「接了 RAG，记忆泄露的风险就下来了。」
这句话我今年看到过不止一次，说的人都挺笃定。十月初挂出来的一篇论文，正好把这句话背后的假设拆开看了看。
论文叫《Is Memorization Context-Sensitive? Prefix-Based Extraction Beyond Isolated Prefixes》，arXiv 编号 2610.12085，10 月 8 号提交的 v1，已经被 EMNLP 2026 收了。作者是 Ali Satvaty、Narjes Sharafi、Jirui Qi、Suzan Verberne 和 Fatih Turkmen。
它问的问题很朴素。加进上下文之后，模型的记忆是被削弱了，还是能提取出来的那批样本换了一批。
这个区别听起来小，其实是两件事。
做法是逐样本配对
对每个前缀和它对应的目标后缀，先在空提示下打一次分，再在不同相关程度的检索上下文下打一次分。
简单说，同一个样本，在两种条件下各测一次，然后拿它跟它自己比。不是拿两批样本比总体均值。
这个设计比结论本身更值得看。换一批样本比均值，看到的永远是分布层面的移动，看不到单个样本是往上走还是往下走。配对之后，谁被推过线、谁被压回去，才分得清。
实验覆盖三个开放权重、经过指令微调的模型。换别家会不会一样，这篇回答不了。
上下文没有清掉记忆，它挪了阈值
结果不太符合直觉。
上下文把可提取的记忆切成了两半。一半比较稳，加不加上下文都能拿出来。另一半是贴着提取阈值的边缘样本，上下文一来，它们的位置就动。
动是双向的。有些暴露被压下去了，有些本来只用前缀测不出来，加了上下文反而能提取。
还有一条我盯着看了两遍：前缀越长，那些无上下文时能提取的样本，加了上下文之后仍然能提取的比例越高。稳的那一半，比想象中稳。
所以与其说上下文削弱记忆，不如说它在挪提取的阈值。挪阈值不等于删数据。
被推过线的都是边缘样本
这批样本本来就在线上悬着。差一点就能被拿出来，谁给它一点上下文上的推力，它就过线。
安全上真正难处理的从来不是稳稳记住的那部分。稳的那部分是已知量，能测、能防、能算进风险预算。麻烦的是那一圈边缘的，它们的可提取性取决于你喂进去什么上下文，而你喂什么上下文，是随任务变的。
论文对 RAG 那句常识提的限定就落在这儿。总体提取率可能确实降了，但稳定的部分还在，「由上下文触发才变得可提取」这件事本身就是一个新的风险面。
你把上下文当掩体，它同时也在当扳机。
说说我自己的判断
这不是一篇「RAG 不安全」的论文。它挑的是评估方法。
实际系统里，前缀几乎不会单独出现。前面有指令，后面有检索文档，外面还套着任务描述。可我们评估记忆的时候，习惯把前缀干干净净地拎出来丢给模型，看它吐不吐后缀。
这套做法测出来的东西，和部署时的情况不是一回事。不是错，是坐标系不对。
你拿孤立前缀证明「这个模型在我们系统里是安全的」，等于用空提示下拍的那张切片，去替一个加了检索上下文的系统背书。这两件事中间隔着一整个上下文条件。
至于「记忆」这个词，圈里用得太随便。有时候指能背出训练数据原文，有时候指能补全某个片段，有时候只是指它对某个名字比对另一个更熟。这篇用的是最可操作的那个版本：给定前缀，后缀能不能被取出来。可操作是好事，但也意味着它测的是可提取性，不是记住没记住。这两个别混。
顺手记一个细节。页面上 DOI 标的是 10.48550/arXiv.2610.12085，注册状态写着待完成。v1 和最后 camera-ready 的数字大概率有出入，看到具体数字先别急着引。
对普通人还剩一层能带走
先说清楚，这条对不做安全评估的人用处有限。
但有一层意思能带走：RAG 不是安全层。
很多人给应用接知识库，心里默认检索这一层顺带把「模型乱说内部数据」的风险挡住了。挡不住。真正被记住的东西在权重里，检索只能改变这一次对话里模型看见什么，改不了它已经记住了什么。
更实际的一点。如果你在做任何带记忆的评估，别只测空提示。那是最容易过的条件，也是最不像线上的条件。加一档真实分布的上下文再测一遍，你会看到另一批样本。
论文里那套逐样本配对的评分实现，我只看懂了一半。先放在这里，等我摸清了再补一句。
本周就这些。
上面有任何一条你试过、或者觉得我讲错了，欢迎告诉我。
下周见。