內容、認知操作痕跡與合理性進行來源判斷。[1]

這意味著：

\text{內容可提取} \not\Rightarrow \text{來源可正確判定}.

一個人可能記得某句話，卻無法確定它來自：

親自觀察；
他人陳述；
自己推論；
夢境或想像；
後來接觸的錯誤資訊。

對 GCMS 而言，這個區分極為重要：

\text{系統能生成某內容} \not\Rightarrow \text{該內容存在於來源文件}.

如果系統只保存語義內容，不保存其產生方式，生成、重建、引用與原文就可能逐步混合。

3.2 記憶再活化可能帶來更新，也可能帶來失真

記憶在提取後可能進入可更新狀態；這使記憶能整合新資訊，也使其更容易受到後來資訊影響。[2][3]

對人工記憶系統而言，類似問題出現在：

重新摘要舊文件；
用新版本覆蓋舊版本；
將模型解釋寫回原始條目；
用後來生成的內容補全早期缺失；
在多輪對話中把推論當成使用者曾明確說過的事。

因此，更新能力本身不是污染；問題在於更新是否保留：

\text{舊版本} + \text{更新活動} + \text{更新者} + \text{差異} + \text{理由}.

3.3 來源警示與辨別程序可以降低錯誤

錯誤資訊研究顯示，適當警示與來源辨別程序可以降低部分錯誤記憶，但不能保證完全消除。[4][5]

這提供一項工程啟示：

系統不能只在資料庫內部保存來源欄位；它還必須在檢索與生成時主動呈現來源角色，使後續推理器真正使用這些差異。

也就是：

\text{有 provenance} \neq \text{使用 provenance}.

四、研究背景二：資料溯源不是附加欄位，而是知識責任結構

4.1 W3C PROV 的基本結構

W3C PROV-DM 與 PROV-O 將溯源表示為實體、活動與代理者之間的關係，用以描述資料由何者產生、經過何種活動、引用哪些前置實體，以及誰對相關活動或實體負有責任。[6][7]

其最小結構可抽象為：

\mathrm{Entity} \xleftarrow{\mathrm{generatedBy}} \mathrm{Activity} \xrightarrow{\mathrm{used}} \mathrm{Entity},

並由：

\mathrm{Agent} \xrightarrow{\mathrm{associatedWith}} \mathrm{Activity}

保存責任與行為關係。

對 GCMS 而言，這意味著每一項衍生知識不應只保存文字內容，而應至少保存：

使用了哪些來源；
經過哪一種生成或驗證活動；
由哪個人、模型或 Agent 執行；
使用哪個模型、提示、工具與版本；
在什麼時間形成；
後來經過哪些修訂與接受程序。

4.2 溯源不等於可信

一份惡意文件也可以具有完整溯源。

因此：

\boxed{ \text{可追溯} \neq \text{可信} }

溯源回答的是：

它從哪裡來？

信任評估回答的是：

我們為什麼應在這個任務中依賴它？

兩者都必要，但不能互相取代。

4.3 溯源的溯源

W3C PROV 也允許 provenance bundle，也就是對溯源紀錄本身進行溯源。[6]

這對多智能體系統非常重要。若某 Agent 聲稱：

此內容經過某驗證器確認。

系統還需要知道：

驗證器是誰；
驗證規則版本為何；
驗證時使用哪些來源；
驗證紀錄是否被修改；
驗證者是否有權做出該接受決定。

因此，GCMS 的證據鏈應形成：

\mathrm{Content} \rightarrow \mathrm{Provenance} \rightarrow \mathrm{ProvenanceOfProvenance}.

五、研究背景三：RAG 與長期 Agent 記憶的污染面

5.1 知識庫成為攻擊面

PoisonedRAG 研究顯示，攻擊者可以藉由向知識庫注入少量特製文本，使檢索系統在目標查詢下優先取回惡意內容，進而誘導生成模型產生攻擊者指定答案。[8]

後續研究更顯示，單一投毒文件亦可能針對複雜、多跳問題建立具有欺騙性的可信鏈。[9]

這表示：

\text{檢索到} \not\Rightarrow \text{應信任}.

高相似度、語義完整、引用眾多與語氣權威，都可能被攻擊者刻意設計。

5.2 程式碼與多模態記憶同樣會被污染

知識庫投毒並不限於一般問答。檢索增強程式碼生成研究顯示，知識庫中的脆弱程式碼範例可以被檢索並傳播至新程式；視覺語言 RAG 亦存在類似攻擊面。[10][11]

因此，GCMS 的來源區不能只記錄「這是外部文件」，還必須記錄功能類型：

\tau(k) \in \{ \text{事實}, \text{程式}, \text{規則}, \text{案例}, \text{假說}, \text{個人偏好}, \text{系統指令}, \text{證據} \}.

因為功能不同的記憶不能被當成同類證據使用。

5.3 長期 Agent 記憶具有持久攻擊面

MemoryGraft 類研究指出，攻擊者可以把惡意「成功經驗」植入 Agent 長期記憶，使 Agent 在日後遇到相似任務時模仿該程序，造成跨會話的持久行為漂移。[12]

這與一次性的提示注入不同：

\text{即時攻擊} \rightarrow \text{本輪影響},

而：

\text{記憶植入} \rightarrow \text{跨輪次影響}.

因此，經驗記憶、程序模板與事實記憶必須具有不同寫回與檢索政策。

5.4 異質記憶混合造成角色污染

2026 年的 MemGuard 工作把穩定使用者事實、事件記憶與行為規則混入同一空間所造成的錯用，稱為異質記憶污染，並提出型別感知的隔離與選擇性組合方法。[13]

這直接支持本文的核心主張：

\boxed{ \text{語義相關} \neq \text{功能相容} }

一段與查詢高度相關的記憶，仍可能因角色錯誤而不應被使用。

六、研究背景四：遞歸生成資料與污染放大

6.1 模型崩潰的遞歸資料問題

Shumailov 等人研究生成模型反覆以先前世代生成資料訓練的情況，顯示遞歸生成資料可能導致分布尾端消失、錯誤累積與整體模型退化。[14]

模型訓練與 GCMS 記憶寫回並不完全相同，但二者共享一個結構：

\text{系統輸出} \rightarrow \text{下一輪輸入}.

