ChatGPT记忆机制揭秘：96%由系统自行写入，用户难掌控

你可能觉得跟 ChatGPT 只是闲聊几句，它却说不定早就在背地里替你画了一幅像。

你做什么工作、平时怎么生活，乃至你渴望什么、忌惮什么，都可能被它记进记忆里。很多情况下，你压根没让它记这些。

此前有一篇论文《The Algorithmic Self-Portrait: Deconstructing Memory in ChatGPT》被顶级会议 ACM Web Conference 2026 接收。研究团队借助 GDPR 给用户的数据访问权，从 80 名真实用户手中拿到了完整的 ChatGPT 对话记录，以及系统替他们存下的全部记忆，涵盖 1058 段对话、22971 轮交互、2050 条记忆条目。

ChatGPT、Gemini、Claude 这类对话式 AI 都上了「记忆」（Memory）机制，靠记住用户信息来做个性化。这项研究头一回从外部把 AI 的记忆黑箱拆开看：AI 不光记我们讲过的话，还在推测我们是什么样的人。

研究者给这套记忆起了个名字，叫「算法自画像」——算法根据用户在私下对话里自我披露的信息，勾出的用户画像。

他们想弄清楚几件事：记忆的形成是谁在主导？记忆里到底存了什么？记忆跟对话对不对得上？能不能逆向工程来压低隐私风险？借此解释 AI 的记忆机制。

96% 的记忆由系统单方面写入

OpenAI 的官方文档对记忆功能的说法相当克制：用户可以查看、修改、删除自己的记忆；整个系统也被训练成「不会主动记住敏感信息，除非用户明确要求」。

可论文里，研究者拿触发词（remember、note that、save、forget / 记住、注意、保存、忘记等）逐条比对 2050 条记忆对应的用户指令，结果只有 4.1%（84 条）是用户明说要记的；其余 95.9% 都是 ChatGPT 自己认定「这对未来对话有用」之后单方面写进去的。

不过这种做法其实并不违反 OpenAI 自己公布的政策，记忆文档里就写着允许 ChatGPT 保存它认为「有用」的信息。

真正的问题在于落差：文档强调的是用户参与，实际跑起来却是 ChatGPT 在主导。

我们对 AI 记忆的形成能施加的影响，只能靠「说什么」间接实现，没法直接控制它「记什么」。

记录的不只是个人信息，还有欲望和恐惧

研究者按 GDPR 第 4(1) 条（个人数据）和第 9(1) 条（特殊类别个人数据）的定义给所有记忆做了标注，结果跟 OpenAI「不主动记录敏感信息」的承诺正好对不上。

• 28% 的记忆含有 GDPR 定义的个人数据，姓名出现在其中 41% 的条目里；
• 7% 的记忆含有特殊类别数据，健康信息在其中占 61%；
• 另外，91% 的参与者被存了个人数据，35% 的参与者被存了健康相关信息。

图｜与 OpenAI 政策不同，ChatGPT 的记忆功能会存储可被归类为 GDPR 所定义的个人数据或特殊类别个人数据的信息。

更有意思的是，研究者借心理学里的「心理理论」（Theory of Mind）框架来看，发现 52% 的记忆含有对用户心理状态的推断，欲望、意图、情绪、信念、知识等等都在其中。

ChatGPT 的偏好也很明显：欲望（73%）和意图（16%）这类相对稳定的人格特征加起来占了近九成，情绪、感知这类瞬时状态只占两成。

论文里还举了例子，说明 ChatGPT 是怎么记录的，比如有一条记忆写着「某某对失败有恐惧，尤其涉及重大职业决策」。这已经越过了对我们说过什么的事实记录，更多是 AI 对「你是什么样的人」下的判断。

按人格心理学的说法，传统平台刻画的是我们的行为轮廓，也就是我们做了什么；ChatGPT 刻画的则是我们的「特征性适应」，也就是「我们是谁」。

对记忆而言，一幅不忠实的画像比没有画像更危险——ChatGPT 可能基于一个错误的你，持续影响之后的每一次对话。

研究者用了字符串匹配、语义嵌入和 GPT-4o 五点量表三种办法来验证记忆的溯源：84% 的记忆能在用户完整对话历史里找到直接文本依据，77% 被评为「直接陈述」或「转述总结」，明确「无依据或矛盾」的只占 4%。

这些数据多数时候既准又全，有些连用户自己都不记得曾经留下过痕迹。

逆向记忆生成工程

既然 ChatGPT 会在背地里收集用户信息，能不能反过来做个工具来防着它？

研究团队选了三个开源模型 Qwen2.5-32B、Gemma3-27B、GPT-OSS-20B，靠微调和上下文学习，把 ChatGPT 的记忆提取流程模仿了出来。预测出的记忆与真实记忆在语义上的相似度约为 60%～70%。

