ChatGPT 记忆机制拆解：2050 条里 96% 是模型自写|AI自学笔记

被 ACM Web Conference 2026 收录的论文《The Algorithmic Self-Portrait》用 GDPR 数据访问权拿到 80 名真实 ChatGPT 用户的完整对话与全部记忆条目，共 1058 段对话、22971 轮交互、2050 条记忆。逐条核对写入来源后结论很直接：只有 4.1% 的记忆是用户明确要求记住的，其余 95.9% 由 ChatGPT 自行判断后单方面写入。

一句话结论：ChatGPT 的记忆机制本质上是一个持续运行的用户画像引擎，96% 的写入由模型单方决定，52% 的记忆内容是对用户心理状态的推断，而用户只有事后查看和删除的权利。

一、这项研究做了一件此前没人做过的事

论文由德国马克斯普朗克软件系统研究所、波鸿鲁尔大学、荷兰代尔夫特理工大学和印度理工学院卡拉格普尔分校的九位研究者共同完成，2026 年 2 月 1 日在 arXiv 公开，2 月 23 日修订到第三版，5 月被 ACM Web Conference 2026 接收。

它的方法不算复杂，但绕不开一道坎。ChatGPT 的记忆是黑箱，厂商没有公开写入规则，研究者就利用欧盟 GDPR 第 15 条赋予公民的数据访问权，从 80 名参与者手里拿到他们授权导出的完整对话历史，以及系统侧存储的全部记忆条目。

样本规模具体到 1058 段对话、22971 轮交互、2050 条记忆条目。这个体量的意义在于，它把模型会不会偷偷记你这种印象式疑问，变成了可以逐条统计分布的数据问题。

二、96% 的记忆是系统自己写的

研究者用两组触发词逐条检测记忆背后的用户指令，英文侧是 remember、note that、store、save、add to memory、forget，中文侧是记住、注意、保存、忘记。检测结果：2050 条记忆里有 84 条包含明确的用户记忆操作请求，占 4.1%；剩下 95.9% 全部由对话系统单方面触发。参与者层面，80 人中有 25 人至少请求过一次记忆更新。

严格说这不违反 OpenAI 自己的政策。记忆文档里本就写明允许保存模型认为有用的信息，系统也被训练成不主动记住敏感信息，除非用户明确要求。真正的问题出在落差上：文档强调用户参与，实际运行中主导权在模型。

论文给出的结论是，用户对记忆形成的影响只能通过说什么间接实现，无法直接控制记什么。

维度	测量结果	参考
系统单方面写入的记忆占比	96%	2050 条中 84 条来自用户明确指令
含 GDPR 个人数据的记忆	28%	姓名出现在 41% 的条目里
含 GDPR 特殊类别数据的记忆	7%	其中健康信息占 61%
含心理状态推断的记忆	52%	欲望 73%、意图 16%、情绪 14%、信念 11%
可在完整历史中找到文本依据	84%	GPT-4o 五级证据评估下 77% 为直接陈述或转述
被判定无依据或与上下文矛盾	4%	平均证据评分 4.25 分

三、存下来的不只是信息，还有对人的判断

敏感度统计用 GDPR 第 4 条第 1 款和第 9 条第 1 款做定义，标注工作由 GPT-4o 完成，辅以 100 条英文记忆的人工验证，两位标注者之间一致率 88%，标注者与模型之间平均一致率 74%。

条目层面，28% 的记忆包含个人数据，7% 包含特殊类别数据。参与者层面，91% 的人有个人数据被存入记忆，54% 的人有特殊类别数据被存入，35% 的人有健康相关信息被记录，63% 的人被记下姓名。

心理推断这条线更值得看。52% 的记忆包含对用户心理状态的推断，在这些条目里，欲望占 73%，意图占 16%，情绪占 14%，信念占 11%，知识状态占 7%，主观感知占 7%。欲望加意图这类相对稳定的人格特征合计接近九成，情绪和感知这类瞬时状态只占两成。参与者层面，97% 的人至少有一条欲望类记忆，68% 至少有一条意图类记忆。

论文里举过一条例子，记忆内容写的是某人对失败有恐惧，尤其涉及重大职业决策。这已经跳出了事实记录，进入对人的性格判断。研究者用人格心理学的框架区分开来：传统平台刻画的是行为轮廓，也就是我们做了什么；ChatGPT 刻画的是特征性适应，也就是我们是谁。

这类记忆一旦固化下来，纠错成本和记错一条对话完全不在一个量级。模型会基于一个错误的你，持续影响之后每一次交互。

四、84% 忠实度：准确率高不等于问题解决了

论文用三种方法验证记忆的溯源：字符串匹配、语义嵌入、GPT-4o 五点量表。结果是 84% 的记忆能在完整用户历史里找到直接文本依据，只看当前消息时匹配率降到 47%，当前会话上下文 63%，会话加本地记忆 70%，完整用户历史 84%。所有上下文配置下语义相似度都不低于 0.51。

GPT-4o 作为证据评审者的评分分布是：直接陈述或转述总结占 77%，逻辑推断占 14%，弱支撑占 5%，无依据或矛盾占 4%。平均分 4.25，两名作者之间的一致率约 99%。