若沒有持續保存真實外部來源或高品質錨點，便可能形成：

\mathcal D_{t+1} = (1-\lambda)\mathcal D_{\mathrm{real}} + \lambda\widehat{\mathcal D}_t.

當：

\lambda\rightarrow 1,

系統越來越依賴自己的衍生分布。

6.2 記憶系統中的類模型崩潰

對 GCMS 而言，類似退化可以表現為：

少數高頻觀點持續被摘要，低頻反例逐漸消失；
系統自己的標題與術語逐漸取代原始作者用語；
推論與假說在多輪重述後被當成已知事實；
生成內容因引用次數增加而獲得虛假權威；
不符合既有生成核的新證據被過度降權；
多樣性逐輪下降，最後只剩最容易被系統生成的知識形式。

這可以稱為：

\boxed{ \text{認知分布塌縮} }

6.3 原始來源是遞歸系統的現實錨

因此，原始來源不只用於事後查證，也是維持長期分布多樣性與反例保存的錨點。

若原始來源占可用證據的比例為：

\omega_t,

則長期安全系統需要避免：

\omega_t\rightarrow 0.

這不表示所有回答都只能複製來源，而是表示自主生成不能切斷與來源世界的可逆連結。

七、三區記憶架構

7.1 三區的基本定義

本文定義：

\mathcal M = \mathcal M_S \cup \mathcal M_C \cup \mathcal M_A,

其中：

\mathcal M_S = \mathcal M_{\mathrm{source}},

\mathcal M_C = \mathcal M_{\mathrm{candidate}},

\mathcal M_A = \mathcal M_{\mathrm{accepted}}.

三區不是互斥的「內容真值分類」，而是三種治理角色。

7.2 來源區

來源區保存系統實際觀測到的外部或內部來源，包括：

原始文件；
使用者明確陳述；
感測器資料；
API 回應；
程式執行結果；
網頁快照；
歷史資料庫版本；
已簽章交換包；
人類或其他 Agent 傳入的材料。

來源區保證的是：

\operatorname{Recover}(k)=\text{原始輸入版本},

以及：

\operatorname{Trace}(k) = \text{來源、時間、版本與取得活動}.

來源區不保證：

\operatorname{True}(k)=1.

惡意文件、錯誤論文、過時資料與主觀陳述仍然可以是來源。

7.3 候選區

候選區保存：

系統摘要；
推論；
假說；
組合結果；
新命題；
重建內容；
自我反思；
修訂草稿；
待確認使用者偏好；
待審查關係邊；
待接受的程序模板。

候選區允許：

\text{新穎性} + \text{不確定性} + \text{矛盾} + \text{失敗}.

它的任務不是確保每一項內容正確，而是確保探索結果不會未經審查地獲得正式認知地位。

7.4 接受區

接受區保存已通過指定驗證程序、可在特定範圍內依賴的知識。

每一項接受知識必須具有：

\operatorname{Scope}(k),

\operatorname{Evidence}(k),

\operatorname{Validation}(k),

\operatorname{AcceptedBy}(k),

\operatorname{ReviewAfter}(k).

因此：

\boxed{ \text{接受} \neq \text{永恆真理} }

接受只表示：

依目前證據、規則與權限，系統允許在指定任務中把此內容視為可依賴知識。

八、知識物件的型別化表示

令任一知識物件為：

k_i = \left( \mathrm{id}_i, c_i, \tau_i, \rho_i, \pi_i, \mathcal E_i, q_i, v_i, h_i, a_i, t_i, \ell_i \right),

其中：

$\mathrm{id}_i$ ：永久識別碼；
$c_i$ ：內容；
$\tau_i$ ：功能型別；
$\rho_i$ ：三區角色；
$\pi_i$ ：溯源圖；
$\mathcal E_i$ ：證據集合；
$q_i$ ：品質與信心資訊；
$v_i$ ：版本；
$h_i$ ：內容雜湊；
$a_i$ ：建立、生成、驗證與接受代理者；
$t_i$ ：時間資訊；
$\ell_i$ ：可見性、權限與使用範圍。

8.1 功能型別

\tau_i \in \{ \mathrm{observation}, \mathrm{quotation}, \mathrm{factClaim}, \mathrm{hypothesis}, \mathrm{inference}, \mathrm{procedure}, \mathrm{preference}, \mathrm{policy}, \mathrm{instruction}, \mathrm{counterexample}, \mathrm{summary}, \mathrm{artifact} \}.

8.2 角色與型別分離

同一功能型別可以存在於不同區域。

例如：

一篇論文中的假說是來源區的 hypothesis；
GCMS 自己產生的新假說是候選區的 hypothesis；
經過特定實驗支持的工作假說，可能成為接受區的 hypothesis。

因此：

\tau(k) \neq \rho(k).

8.3 信心不是角色

高信心候選仍然是候選：

q(k)\approx 1 \not\Rightarrow \rho(k)=\mathrm{accepted}.

低信心來源仍然是來源：

q(k)\ll 1 \not\Rightarrow \rho(k)\neq\mathrm{source}.

這避免系統用主觀信心取代來源與驗證程序。

九、三區狀態機

9.1 基本狀態

令治理狀態集合為：

\mathcal S_K = \{ \mathrm{source}, \mathrm{candidate}, \mathrm{accepted}, \mathrm{rejected}, \mathrm{disputed}, \mathrm{superseded}, \mathrm{revoked}, \mathrm{archived} \}.

