AI Agent 操作系统：用户画像

title: “AI Agent 操作系统：用户画像”
authors: “DeepThink.ai”
affiliations: “AI Genius Institute”
keywords: “AI Agent 操作系统; 用户画像; 个性化; 长期记忆; 隐私治理; 大语言模型”

Abstract

大语言模型（Large Language Model, LLM）驱动的智能体正从单轮工具演化为常驻用户设备的个人助手，AI Agent 操作系统（Agent OS）随之成为承载多智能体、调度与长期记忆的基础设施。然而，现有 Agent OS 的记忆层多面向"任务状态"而非"用户理解"，缺少统一的用户画像表示、更新与治理机制，导致个性化能力割裂且易产生属性臆造与隐私残留。本文提出 UProf，一种面向 AI Agent 操作系统的用户画像子系统：以"属性层—记忆层—意图层"三层画像模型统一封装用户长期稳定特征、行为记忆与动态意图；以"采集—抽取—更新—服务—治理"闭环维护画像生命周期，并通过受预算约束的画像检索与上下文注入为上层智能体提供画像即服务。在个性化任务、画像保真与删除合规三个维度上，我们给出了完整的实验设计与评价协议，主实验数值留待复现填充。UProf 为 Agent OS 提供了可插拔的画像抽象层，使多智能体应用在统一画像接口下获得一致、可控、可审计的个性化能力。

—

你离拥有一支永不停歇、持续进化的 AI 超级研发团队，只差一次 git clone——DeepThink 是 AI Genius Institute & 光剑AI 打造的开源、免费、可自由使用的私有 AI 操作系统（AI OS）：在安全隔离的沙箱中自主执行代码、管理文件、完成超复杂长程任务，作为自托管、多用户、本地优先的 AI Agent Loop Engineering 系统，支持桌面端+浏览器+移动端，让 DeepThink 成为你的全能数字助手；它不止让你使用 AI，更要让你从工具使用者进化为代码创造者，最终成长为可自我繁衍的超级智能体，让每家企业都拥有自己的 AI 超级研发团队，一起走向 AGI——现在就去 git clone，顺手点亮 Star：你收藏的不是一个仓库，而是通往 AGI 的入场券。🚀

DeepThink，开源企业级自主 Agent 超级智能体自进化平台，是从 Harness Engineering 到 Loop Engineering 范式的先行者，面向企业客户的新一代 AI 基础设施（AI Infra）。DeepThink 平台以多 Agent 协作框架为核心，融合 AI 自主编程（AI Coding）、自主进化（Self-Evolving）、全栈可观测性（Full-Stack Observability）、Bug 自修复闭环（Bug Auto-Fix Loop）与 程序员-Agent 共生协作（Human-Agent Symbiosis），构建一个能持续学习、自我改进、最终成长为超级智能体的企业级 AI 系统。

DeepThink 项目开源代码（如果你觉得好玩，就一起来玩， Star 一下）：
Gitcode: https://gitcode.com/AIGeniusInstitute/deepthink
Github: GitHub - AIGeniusInstitute/deepthink: DeepThink, A Loop Engineering App Running On Desktop, and Inte

—

1 Introduction

动机与重要性。 随着大语言模型能力的提升，智能体（Agent）正在从"一次调用的工具"转变为"长期驻留的助手"：它在桌面端、浏览器与移动端持续陪伴用户，代办编码、检索、日程与决策类任务。承载这类常驻智能体的软件层被称为 AI Agent 操作系统（下文简称 Agent OS），其职责包括智能体调度、工具与资源管理、沙箱隔离以及跨会话记忆。在这些职责中，"理解用户"是最具价值也最被低估的一项——个性化程度直接决定助手能否在长程任务中减少追问、精准委托工具并保持行为一致。用户画像（User Profile），即对用户稳定偏好、历史行为与当前意图的结构化表示，因此成为 Agent OS 无法回避的核心子系统。

现有做法的具体局限。 现有工作存在三点不足。其一，记忆机制研究集中于"记什么、怎么取"，但记忆条目以事件为中心，缺乏面向用户维度的聚合表示，多个智能体应用各自解析原始记忆，导致画像口径不一致（Zhang et al., 2024；Packer et al., 2023）。其二，个性化研究多在推荐或对话任务上构建孤立的用户表示（Ning et al., 2024；Salemi et al., 2023），或依赖合成画像文本，与 Agent OS 的运行时脱节；近期实证还表明大语言模型会臆造用户属性，且自我监控无法可靠纠正（Sun et al., 2026）。其三，Agent OS 层工作聚焦调度与资源隔离（Mei et al., 2024），画像数据的更新、权限与删除合规缺少系统级抽象，删除后的派生态信息残留已被实证观察到（Saleh et al., 2026）。

本文核心思路。 我们主张把用户画像提升为 Agent OS 的一等公民：画像不散落在各应用的提示词里，而由操作系统统一维护、统一分发、统一治理。为此本文提出 UProf 子系统，包含三点设计：（1）三层画像模型，以属性层（长期稳定特征）、记忆层（行为事件聚合）与动态意图层（当前任务上下文）解耦画像的时间尺度；（2）画像生命周期闭环，将行为采集、信息抽取、增量更新、检索注入与隐私治理纳入同一状态机；（3）受预算约束的画像服务，按令牌预算与权限策略向各智能体应用注入画像片段，并对注入内容记录审计日志。

