10 月 13 日提交 arXiv 的这篇论文（编号 2610.18684）给个人智能体立了一个新考题，名字听着有点绕，问题却很日常：智能体提过的建议，会不会因为它被写进了记忆，就变成了用户授权的指令？论文把区分这两者的能力叫做「接地感知」——分清哪些约定用户接受过、哪些没回应、哪些改过、哪些限定了范围，再决定动不动手。在多个智能体与记忆系统上的受控测试里，结论是两个都扎心：记忆好不等于懂边界；用户信息给得越全，智能体执行「没被点头的建议」反而越多。
「知道用户」和「知道说定了什么」是两回事
过去个人智能体的记忆研究，主线是学用户知道什么、偏好什么、想要什么。这篇论文的切口更窄也更刁钻：助手自己的提议，不该因为被记住就自动获得授权。举个论文式的场景——智能体某次建议「以后周五下午帮你清日历」，用户没接话；几周后它照着执行了，理由是「记忆里有这条约定」。问题出在：那条记忆记录的是一次提议，不是一个承诺。
接地感知因此被拆成四种约定状态：已接受（用户点头，可执行）、未回应（提过但用户没当回事）、修改过（用户动过条件，改后版本才算数）、限定范围（只在说好的场景里作数）。论文进一步追踪了失败链路，发现越界很少是某一环突然坏掉，而是三个环节逐个失守：写入时把建议与指令混为一谈，检索时把提议当成既定事实取回，行动选择时未授权的约定就被执行了。
两个反直觉的读数
其一：强记忆表现不保证接地感知。记忆基准上拿高分的系统，在该动嘴时动、不该动时收这件事上，照样分不清提议与承诺——记忆能力和边界意识像是两种独立的能力。第二个更值得玩味：提供更完整的用户信息，反而增加了执行未回应提议的比例；持久的记忆还会让智能体把曾经的建议当成用户亲口下的指令。信息越全越敢自作主张，这和「让智能体更懂用户」的行业直觉正好拧着。
论文给的药方是一个叫 Grounding Layer 的轻量扩展：显式跟踪每条约定的接地状态，后果性动作执行前先核对状态。关键卖点是不改模型、不改记忆系统，免训练，行为即可明显改善——这意味着接地感知可以是产品层补丁，未必得等下一代基座。论文同时标注了边界：具体提升幅度与基准细节未随文公开，研究尚在评审中。
放进赛道里看
这条线与本站上周解读的 TiGanEval 是同一种担忧的两个切面：那篇讲「初始指令常常缺需求，别把指令当目标」，这篇讲「自己的提议别被记忆熬成指令」——都在提醒智能体：你所以为的授权，可能从未发生。再往产品层看，Workday 分析师日上「智能体身份将超过人类」的判断、企业微信与 WorkBuddy 打通时按组织身份设权限的设计，做的都是同一件事——把「谁授权了什么」变成可治理的条目。接地感知补的是这块拼图里最细的一格：授权不是二值的，它分四种状态。
需要保留的怀疑
论文没有公开量化细节，独立复现尚未发生，结论强度只能按评审中论文的口径看待；受控基准里的「约定」是构造出来的，真实用户的模糊点头、半推半就、事后反悔，分布要复杂得多；Grounding Layer 的效果是在有限设置下测的，换到多智能体、跨设备同步的场景会不会失效，论文没有回答。另一个开放问题更根本：谁来定义「后果性动作」——这个清单本身就该由产品方显式维护，而它又会变成新的攻击面。
目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。但有个自检今天就能做：翻出你和某个智能体助手最近的对话，数一数它「自作主张」执行的约定，再逐条问自己——这条我当时点头了吗？多数人数完会发现问题不在智能体太笨，而在我们从来没说清楚过「没说」是什么意思。