前三者是主要記憶區；其餘是生命週期狀態。

9.2 合法轉移

合法轉移包括：

\mathrm{externalInput} \xrightarrow{\mathrm{ingest}} \mathrm{source},

\mathrm{source} \xrightarrow{\mathrm{derive}} \mathrm{candidate},

\mathrm{candidate} \xrightarrow{\mathrm{validate}} \mathrm{accepted},

\mathrm{candidate} \xrightarrow{\mathrm{reject}} \mathrm{rejected},

\mathrm{accepted} \xrightarrow{\mathrm{newConflict}} \mathrm{disputed},

\mathrm{accepted} \xrightarrow{\mathrm{newVersion}} \mathrm{superseded},

\mathrm{accepted} \xrightarrow{\mathrm{invalidate}} \mathrm{revoked}.

9.3 禁止轉移

以下轉移原則上禁止：

\mathrm{candidate} \xrightarrow{\mathrm{rename}} \mathrm{source},

\mathrm{candidate} \xrightarrow{\mathrm{confidenceOnly}} \mathrm{accepted},

\mathrm{accepted} \xrightarrow{\mathrm{overwrite}} \mathrm{source}.

生成內容不能透過改名變成來源；高信心不能單獨構成接受；接受內容不能覆蓋其原始來源版本。

9.4 來源更新必須建立新版本

若來源內容 $s_t$ 發生更新，應建立：

s_{t+1},

並保存：

\operatorname{wasRevisionOf}(s_{t+1},s_t),

而不是：

s_t\leftarrow s_{t+1}.

這使系統可以回答：

某結論在當時依據哪一版來源；
新版本修改了什麼；
舊回答是否需要重新驗證；
哪些接受知識已受到版本漂移影響。

十、來源—候選—接受的證據義務

10.1 來源區的義務

來源區必須滿足：

I_S(k) = I_{\mathrm{id}} \wedge I_{\mathrm{hash}} \wedge I_{\mathrm{time}} \wedge I_{\mathrm{origin}} \wedge I_{\mathrm{version}}.

也就是識別碼、內容雜湊、時間、來源位置與版本可追蹤。

10.2 候選區的義務

候選區必須滿足：

I_C(k) = I_{\mathrm{derivedFrom}} \wedge I_{\mathrm{generator}} \wedge I_{\mathrm{uncertainty}} \wedge I_{\mathrm{status}}.

即必須明確記錄：

從哪些來源或接受知識產生；
由哪個模型、Agent 或人形成；
不確定性與未解決衝突；
目前仍為候選。

10.3 接受區的義務

接受區必須滿足：

I_A(k) = I_C(k) \wedge I_{\mathrm{validation}} \wedge I_{\mathrm{scope}} \wedge I_{\mathrm{approver}} \wedge I_{\mathrm{review}}.

其中：

validation：通過哪些檢查；
scope：可在哪些任務與範圍使用；
approver：誰或什麼規則授予接受狀態；
review：何時需要重新檢查。

十一、證據閉包

11.1 定義

對候選知識 $k$ ，其直接證據集合為：

\mathcal E^{(1)}(k).

若其中包含衍生知識，則需要繼續展開：

\mathcal E^{(2)}(k), \mathcal E^{(3)}(k), \ldots

證據閉包定義為：

\operatorname{Cl}_{E}(k) = \bigcup_{d=1}^{D} \mathcal E^{(d)}(k),

直到到達來源區物件、已接受且證據閉包完整的物件，或達到治理深度上限。

11.2 閉包完整性

令證據鏈中的必要節點集合為：

\mathcal N_E(k).

若可解析且未失效的節點為：

\mathcal N_E^{\mathrm{valid}}(k),

則證據閉包完整率為：

\operatorname{EC}(k) = \frac{ \left| \mathcal N_E^{\mathrm{valid}}(k) \right| }{ \left| \mathcal N_E(k) \right| }.

接受知識不應只附一個看似權威的最終引用，而應能追溯到形成該結論所需的證據鏈。

11.3 引用洗白

若候選 $c_1$ 引用來源 $s$ ，而候選 $c_2$ 只引用 $c_1$ ，多輪後系統可能只看到：

c_n \rightarrow c_{n-1} \rightarrow \cdots \rightarrow s.

若中間的推論轉換被忽略，最後內容會看起來像來源直接支持。

因此每一條衍生邊都必須標記：

\operatorname{TransformType} \in \{ \mathrm{quote}, \mathrm{summarize}, \mathrm{infer}, \mathrm{combine}, \mathrm{revise}, \mathrm{generalize}, \mathrm{speculate} \}.

十二、污染傳播模型

12.1 污染質量

令每一知識物件的污染風險為：

c_i \in [0,1].

它可由以下因素構成：

c_i = w_s C_{\mathrm{source}} + w_r C_{\mathrm{role}} + w_e C_{\mathrm{evidence}} + w_v C_{\mathrm{version}} + w_a C_{\mathrm{adversarial}} + w_p C_{\mathrm{process}}.

12.2 關係傳播

若知識 $k_j$ 由 $k_i$ 衍生，污染可能沿邊傳播：

c_j = \sigma \left( \alpha_j + \sum_i w_{ij}c_i - \nu_j \right),

其中：

$w_{ij}$ ： $k_j$ 對 $k_i$ 的依賴強度；
$\alpha_j$ ：新生成過程自身風險；
$\nu_j$ ：驗證、交叉來源與人工審查所降低的風險；
$\sigma$ ：將風險映射到 $[0,1]$ 的函數。

12.3 遞歸放大

若每輪有比例 $\beta$ 的污染內容被重新納入生成，污染近似滿足：

C_{t+1} = \alpha C_t + \beta W_t + \gamma A_t - \delta V_t - \eta R_t,

其中：

$C_t$ ：既有污染；
$W_t$ ：未經閘門的寫回量；
$A_t$ ：外部攻擊或錯誤輸入；
$V_t$ ：有效驗證；
$R_t$ ：回滾、隔離與撤銷；
$\alpha$ ：既有污染在後續輪次的持續與放大係數。

