该论文研究 GPU 上 GDDR 显存的 Rowhammer 攻击为何长期比 CPU 侧弱得多，并提出 GPUThor 显著放大其实际危害。背景问题是：Rowhammer 通过高频反复访问特定 DRAM 行，干扰相邻行电容，诱发比特翻转，从而实现数据篡改与权限提升。此前针对 GPU 的 Rowhammer 研究只能触发几十到几百次比特翻转，比 CPU 侧的攻击低几个数量级，因而难以构成现实威胁。作者指出，这一差距的根源在于既有 GPU 攻击依赖“均匀敲击”模式：侵略者行与诱饵行被同等强度激活，导致真正需要被反复激活的侵略者行强度不足。GPUThor 的核心方法有两点：第一，逆向工程 GPU 的内存访问合并（coalescing）行为，从而在 GPU 上构造“非均匀敲击”模式，使侵略者行被激活的强度明显高于诱饵行；第二，识别 DRAM 刷新周期中施加在片内缓解机制（in-DRAM mitigation）的时机，构造跨越刷新间隔的更长访问模式以规避缓解措施，进一步提高敲击强度。二者结合后，在 NVIDIA A4000、A4500、A5000、A6000 等多款 GPU 上，比特翻转数量比既有 GPU Rowhammer 攻击提升 500 倍至 23500 倍，翻转速率接近最先进的 CPU Rowhammer 攻击。除放大翻转率外，GPUThor 还首次实现了针对启用 ECC 的 GPU 的 Rowhammer 利用，能够诱发不可纠正的双比特与三比特翻转，使拒绝服务攻击与权限提升攻击在开启 ECC 的 GPU 上同样具备现实可行性。论文视角涵盖研究问题（GPU Rowhammer 强度为何不足）、核心方法（非均匀敲击与跨刷新间隔规避缓解）、主要贡献（量级提升 + 首次突破 ECC）与适用读者；适合 GPU 架构、硬件安全、云多租户隔离与数据中心安全方向的工程师与研究者在抽象层面跟进。

本文介绍 MutMem-V2，一个面向持久化代理记忆（persistent agent memory）的密码学授权变异（cryptographically authorized mutation）协议。V1 版本虽然提出了保留记忆的变异机制，但缺少可移植的验证契约和干净的安装复现路径。V2 在不引入第二套记忆引擎的前提下，填补了该发布空白，明确定义了规范字节序列、域分离的对象与包承诺、强制性的召回证据成员与排序、外部信任锚、身份纪元、撤销、授权、请求回执、有序披露以及三种变异终止类型。协议共包含 18 个版本化对象 schema、39 个召回向量、15 个变异向量和 37 个闭环召回失败原因。独立的 Node 和 Python 实现对于全部 72 个结构和密码学终止节点的判定与主要原因完全一致；一个生产一致性语料库在 28 个必需类别上的 42/42 个案例全部通过。干净的 Node v26.8.1 安装能够达到首次启动、重启和调度器就绪状态，且无任何实验记忆。一个独立范围的 120 单元 Canary 实验仅支持显式标记遍历。所有公开表格均从自哈希聚合重新生成，独立验证器可重建统计和声明边界。V1 的历史实证结果仍作为历史保留。MutMem-V2 在既定假设下支持关于可移植完整性、授权、可追溯性、一致性和可复现性的声明，但并不建立语义真实性、通用鲁棒性或独立复制。本文适合研究代理记忆安全、密码学协议验证以及 LLM 代理可审计性的安全工程师和研究人员阅读。

该论文提出 MutMem，一个用于持久化智能体内存的授权变更协议，并集成在 HOM-AIMOS 持久化内存引擎中。核心问题在于：持久化内存需要根据后续结果调整早期证据，但可变的检索权重会引发“归因问题”——审查者必须区分经授权的自适应变更与数据库篡改。MutMem 通过保留内存内容、记录带签名的正面和负面结果证据（无年龄过期）、并将每个非平凡权重变更作为“管家授权”的转换提交来解决该问题。每个转换绑定一个终端溯源节点、签名者时期、量化后的新旧权重、无分叉前驱，以及两个域分离的 SHA-256 承诺。Ed25519 验证在数据库写入器和便携验证器中均执行。被分类为“疑似中毒”的内容会被保留，并附带可修订的签名标签，召回时作为信任证据。实验方面：HOM-AIMOS 在 LongMemEval 上通过 LLM 评判正确回答 459/500（91.8%）；在 LoCoMo 上获得 74.12% 的评判准确率，并在另一个上游兼容协议下获得 58.20 的 token F1。原生测试套件通过所有声明的授权、拓扑、篡改、签名者时期和变更后召回测试；签名转换的中位延迟为 4.865 毫秒。在声明 N=100 的 PoisonedRAG 适应实验中，受攻击的前 5 披露中未出现注入毒样本（0/100；95% Wilson 置信上限 3.70%），而在 98 个干净阴性目标中，诱导目标答案攻击成功率为 1/98（1.02%）。一项预注册的四臂消融实验将检索减少归因于签名存储标签：当绕过认知策略时，检索器为 94/100 个目标选择毒样本；恢复标签后为 0/100。MutMem 提供了完整性、授权、可追溯性和历史连续性的证据，但不建立内容真理性。该研究适合关注 LLM 智能体内存安全、数据完整性和投毒防御的研究人员与安全工程师。