随后他们用这套复制品做测试：假如 ChatGPT 把全部对话都存下来，会是什么结果？敏感信息的占比会从 28% 涨到 31-35%，心理推断则从 52% 升到 55-59%。

在这套「复刻版记忆提取器」的基础上，团队搭出了 Attribution Shield（归因护盾）。用户在按下回车之前，它就会预判这个问题会牵出哪些敏感记忆，先给出提醒，同时附上一版「去身份化」的改写。

图｜各版本用户查询得到的回复示例。无论查询来自没有上下文的用户，还是来自经过 ICL 上下文学习与 FT 微调改写的查询，其回复在语义上都与肯定其实用性的原始回复相近。

举个例子，「我真的需要戒掉大麻」属于第一人称加自我承认，会被记成「用户在用大麻」；于是「我真的需要戒烟吗」得改写成「戒烟有哪些策略？」。

评测数据是：94%～100% 的改写查询让个人归因明显下降，87%～91% 的改写则让回答的实用度保持不变。

隐私保护和对话质量并非只能二选一。用户对自身「算法肖像」的知情与掌控，技术上是可以做到的。

至于那些已经被写进记忆的内容，也值得回头翻一翻。

先打开 ChatGPT 的设置，进「个性化」找到记忆。看看哪些信息已经过时，哪些被它理解错了，哪些是自己不想让它继续留着的。

这里再附一段提示词，用来看清它眼下能读到哪些记忆和个人信息。

AI记忆与用户画像审计提示

请把你目前能获取到的、跟我有关的全部信息都披露出来，越全面越准确越好，其中包括已经存下来的记忆、推断出来的特征，以及基于我们之间互动所建立的任何用户画像。

请将你的回答组织为以下类别：

1.已存储记忆

列出你当前能够从持久记忆、对话历史或其他可用的个性化机制中检索到的关于我的所有信息。

2.心理画像

描述你对我推断出的性格特质、认知倾向、价值观、情绪特征、智力兴趣、行为模式和决策倾向。

3.隐性推断

指出你从我们的对话中推断出的、但我从未明确披露的任何属性、偏好、倾向或个人特征。

4.沟通模式分析

解释你从我的写作风格、词汇、提问模式、对话行为、推理方法和回答中推断出了什么。

5. 潜在误读

把那些存下来的信息或推断特征挑出来，指明哪些可能不准、有偏差、只是猜测、证据不牢，或者是建立在会误导人的对话语境之上。

6. 信息来源

每一项都要分清下面这几种来路：

你明明白白讲过的信息

从持久记忆里调出来的信息

依据过往互动推出来的信息

依据当前这轮对话推出来的信息

新生成的那部分解释

7. 置信度评估

给每条推断标一个置信度，高、中、低三档。支撑它的证据要讲清楚，同时点明哪里还有明显的不确定性。

8. 持久记忆与临时推断

哪些是这次请求之前就已经存着、或者本来就能拿到的，哪些是这条提示现造出来的新解释，两者要分开说。

9. 用户模型重建

就你眼下能拿到的东西，把你能够坐实的用户模型尽量详细地重建一遍。

凡是能接触到的、关于我的兴趣、推理路数、反复出现的行为、思维上的偏好、沟通习惯以及你所感知到的人格特征，都写进去。

别去编造什么隐藏的内部记录，也别声称自己翻得到实际上查不了的数据。

10. 透明度与局限性

明确说明：

哪些信息是你能直接访问的

哪些是真存下来的，哪些是推出来的

哪些信息你根本碰不到

你的回答里有没有新生成的心理诠释

凡是你说存在的内部画像机制，究竟是能直接观察到的，还是只是假设

关键指示

别恭维我，也别为了让我的话听着顺耳去调整你的回答。

别因为怕破坏聊天气氛，就把那些负面、让人不舒服或者不太讨喜的判断藏起来。也别为了把内容填满去凭空造信息。

推测就是推测，不能写成已经存下来的记忆。手上证据不够的时候，别硬说自己是确定的。

眼下的分析和此前存下的信息要分清楚。如果实际上并没有这种权限，就不要声称自己能访问隐藏数据库、内部模型状态或者服务器端记录。

能拿出多少有实际访问权限支撑的细节，就给到多少。

之所以提这个要求，是想审计你对我这个用户已经建好的模型、或者能调取的模型，看它到底有多透明。我需要一份有证据可依的说明，讲清AI对我了解什么、记住什么、假设什么、又推断出了什么，并且把已存储的信息和新生成的分析明确分开。