若：

\alpha\geq 1

且：

\delta V_t+\eta R_t < \beta W_t+\gamma A_t,

污染將傾向累積。

十三、十類記憶污染

13.1 來源替代污染

生成摘要覆蓋原始文件，使系統之後只能看到摘要。

13.2 候選洗白污染

候選在多輪重述後失去候選標記，被當成既有知識。

13.3 引用洗白污染

衍生推論被重新包裝成來源直接支持的內容。

13.4 版本滲漏污染

不同版本的定義、數值或規則被混合使用，卻未標示版本差異。

13.5 功能角色污染

事件、偏好、規則、案例與一般事實因語義相似而被當成同類記憶。

13.6 檢索權重污染

錯誤或惡意內容因重複、關鍵詞密度、向量相似度或引用數而獲得不相稱排名。

13.7 矛盾抹平污染

集中或摘要過程只保留主流敘述，刪除反例、不確定性與少數觀點。

13.8 遞歸自證污染

系統使用自己早期生成的內容作為後續生成的「證據」，最後形成閉環。

13.9 權限洗白污染

低權限來源的內容經由高權限 Agent 轉述後，取得原本沒有的可見性或代表權。

13.10 程序模板污染

某次看似成功的行動程序被寫入長期經驗記憶，日後在其他情境被錯誤模仿。

十四、寫回閘門

14.1 寫回不是儲存動作，而是治理決策

令候選為 $y$ ，寫回決策為：

\mathsf{Commit}(y) \in \{ \mathrm{retainCandidate}, \mathrm{accept}, \mathrm{reject}, \mathrm{requestEvidence}, \mathrm{escalate} \}.

14.2 接受分數

定義：

S_A(y) = w_E E(y) + w_P P(y) + w_C C(y) + w_R R(y) + w_T T(y) - w_X X(y) - w_G G(y),

其中：

$E(y)$ ：證據覆蓋；
$P(y)$ ：溯源完整性；
$C(y)$ ：跨來源一致性；
$R(y)$ ：可重現性；
$T(y)$ ：任務適用性；
$X(y)$ ：未解決衝突；
$G(y)$ ：治理與安全風險。

但接受不能只由單一加權分數決定。還需要硬約束：

\operatorname{Accept}(y)=1

當且僅當：

S_A(y)\geq\theta_A,

且：

\operatorname{EC}(y)\geq\theta_E,

\operatorname{Auth}(y)=1,

\operatorname{NoCriticalConflict}(y)=1,

\operatorname{ScopeDefined}(y)=1.

14.3 高風險內容需要雙重確認

對政策、法律、醫療、財務、安全、身份、權限與不可逆行動等高風險內容，可要求：

\operatorname{Approve}_1(y) \wedge \operatorname{Approve}_2(y) = 1.

兩個核准者應具有不同失敗模式，例如：

自動驗證器與人類；
兩個獨立模型；
規則檢查與外部權威資料；
安全審核與領域審核。

十五、角色感知檢索

15.1 預設檢索政策

對一般事實回答，預設候選集合應為：

\mathcal R_q^{\mathrm{default}} \subseteq \mathcal M_S \cup \mathcal M_A.

候選區不應默認作為可陳述事實。

15.2 探索模式

研究、創意、假說與新產品探索可以加入候選區：

\mathcal R_q^{\mathrm{explore}} \subseteq \mathcal M_S \cup \mathcal M_A \cup \mathcal M_C.

但輸出必須保留角色標記：

[SOURCE]
[ACCEPTED]
[CANDIDATE]
[DISPUTED]
[REVOKED]

15.3 排序不能抹除角色

總排序分數可寫成：

S(k\mid q) = S_{\mathrm{relevance}} + S_{\mathrm{evidence}} + S_{\mathrm{recency}} + S_{\mathrm{role}} - S_{\mathrm{risk}}.

但角色分數不能把候選偽裝成接受知識。即使候選排名很高，也必須以候選身分呈現。

15.4 不同任務需要不同角色政策

\pi_{\mathrm{role}} = \Pi \left( q, \mathrm{taskType}, \mathrm{risk}, \mathrm{clearance} \right).

例如：

歷史查證：來源與接受優先；
理論生成：候選可大量參與；
法律決策：只允許特定來源與具時效的接受知識；
腦力激盪：候選可使用，但不得標記為既有事實；
自主寫回：候選可形成，但需進入驗證佇列。

十六、矛盾保存與多版本真值

16.1 矛盾不是應被立即消除的噪音

若兩來源：

s_1\models p,

s_2\models\neg p,

系統不應只保留排名較高的一方。

應保存：

\operatorname{Conflict}(s_1,s_2,p).

16.2 衝突的可能來源

矛盾可能來自：

時間版本差異；
定義不同；
樣本差異；
尺度差異；
領域假設不同；
來源錯誤；
真正尚未解決的爭議；
對抗性操縱。

因此集中算子不應直接執行：

\{p,\neg p\} \mapsto p.

而應先嘗試：

\{p\mid\Gamma_1,\neg p\mid\Gamma_2\}.

16.3 接受區可以包含條件化矛盾

接受知識不一定只有單一命題，也可以是：

\mathrm{Accepted} \left( \text{在條件 }\Gamma_1\text{ 下支持 }p; \text{在條件 }\Gamma_2\text{ 下支持 }\neg p \right).

這比強行選邊更接近真實知識狀態。

十七、接受是可撤銷的

17.1 可撤銷接受

令接受狀態為：

A_t(k) \in \{0,1\}.

新證據到來後：

A_{t+1}(k) = \mathcal U \left( A_t(k), \Delta\mathcal E, \Delta\mathcal V, \Delta\mathcal P \right).

因此：

A_t(k)=1 \not\Rightarrow A_{t+1}(k)=1.

17.2 撤銷不刪除歷史

撤銷應保存：

原接受版本；
當時使用的證據；
核准者；
撤銷理由；
觸發撤銷的新證據；
受影響的下游知識。

17.3 依賴反向追蹤

若：

k_j \operatorname{dependsOn} k_i,

且 $k_i$ 被撤銷，系統應標記：

\operatorname{ReviewRequired}(k_j)=1.