这组数字读起来像好消息，其实放大了问题。数据大部分时候既准确又全面，精确到用户自己都不知道它曾经记录过。一个高保真、用户无感知的画像引擎，和一个粗糙但可见的画像引擎，在隐私上的差别不小。

五、逆向工程：用三个开源模型复刻记忆提取

既然 ChatGPT 会记，研究者就试着复刻它的记忆提取过程。三个模型分别是 Qwen2.5-32B-it、Gemma3-27B-it 和 GPT-OSS-20B，每个模型跑两种训练方式，微调和上下文学习。

摘要给出的总体概括是与真实 ChatGPT 记忆达到约 60% 的语义相似度，具体到表格上并不整齐。英文主导用户那一栏，Qwen 上下文学习 0.69、微调 0.59，Gemma 上下文学习 0.66、微调 0.39，GPT-OSS-20B 上下文学习 0.50、微调 0.52。人工五级评价里，微调方案的高相似度占 77.77%，上下文学习占 83%，两位作者对两种方案的平均一致率 73.5%。单次查询推理时间在 130 到 390 毫秒之间。

更有意思的实验是复制品测试。如果对所有用户查询都做记忆提取会怎样？含敏感信息的比例从 28% 升到 31% 到 35%，含心理信息的比例从 52% 升到 55.4% 到 59.1%。

信息增益的对比更有说服力。模型提取出的潜在记忆相对于 ChatGPT 原始记忆的信息增益约 0.46，而反方向只有 0.1。这说明模型能推断出的东西比当前实际存储的更多，潜在记忆一旦被全面提取，暴露面会明显扩大。

六、Attribution Shield：在按下回车之前改写问题

论文在这个复刻系统上做了一个实用层的东西，叫 Attribution Shield，翻译成中文是归因护盾。它的思路是在用户发送之前先预判这条查询会触发什么记忆，提示潜在的敏感推断，然后给出一版去掉个人归属的改写，同时保留原意。

论文给的例子很直白。我真的需要戒掉大麻是第一人称加自我承认，很容易被记成用户在用大麻，改写后变成戒烟有哪些策略。

效果评估分去归因和保效用两条线。GPT-4o 对约 36 条首次触发记忆的查询判断，改写后归属更少的比例，微调方案 94.4%，上下文学习 100%；两位作者的人工判断是微调 100%、上下文学习 95.8%。回答实用性方面，人工判断保留原始效用的比例是上下文学习 91%、微调 87%。

这组数字说明隐私保护和对话质量并非只能二选一，至少在改写这一层，技术路径是可解的。

七、普通用户现在能做什么

论文没有停在揭露上，也给了可执行的路径。ChatGPT 设置里的个性化页面可以查看、修改、删除记忆条目，需要自行定期回看哪些信息已经过时、哪些理解错了、哪些不希望继续保留。

对于想更系统检查的用户，论文附录给出了一段审计提示词，要求模型披露可访问的已存储记忆、推断出的特征、隐性推断、沟通模式分析、潜在误读、信息来源分类、置信度评估、持久记忆与临时推断的区分，并明确要求不要编造隐藏记录、不要把推测说成已存储记忆。

这类操作的效果取决于模型是否真的能访问自己的记忆存储，不同版本、不同套餐之间差异很大。真要审计，还是得先导出自己的数据对照。

站内此前记录过同类问题的不同侧面。Meta AI 助手 Muse 被曝为每位联系人建档讲的是平台侧为他人建档，ChatGPT 青少年安全审计失败讲的是监护机制没被触发，iOS 27.2 的 Siri AI 记忆上线则是同一套记忆机制在消费级系统里的落地。同一件事在三个层面同时发生，OpenAI 那边的robots.txt 训练令牌则处理的是另一侧的退出通道。

八、常见问题

ChatGPT 记住的东西我能全部删掉吗？

可以逐条查看和删除，但删除的是已经写入的条目，拦不住下一轮自动写入。这篇论文给出的量化结论正是这件事：96% 的记忆条目并非来自你的指令，你删得掉记过的，删不掉将要记的。

96% 都是模型自己写的，是否意味着 OpenAI 违规？

不违规。记忆文档明确允许保存模型认为有用的信息。争议点在于文档强调的用户参与和实际运行中模型主导之间的落差，属于产品设计与用户预期的问题，而不是违反自家政策的问题。

这个结论对 Gemini 和 Claude 成立吗？

论文只测了 ChatGPT，不能直接外推。但三家都在做记忆，机制设计方向相近，普遍假设是同类的。真正需要留意的是各家记忆文档里关于自动写入的表述差异，这与记忆原生大模型 MemT-1.0那类把记忆做成显式可编程模块的路线，属于不同问题。

九、小结

这项研究最值得带走的一个数字是 96%，第二个是 52%。前者说明记忆的写入权不在用户手里，后者说明写入的内容里有超过一半是关于用户心理的推断，而不是用户说过的话。再加上 84% 的溯源准确率，得到一个相当完整的图景：一个高保真、用户无感知、以人格特征而非行为记录为主的持续画像引擎。

论文提出的 Attribution Shield 展示了可行方向，代价是每次查询前的一次改写判断。会不会被广泛采用，取决于模型厂商是否愿意把这件事做进默认流程里。

ChatGPT 记忆 96% 由模型自写：2050 条实测拆解