出处

默认的 OpenClaw 内存后端保留 Markdown 工件以及 SQLite 索引和元数据（ 内存架构）。每个索引块都带有存储在散文外部的原始类（owner、agent、untrusted、system）。因此，召回的文本无法提升其自身的信任级别，并且分类永远不会默认为 owner。像 Zep 的 Graphiti 这样的图形存储层也可以追踪事实的来源。 OpenClaw 添加的是一个消耗出处的门。在构建合并提示之前，dreaming 合并通行证会删除 untrusted 和 system 候选者。自动会话摄取不包括 cron、heartbeat 和 subagent 会话。这些排除不会阻止具有所需访问权限的工具直接写入文件。污点也会在回合内跟随内容。在网络来源的工具得出结果后，该轮中的每条后来的助理消息都会被标记为受污染，并将内存分类为 untrusted，无论是谁在说话。交叉对话回忆有一个固定的边界：组和通道既不是源也不是目标（活动内存）。

相关研究提供了背景信息，而不是对 OpenClaw 实现的验证。 Generative Agents 探索检索中的相关性、新近度和重要性。 MMR 平衡相关性和多样性。 睡眠时间计算 研究查询之前有用的预计算。 LongMemEval 表明保留的细节、索引、检索和阅读策略都会影响长期回忆。 MINJA 和 OWASP ASI06 等内存中毒工作会激发谨慎的信任边界。出处限制的促销并不能建立对每次中毒攻击的免疫力。 TriggerBench 研究前瞻性记忆，OpenClaw 还通过明确的 长期意图 解决了这个问题。

删除需要单独区分。 Ghost Vectors 检查软删除矢量存储的恢复。忘记的会话记录可防止通过参与的 OpenClaw 路径重新摄取。它们不会对底层存储进行物理或加密擦除。

自动会话摄取和回填跟踪的条目通过合并保留其原始会话。合并时进行起源联合，并在取代时重新键入密钥，并且模型本身从不带有出处。 准入策略 可以使指定的会话远离梦境摄取，并且通过记录的、可逆的排除来保证会话回填。 openclaw memory forget 清除归因条目、精确的日记引用、索引行、向量、嵌入缓存和重写备份。然后，它会阻止重新摄取具有持久的被遗忘会话记录的选定会话。参与者选择器选择涉及该参与者的整个会话，而不仅仅是他们的消息。直接编辑、未跟踪的记忆和释义、原始转录本、其他代理的存储、导出和外部副本都需要单独审查。承认或遗忘都不是一般擦除保证（删除边界）。

被遗忘的会话记录保护特定边界：OpenClaw 的参与摄取、回填和索引路径不会从该代理存储中的那些会话 ID 恢复数据。它们不会阻止稍后的对话、直接文件写入或另一个内存插件引入相同的信息。出处和删除应根据这些记录的边界进行评估，而不是视为普遍不复活或监管合规性的证据。

audit 账本 存储身份、排序、操作和结果代码。它从不存储提示、正文、参数或文件名。查询强制执行带有行上限的 30 天保留截止时间，并且物理修剪是批量的。决策收据使用封闭词汇表，其中 enforced 标记来自实际控制操作的门的决策。单纯的成功永远不会升级为授权证明。这些文档发布了他们自己的非声明，包括“没有一行证明什么都没有”以及假名是关联而不是匿名。 OpenTelemetry 可以将操作诊断导出到 SIEM，但有界队列、采样、关闭和导出器故障可能会丢失数据。这两种表面都承诺无损合规性存档。

参与通道入口队列将耗尽其重试策略的事件保留在可检查、可重新提交的 死信队列 中。这并不涵盖每个入站路径：IMAP 通过单独的挂钩路径触发调度，而无需通道死信重新提交。出站消息携带分阶段的终端状态。设计目标是每个行动的可见结果或记录的、有意的非结果。上述审计范围和损失限额仍然适用。

独立核查存在于三个层面。有一个社区 威胁模型映射到 MITRE ATLAS。最危险的授权和隔离路径有 TLA+ 模型。这些是设计模型，在有界状态空间中进行检查，并且它们并未确定“TypeScript 已验证”，如文档所述。还有一个公开的 成熟度记分卡 对我们的覆盖范围进行评分。