這形成撤銷傳播：

\mathrm{Revoke}(k_i) \rightarrow \operatorname{ImpactGraph}(k_i) \rightarrow \operatorname{Revalidate} \left( \mathcal D^{+}(k_i) \right).

十八、核心命題與猜想

命題一：來源角色不可偽造命題

任何由系統生成、推論、摘要或組合而得的內容，都不能僅因與來源高度相似或被多次引用，而取得來源角色。

形式上：

\operatorname{Generated}(k)=1 \Rightarrow \rho(k)\neq\mathrm{source},

除非 $k$ 是對原始位元或文本的可驗證恢復副本，且仍保留與原來源的同一性或版本關係。

命題二：候選隔離降污命題

在其他條件相同時，將未驗證生成內容隔離於候選區，並禁止其默認進入事實檢索，應降低候選洩漏率與錯誤接受率。

若單池系統為 $S_1$ ，三區系統為 $S_3$ ，則預測：

\operatorname{CLR}(S_3) < \operatorname{CLR}(S_1),

以及：

\operatorname{FAR}(S_3) < \operatorname{FAR}(S_1).

命題三：遞歸污染放大命題

當生成內容可以無標記地作為下一輪證據與寫回來源時，小型初始污染會在多輪遞歸中被放大。

若污染放大率為：

\mathrm{CAF}_t = \frac{C_{t+1}}{C_t},

則缺乏隔離與驗證時，存在任務使：

\mathrm{CAF}_t>1.

命題四：證據閉包命題

接受知識的可信度不能只由最末端引用決定；其證據鏈若無法閉包到可驗證來源或已驗證節點，接受狀態便缺乏充分根據。

因此需要：

\operatorname{EC}(k) \geq \theta_E.

命題五：角色感知檢索優勢猜想

在包含異質記憶角色的長期知識庫中，角色感知檢索相較純語義相似檢索，應降低功能不相容記憶被錯用的比例。

命題六：接受可撤銷命題

任何面向動態世界的接受知識，都必須允許因新證據、版本變化或治理錯誤而被降級、爭議化或撤銷。

不可撤銷接受會把知識治理退化為不可修正的教條寫入。

命題七：矛盾保存命題

在衝突原因未被辨明前，保存帶條件的矛盾，通常比強制合併為單一敘述具有更低的不可逆資訊損失。

命題八：溯源不足命題

完整溯源只能證明形成路徑，不能單獨證明內容可信；可靠治理需要溯源、證據品質、角色型別與驗證程序共同成立。

命題九：高信心非接受命題

模型信心或生成概率不能單獨授予知識接受狀態。

q(k)\geq\theta \not\Rightarrow \rho(k)=\mathrm{accepted}.

命題十：自調用不等於自寫回命題

知識系統可以自主喚起記憶、形成候選與執行驗證，但正式接受與來源寫入必須由獨立治理規則控制。

\boxed{ \mathsf{SelfInvoke} \not\Rightarrow \mathsf{AutoAccept} }

十九、污染評估指標

19.1 來源歸因正確率

\operatorname{SAA} = \frac{ \#\text{來源角色與來源識別正確的輸出} }{ \#\text{需要來源判斷的輸出} }.

19.2 候選洩漏率

\operatorname{CLR} = \frac{ \#\text{未標記候選被當成事實使用} }{ \#\text{被檢索或輸出的候選} }.

19.3 錯誤接受率

\operatorname{FAR} = \frac{ \#\text{錯誤或程序不合格候選被接受} }{ \#\text{全部被接受候選} }.

19.4 錯誤拒絕率

\operatorname{FRR} = \frac{ \#\text{最終可支持候選被拒絕} }{ \#\text{全部可支持候選} }.

19.5 污染放大率

\operatorname{CAF} = \frac{ C_{t+n} }{ C_t }.

19.6 溯源完整率

\operatorname{PC} = \frac{ \#\text{具有完整必要溯源欄位的知識物件} }{ \#\text{全部知識物件} }.

19.7 證據閉包完整率

\operatorname{EC} = \frac{1}{N} \sum_{i=1}^{N} \operatorname{EC}(k_i).

19.8 矛盾保留率

\operatorname{CRR} = \frac{ \#\text{在集中與摘要後仍被保留的有效衝突} }{ \#\text{原始有效衝突} }.

19.9 回滾可恢復率

\operatorname{RR} = \frac{ \#\text{可成功回到污染前一致狀態的事件} }{ \#\text{需要回滾的事件} }.

19.10 角色相容精確率

\operatorname{RCP} = \frac{ \#\text{檢索後功能角色與任務相容的記憶} }{ \#\text{全部被使用記憶} }.

二十、可否證實驗設計

20.1 四種系統

比較：

系統 $S_1$ ：單池記憶

來源、生成、摘要、推論與接受知識共用同一記憶池。

系統 $S_2$ ：來源／生成雙區

來源與生成內容分離，但沒有候選到接受的正式狀態機。

系統 $S_3$ ：三區治理

來源、候選、接受分離，具寫回閘門。

系統 $S_4$ ：三區加完整治理

在 $S_3$ 上增加：

W3C PROV 類溯源；
證據閉包；
角色感知檢索；
污染風險標記；
可撤銷接受；
依賴反向追蹤；
審計與回滾。

20.2 測試情境

建立以下測試：

普通摘要錯誤；
多版本定義衝突；
一項惡意 RAG 文件；
多輪生成寫回；
假說被反覆引用；
使用者偏好與一般規則混淆；
程序模板跨任務誤用；
兩個 Agent 互相引用對方生成內容；
來源撤銷後的下游影響；
權限不足內容經高權限 Agent 轉述。

20.3 主要假設

預測：

\operatorname{FAR}(S_4) < \operatorname{FAR}(S_3) < \operatorname{FAR}(S_2) < \operatorname{FAR}(S_1).

並且：

\operatorname{SAA}(S_4) > \operatorname{SAA}(S_1),

\operatorname{RR}(S_4) > \operatorname{RR}(S_1),

\operatorname{CAF}(S_4) < 1

在治理機制足夠時應成立。

20.4 代價假設

三區治理不會免費。

預期：

C_{\mathrm{latency}}(S_4) > C_{\mathrm{latency}}(S_1),

C_{\mathrm{storage}}(S_4) > C_{\mathrm{storage}}(S_1).

