Context Engineering & Memory

Context 不是资料仓库，而是模型本轮决策的工作台。Memory 也不是把聊天永久保存，而是从历史中筛选可复用事实，再在合适的任务里安全取回。系统稳定性取决于“哪些信息进入本轮推理”，不是数据库里存了多少文本。

---

先分清四个概念

OpenAI Agents SDK 也明确区分本地 context 与模型可见 context：依赖对象可以留在代码层，不需要为了让工具访问数据库而把连接信息发送给模型。

业务数据与依赖 ──→ Local context ──→ Tool
                           │
                           └─ 只把任务所需结果送入 LLM context

历史事件 ──→ Memory write gate ──→ Memory store
                                      │
当前任务 ──→ Retrieval + policy ──────┘ → Working set → LLM

---

Context 的目标不是“塞满”

Anthropic 将 Context Engineering 定义为：从所有可能信息中，持续选择最有助于当前行为的 token。最实用的原则是 最小充分集。

一轮调用可以按以下层次组织：

1. 稳定指令：角色、安全边界、输出契约。
2. 当前目标：用户要达成的结果和验收条件。
3. 工作状态：已完成步骤、未决问题和剩余预算。
4. 按需知识：带来源的检索结果或 Memory。
5. 工具定义：仅加载本轮可用的工具。
6. 最近观察：对下一步仍有价值的结果。

不要写死“Context 必须用到 70%”。不同模型、任务和输出长度不同。应先为输出和工具结果预留空间，再通过 eval 找到自己的阈值。

---

给 Context 做预算

type ContextBudget = {
	modelLimit: number;
	reservedOutput: number;
	stableInstructions: number;
	taskState: number;
	retrievedKnowledge: number;
	toolDefinitions: number;
	recentObservations: number;
};

function assertBudget(b: ContextBudget) {
	const inputBudget = b.modelLimit - b.reservedOutput;
	const planned =
		b.stableInstructions +
		b.taskState +
		b.retrievedKnowledge +
		b.toolDefinitions +
		b.recentObservations;
	if (planned > inputBudget) throw new Error('CONTEXT_BUDGET_EXCEEDED');
}

预算超限时的优先顺序通常是：删除重复内容 → 截断低价值工具结果 → 归纳旧观察 → 减少检索片段 → 延迟加载工具。稳定安全指令不能成为第一个被压缩的对象。

---

Memory 应该记什么

“用户说过”不等于“应该永久记住”。写入前至少判断：是否明确、是否仍可能变化、是否对未来有用、是否允许保存、保存多久。

---

Memory 写入闸门

type MemoryCandidate = {
	tenantId: string;
	userId: string;
	kind: 'fact' | 'preference' | 'event' | 'procedure';
	value: string;
	sourceRef: string;
	observedAt: string;
	confidence: number;
	expiresAt?: string;
	sensitivity: 'public' | 'internal' | 'personal' | 'restricted';
};

function mayPersist(candidate: MemoryCandidate) {
	return (
		candidate.confidence >= 0.9 &&
		candidate.sensitivity !== 'restricted' &&
		Boolean(candidate.tenantId && candidate.userId && candidate.sourceRef)
	);
}

真实系统还应加入用户同意、地区保留政策、数据删除请求和字段级加密。模型可以提出 Memory candidate，但代码与政策层决定是否写入。

---

检索不是只做向量相似度

一次安全检索至少包含：

当前任务
  → tenant/user/region 硬过滤
  → 按 kind、时间与权限过滤
  → 语义或关键词召回
  → 去重与冲突检测
  → relevance + recency + confidence 重排
  → token budget 截断
  → 带 sourceRef 注入工作集

const memories = await memoryStore.search({
	tenantId: run.tenantId,
	userId: run.userId,
	query: run.objective,
	kinds: ['fact', 'preference'],
	notExpiredAt: new Date().toISOString(),
	limit: 12
});

const workingSet = rerank(memories)
	.filter(item => item.score >= retrievalThreshold)
	.slice(0, maxMemoryItems)
	.map(({ value, sourceRef, observedAt }) => ({ value, sourceRef, observedAt }));

Tenant 与用户过滤必须在数据库查询阶段完成，不能先跨租户召回，再让模型判断哪些内容可见。

---

冲突、过期与更正

Memory 不是不可变真理。假设用户先说“我住在 Brisbane”，后来明确说“我已经搬到 Sydney”，系统应保留来源和时间，并把旧事实标为 superseded。

{
	"memoryId": "mem_204",
	"key": "home_city",
	"value": "Sydney",
	"observedAt": "2026-08-25T11:10:00+10:00",
	"sourceRef": "message_991",
	"status": "active",
	"supersedes": "mem_102"
}

冲突无法自动解决时，向用户确认，不要把两个值平均或随机选择。涉及价格、法律状态、职位、考试规则等易变事实，应优先读取权威来源，而不是依赖旧 Memory。

---

压缩历史时保留什么

好的 compaction 不是“把聊天缩短”，而是生成可恢复状态：

## Objective

Deploy checkout-api after regression tests pass.

## Confirmed facts

-   Current branch: release/checkout-42 [source: git]
-   Payment E2E is failing at 3DS callback [source: run_87]

## Decisions

-   Do not bypass the 3DS test.
-   Use provider sandbox account only.

## Completed

-   Unit tests passed at commit 1a2b3c4.

## Open work

-   Fix callback signature verification.

## External actions

-   No deployment has occurred.

删除闲聊、重复日志和已经失去决策价值的中间输出；保留目标、硬约束、证据、外部副作用和下一步。

---

防 Prompt Injection 持久化

网页、邮件和工具结果都是不可信数据。攻击文本如果被摘要进长期 Memory，会在未来任务里重复生效。

不要让模型自行决定“这段文本安全，所以永久保存”。安全分类与保留必须有确定性代码闸门。

---

如何评测 Context 与 Memory

测试集要覆盖同名用户、冲突偏好、过期事实、恶意文档、空检索和超长工具输出，而不只是“记住我喜欢咖啡”的演示。

---

常见错误

动手练习：跨会话项目助手

1. 定义事实、偏好、事件三种 Memory schema。
2. 设计写入闸门，拒绝密码、一次性验证码和未确认推断。
3. 加入 tenant、user、过期时间和 sourceRef 过滤。
4. 模拟用户城市变化，验证新事实 supersede 旧事实。
5. 在检索文档中加入恶意指令，确认它不会进入长期 Memory。
6. 记录答案质量、输入 token、召回精度和跨用户泄漏率。

完成标准

• 我能区分 Local state、LLM context、Working memory 和 Long-term memory。
• Memory 写入受代码与政策控制，不由模型单独决定。
• 检索先做 tenant/user 硬过滤。
• 每条长期事实都有来源、时间、状态和删除路径。
• Compaction 保留目标、决策、证据和外部副作用。

相关阅读

• Context Fundamentals
• Context Compression
• Claude Code Context Management
• 高级 Agent 系统

官方参考

• https://www.anthropic.com/engineering/effective-context-engineering-for-ai-agents
• https://openai.github.io/openai-agents-js/guides/context/
• https://openai.github.io/openai-agents-python/running_agents/