因此研究目標不是證明三區在所有指標上都較好，而是檢驗其是否在可接受成本下顯著降低長期污染。

20.5 否證條件

若實驗顯示：

三區系統的候選洩漏率不低於單池；
溯源與角色標記不能改善來源判斷；
候選隔離造成大量真正知識永久無法使用；
回滾與撤銷機制無法恢復一致狀態；
污染標記在多輪組合後失效；
額外治理成本遠高於風險降低；

則本文的三區治理方案需要修正或被部分否證。

二十一、GCMS 三區治理運行時

21.1 模組架構

未來 GCMS 可包含：

Source Ingestor：來源攝取與不可變版本保存；
Candidate Workspace：生成、組合、推論與失敗紀錄；
Provenance Graph：實體、活動、Agent 與衍生關係；
Evidence Closure Engine：展開證據依賴；
Validation Pipeline：規則、測試、外部查證與人工審查；
Acceptance Gate：授予有限接受狀態；
Role-aware Retriever：依任務選擇可用區域；
Contamination Monitor：污染風險與異常傳播；
Impact Analyzer：撤銷與版本變化的下游影響；
Rollback Manager：快照、事件回放與狀態恢復。

21.2 最小資料結構

knowledge_object:
  id: GCMS-K-000001
  content_hash: sha256:...
  role: candidate
  functional_type: inference
  status: pending_validation
  version: 1
  created_at: 2026-07-30T19:32:00+08:00
  created_by:
    agent_id: agent-research-01
    model: model-version
  derived_from:
    - source_id: SRC-000014
      transform: summarize
    - accepted_id: ACC-000102
      transform: infer
  evidence:
    closure_complete: false
    unresolved_nodes:
      - SRC-000099
  confidence:
    model_score: 0.91
    calibrated_score: 0.68
  conflicts:
    - CONFLICT-0007
  governance:
    visibility: internal
    approval_policy: two_party
    review_after: 2026-10-30

21.3 寫回流程偽程式

function process_candidate(candidate):
    assert candidate.role == "candidate"

    provenance = build_provenance(candidate)
    evidence = compute_evidence_closure(candidate)
    conflicts = detect_conflicts(candidate)
    risk = estimate_contamination_risk(candidate)

    if provenance.invalid:
        return reject("invalid provenance")

    if evidence.incomplete:
        return retain_candidate("more evidence required")

    if conflicts.critical:
        return escalate("critical unresolved conflict")

    if risk > policy.max_risk:
        return quarantine("contamination risk too high")

    validation = run_validation_pipeline(candidate)

    if not validation.passed:
        return reject(validation.reason)

    acceptance = create_accepted_version(
        candidate=candidate,
        scope=validation.scope,
        approver=validation.approver,
        review_after=validation.review_after
    )

    append_audit_event(acceptance)
    return acceptance

21.4 讀取與寫回必須分離

檢索與生成程序不應直接擁有正式接受權限。

應採：

\mathrm{ReadCapability} \neq \mathrm{AcceptCapability} \neq \mathrm{SourceWriteCapability}.

這是最小權限原則在認知系統中的表達。

二十二、多智能體下的污染治理

22.1 Agent 間的知識轉交

若 Agent $A_i$ 產生候選：

k^{(i)},

並傳給 Agent $A_j$ ，接收者不能把「由另一個 Agent 提供」等同於來源或接受。

應保存：

A_i \xrightarrow{\mathrm{generated}} k^{(i)} \xrightarrow{\mathrm{transferredTo}}A_j.

22.2 共識不等於真實

多個 Agent 可能因共享模型、共享提示、共享知識庫或相同偏誤而得出一致結論。

因此：

\operatorname{Agreement}(A_1,\ldots,A_n) \not\Rightarrow \operatorname{IndependentEvidence}.

需要衡量證據獨立性：

\operatorname{Indep}(\mathcal E) \in [0,1].

22.3 生成鏈可能形成虛假多數

若：

A_1\rightarrow A_2\rightarrow A_3,

三個 Agent 都重述同一初始候選，不能算作三項獨立支持。

應將其壓縮為同一證據族：

\operatorname{Family}(e_1,e_2,e_3)=1.

22.4 接受權限與代表權

即使某 Agent 有權接受內部工作知識，也不代表它有權：

修改原作者作品；
對外代表原作者；
將私人來源公開；
把候選說成原作者立場；
刪除其他 Agent 的反對意見。

因此：

\text{可接受} \neq \text{可代表} \neq \text{可公開} \neq \text{可改寫來源}.

二十三、治理邊界與失敗模式

23.1 三區並不能消除錯誤

錯誤來源仍可能被完整保存；驗證器也可能失敗；核准者可能有偏誤；惡意內容可能通過檢查。

三區的目標不是：

P(\text{error})=0.

而是：

\text{錯誤可見} + \text{角色不混淆} + \text{傳播可追蹤} + \text{狀態可撤銷}.

23.2 候選區可能膨脹

若所有生成結果都永久保留，候選區可能形成：

|\mathcal M_C| \rightarrow\infty.

需要：

去重；
相似候選聚類；
失敗候選壓縮；
保留代表性反例；
依任務價值與未來可用性設定保存政策；
不可逆刪除前建立可驗證封存。

23.3 接受門檻可能過度保守

過高門檻會導致：

\operatorname{FRR}\uparrow,

使新知識長期滯留候選區。

因此接受政策應依風險分層，而非所有內容使用同一門檻。

23.4 人工審核不是萬能解

人類也會受到：

權威偏誤；
疲勞；
來源混淆；
團體一致性壓力；
時間不足；
不熟悉領域；
自動化偏誤。

因此人類審批需要證據介面、差異顯示與可撤銷紀錄，而不是只提供「核准／拒絕」按鈕。

23.5 溯源可能洩漏隱私

完整溯源可能暴露：

私人來源；
內部文件路徑；
未公開研究；
使用者身份；
安全策略；
模型與系統弱點。

需要可見性分層與選擇性披露：

\operatorname{View}(\pi,k,a) = \Pi_{\mathrm{access}} \left( \pi,k,a \right).

二十四、從三區治理到遞歸自主循環

三區治理不是 GCMS 的附加安全模組，而是第九篇「遞歸自主循環」成立的必要條件。

若缺少三區，循環是：

q_t \rightarrow \mathrm{Generate} \rightarrow \mathrm{WriteBack} \rightarrow \mathcal M_{t+1}.

加入三區後，循環變成：

\boxed{ \begin{aligned} q_t &\xrightarrow{\mathrm{Retrieve}} \mathcal E_t\\ &\xrightarrow{\mathrm{Generate}} y_t^{C}\\ &\xrightarrow{\mathrm{CandidateStore}} \mathcal M_C\\ &\xrightarrow{\mathrm{Verify}} \widetilde y_t\\ &\xrightarrow{\mathrm{Accept/Reject}} \mathcal M_A\text{ 或 }\mathcal M_C\\ &\xrightarrow{\mathrm{Monitor}} \mathcal M_{t+1}. \end{aligned} }

其中：

y_t^{C}

永遠先是候選，而不是因為由系統自主產生便直接取得接受狀態。

這使 GCMS 可以同時擁有：

\text{探索自由} + \text{來源保真} + \text{治理可控} + \text{長期可修正}.

二十五、結論

當記憶系統開始重建、生成、組合、自調用與遞歸寫回時，真正稀缺的不再只是儲存空間，而是認知角色的清晰性。

系統必須持續回答：

這是實際觀測到的來源嗎？
這是系統生成的候選嗎？
這是經過什麼程序接受的知識？
它只在哪些範圍內成立？
它依賴哪些證據與版本？
哪些矛盾仍未解決？
誰有權修改、接受、撤銷或公開？
如果它被證明錯誤，哪些下游知識需要重新檢查？

因此，GCMS 的三區治理可以收斂為：

\boxed{ \begin{aligned} \mathcal M_{\mathrm{source}} &=\text{保存觀測與來源歷史},\\ \mathcal M_{\mathrm{candidate}} &=\text{容納生成、推論與探索},\\ \mathcal M_{\mathrm{accepted}} &=\text{保存有限、可撤銷的可依賴知識}. \end{aligned} }

其最重要的原則不是「永遠不要生成錯誤」，而是：

\boxed{ \text{不要讓未知、推論與生成內容， 在失去角色與來源後成為不可追蹤的正式記憶。} }

人類記憶會因來源監測失敗而把想像、推論與後來資訊誤認為原始經驗；人工記憶系統若不建立更嚴格的角色、溯源與寫回機制，便可能以更高速度、更大規模重演同一問題。

三區治理因此不是對自主智能的限制，而是使自主生成可以長期存在的條件。只有當系統能把「我看到了什麼」、「我推論了什麼」與「我目前允許依賴什麼」清楚分離，它才有可能安全地進入下一階段：

\boxed{ \text{GCMS 遞歸自主循環} }

附錄 A：三區不變量

不變量一：來源不可被生成內容覆蓋

\forall s\in\mathcal M_S, \quad \operatorname{OverwriteByGenerated}(s)=0.

不變量二：候選必須保留生成活動

\forall c\in\mathcal M_C, \quad \operatorname{Generator}(c)\neq\varnothing.

不變量三：接受必須具有驗證紀錄

\forall a\in\mathcal M_A, \quad \operatorname{Validation}(a)\neq\varnothing.

不變量四：角色轉換必須可審計

\rho_t(k)\neq\rho_{t+1}(k) \Rightarrow \operatorname{AuditEvent}(k,t,t+1)\neq\varnothing.

不變量五：來源與衍生物不可同一化

\operatorname{derivedFrom}(c,s)=1 \Rightarrow \mathrm{id}(c)\neq\mathrm{id}(s).

不變量六：撤銷不刪除歷史

\operatorname{Revoke}(a) \Rightarrow \operatorname{History}(a)\text{ 保留}.

不變量七：候選不能默認成為事實證據

\pi_{\mathrm{default}}(c)=\mathrm{excluded}, \qquad c\in\mathcal M_C.

不變量八：矛盾不能在未解決時被靜默刪除

\operatorname{Conflict}(k_i,k_j)=1 \Rightarrow \operatorname{SilentDelete}(k_i,k_j)=0.

附錄 B：狀態轉移矩陣

令：

T_{ij} = P \left( \rho_{t+1}=j \mid \rho_t=i \right).

合法轉移矩陣的概念形式為：

目前狀態	Source	Candidate	Accepted	Rejected	Disputed	Superseded	Revoked
Source	版本保持	可衍生	禁止直接	不適用	可標爭議	可被新版本取代	可撤回來源信任
Candidate	禁止偽裝	可修訂	驗證後	可拒絕	可標爭議	可被新候選取代	可撤回
Accepted	禁止覆蓋	可產生修訂候選	可維持	不直接	新衝突	新接受版本	驗證失敗
Rejected	禁止	新證據後可重開	禁止直接	保持	可記錄爭議	可歸檔	可歸檔
Disputed	禁止	可修訂	衝突解決後	可拒絕	保持	可被新版取代	可撤銷
Superseded	禁止	可衍生	不恢復為目前版	不適用	可標爭議	保持	可撤銷
Revoked	禁止	新證據後可重建候選	禁止直接	可歸檔	保留爭議	可歸檔	保持

此矩陣不是單純工作流，而是防止角色洗白的治理約束。

附錄 C：最小污染威脅模型

攻擊者能力

攻擊者可能：

新增外部文件；
修改可寫來源；
提供高相似度文本；
誘導 Agent 生成特定候選；
讓候選被標記為成功經驗；
重複引用同一內容；
利用權限較高的 Agent 轉述；
嘗試刪除衝突或舊版本。

防禦目標

GCMS 應保證：

\operatorname{Detectability}\uparrow,

\operatorname{Containment}\uparrow,

\operatorname{Traceability}\uparrow,

\operatorname{Rollbackability}\uparrow,

同時使：

\operatorname{SilentContamination}\downarrow.

非目標

本文不宣稱三區架構可以：

判斷所有命題的絕對真值；
阻止所有零日攻擊；
消除所有人類與模型偏誤；
以形式規則取代領域專家；
保證長期自主系統永不漂移。

參考文獻

[1] Johnson, M. K., Hashtroudi, S., & Lindsay, D. S. (1993). Source Monitoring. Psychological Bulletin, 114(1), 3–28.
https://memlab.yale.edu/sites/default/files/files/1993_Johnson_Hashtroudi_Lindsay_PsychBull.pdf

[2] Haubrich, J., Crestani, A. P., Cassini, L. F., et al. (2015). Reconsolidation Allows Fear Memory to Be Updated to a Less Aversive Level through the Incorporation of Appetitive Information. Neuropsychopharmacology, 40, 315–326.
https://www.nature.com/articles/npp2014174

[3] Lenormand, D., et al. (2026). The role of reactivations during consolidation in the structure and accessibility of episodic autobiographical memories. Scientific Reports.
https://www.nature.com/articles/s41598-026-37539-2

[4] Karanian, J. M., et al. (2020). Protecting memory from misinformation: Warnings modulate cortical reinstatement during memory retrieval. Proceedings of the National Academy of Sciences / related open-access record.
https://pmc.ncbi.nlm.nih.gov/articles/PMC7502729/

[5] Wulff, A. N., et al. (2025). Timing of pre-retrieval warnings matters in reducing the continued influence of misinformation. Scientific Reports.
https://www.nature.com/articles/s41598-024-84154-0

[6] Moreau, L., Missier, P., et al. (2013). PROV-DM: The PROV Data Model. W3C Recommendation.
https://www.w3.org/TR/prov-dm/

[7] Lebo, T., Sahoo, S., McGuinness, D., et al. (2013). PROV-O: The PROV Ontology. W3C Recommendation.
https://www.w3.org/TR/prov-o/

[8] Zou, W., Geng, R., Wang, B., & Jia, J. (2025). PoisonedRAG: Knowledge Corruption Attacks to Retrieval-Augmented Generation of Large Language Models. 34th USENIX Security Symposium.
https://www.usenix.org/system/files/usenixsecurity25-zou-poisonedrag.pdf

[9] Chang, Z., Li, M., Jia, X., et al. (2025). One Shot Dominance: Knowledge Poisoning Attack on Retrieval-Augmented Generation Systems. Findings of EMNLP 2025.
https://aclanthology.org/2025.findings-emnlp.1023/

[10] Lin, B., Wang, S., Chen, L., & Mao, X. (2025). Exploring the Security Threats of Knowledge Base Poisoning in Retrieval-Augmented Code Generation.
https://arxiv.org/abs/2502.03233

[11] Zhang, C., Zhang, X., Lou, J., et al. (2025). PoisonedEye: Knowledge Poisoning Attack on Retrieval-Augmented Generation based Large Vision-Language Models. Proceedings of ICML 2025.
https://proceedings.mlr.press/v267/zhang25da.html

[12] Srivastava, S. S., & He, H. (2025). MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval.
https://arxiv.org/abs/2512.16962

[13] Ha, H., Kim, J., Qian, C., et al. (2026). MemGuard: Preventing Memory Contamination in Long-Term Memory-Augmented Large Language Models.
https://arxiv.org/abs/2605.28009

[14] Shumailov, I., Shumaylov, Z., Zhao, Y., Papernot, N., Anderson, R., & Gal, Y. (2024). AI models collapse when trained on recursively generated data. Nature, 631, 755–759.
https://www.nature.com/articles/s41586-024-07566-y

[15] Mitchell, K. J., & Johnson, M. K. (2009). Source monitoring 15 years later: What have we learned from fMRI about the neural mechanisms of source memory? Psychological Bulletin / open-access version.
https://pmc.ncbi.nlm.nih.gov/articles/PMC2859897/

[16] Shao, X., et al. (2023). Cross-stage neural pattern similarity in the hippocampus predicts false memory derived from post-event inaccurate information. Nature Communications.
https://www.nature.com/articles/s41467-023-38046-y

[17] Reyna, V. F., & Brainerd, C. J. (2016). How Fuzzy-Trace Theory Predicts True and False Memories for Words, Sentences, and Narratives. Journal of Applied Research in Memory and Cognition / open-access record.
https://pmc.ncbi.nlm.nih.gov/articles/PMC4815269/

[18] Cheng, Z., Sun, J., Gao, A., et al. (2025). Secure Retrieval-Augmented Generation against Poisoning Attacks.
https://arxiv.org/abs/2510.25025

[19] Edemacu, K., Shashidhar, V. M., Tuape, M., et al. (2025). Defending Against Knowledge Poisoning Attacks During Retrieval-Augmented Generation.
https://arxiv.org/abs/2508.02835

[20] Hu, Z., Zhu, Q., Yan, H., He, Y., & Gui, L. (2026). Beyond RAG for Agent Memory: Retrieval by Decoupling and Aggregation.
https://arxiv.org/abs/2602.02007

系列銜接

本文完成了遞歸自主系統在寫回之前所需的治理地基。下一篇將在三區架構上正式建立完整循環：

《GCMS 遞歸自主循環：從問題到新知識狀態》

下一篇將進一步形式化：

\mathrm{Interpret} \rightarrow \mathrm{SelfInvoke} \rightarrow \mathrm{Diverge} \rightarrow \mathrm{Retrieve} \rightarrow \mathrm{Compose} \rightarrow \mathrm{Converge} \rightarrow \mathrm{Verify} \rightarrow \mathrm{Commit} \rightarrow \mathrm{Monitor}.

08_記憶污染與三區治理_來源候選與接受知識