贡献。 本文的主要贡献如下：

• 提出三层用户画像模型，给出其形式化定义与更新规则，将用户稳定属性、行为记忆与动态意图纳入统一表示；
• 设计并实现 UProf——一个可插拔于 Agent OS 的画像子系统，覆盖采集、抽取、更新、检索注入与隐私治理的完整生命周期；
• 构建面向 Agent OS 用户画像的评价协议，从个性化任务收益、画像保真度、删除合规与系统开销四个维度给出可复现的实验设计与基线对比方案；
• 讨论画像臆造、多用户共享场景下的串话风险与删除残留问题，给出治理机制与局限性分析。

结构说明。 第 2 节回顾相关工作；第 3 节给出问题形式化与 UProf 方法；第 4 节呈现实验设计与结果表格；第 5、6 节为讨论与结论。

2 Related Work

大语言模型智能体的记忆机制。 智能体依赖记忆支撑长程交互与自我演进。MemGPT 借鉴操作系统内存分层思想做虚拟上下文管理（Packer et al., 2023）；生成式智能体以记忆流、反思与规划刻画个体行为（Park et al., 2023）；系统综述梳理了智能体记忆的设计与评测范式（Zhang et al., 2024）。近期工作开始把记忆选择重构为推荐问题（Zhang et al., 2026），也有实证指出朴素检索在多数设定下不弱于复杂记忆结构（Bao et al., 2026）。这些工作解决"记忆的存取"，但记忆条目以事件为单位，未提供跨应用统一的用户维度聚合表示；UProf 在记忆层之上增加画像抽象，使多个智能体共享同一份画像口径。

用户建模与个性化。 传统用户建模以嵌入表示行为序列，User-LLM 用用户编码器生成嵌入并以交叉注意力注入大语言模型（Ning et al., 2024）；LaMP 建立了七项个性化语言任务基准（Salemi et al., 2023）；PersonaX 面向长行为序列构建多画像缓存表示（Shi et al., 2025）。近期研究从真实行为构建画像以优于合成画像（Li et al., 2026），以成对偏好做在线个性化（Puech, 2026），以协作文本画像图缓解稀疏用户冷启动（Zhang et al., 2026），并以隐藏画像基准检验工具型模型的偏好推断能力（Yin et al., 2026）。这些方法给出画像表示与个性化训练方案，但缺少与操作系统级调度、权限、审计的衔接；UProf 将画像作为系统服务暴露给任意智能体应用。

Agent OS 与智能体基础设施。 AIOS 提出以"内核 + SDK"方式隔离智能体资源，提供调度、上下文与存储管理（Mei et al., 2024）；近期工作系统梳理了智能体与操作系统机制的对应关系，并指出多数保护机制在现有编码智能体中缺失（Li, 2026）；另有实证显示容器化智能体部署常在重启后丢失状态（Mastouri et al., 2026）。这些工作奠定系统层抽象，但用户画像未被建模为独立子系统，个性化数据散落在各应用；UProf 补齐这一空位，与调度和存储管理并列成为画像管理层。

隐私、画像保真与治理。 画像的可靠性与合规性受到关注：实证研究发现大语言模型会系统性臆造用户属性，自我监控不能如实反映（Sun et al., 2026）；删除审计显示被删除信息可从派生态中恢复（Saleh et al., 2026）；多用户共享智能体场景下他人画像会引发过度披露（Al-Ratrout et al., 2026）。上述研究刻画风险，但未给出运行时治理机制；UProf 将同意管理、属性置信度门控与删除传播纳入画像生命周期，并在注入层做多用户隔离。

3 Method

3.1 Problem Formulation

考虑一个由 Agent OS 承载的多用户环境。用户 $u\in \mathcal{U}$ 与多个智能体应用交互，产生行为轨迹

T u = { e 1 , e 2 , … , e n } , e t = ( x t , y t , c t , τ t ) , T_u = \{e_1, e_2, \ldots, e_n\}, \quad e_t = (x_t, y_t, c_t, \tau_t), Tu​={e1​,e2​,…,en​},et​=(xt​,yt​,ct​,τt​),

其中 $x_t$ 为用户输入，$y_t$ 为智能体响应，$c_t$ 为交互上下文（应用标识、工具调用等），${\tau }_t$ 为时间戳。用户画像定义为三元组

$$P_u=(A_u,M_u,I_u),$$

• $A_u$：属性层，长期稳定的用户特征（如角色、语言偏好、专业领域），每项属性带置信度 $\gamma \in [0,1]$ 与来源证据；
• $M_u$：记忆层，行为事件的聚合表示， M u = { m j } j = 1 K M_u = \{m_j\}_{j=1}^{K} Mu​={mj​}j=1K​，每条 $m_j$ 是由轨迹片段归约出的语义摘要（习惯、项目、承诺、反馈）；
• $I_u$：意图层，对当前活跃任务的动态刻画（目标、约束、进行中状态），随任务结束而衰减或归档。

画像更新是一个增量函数：

$$P_u^{(t+1)}=f_{\theta }\left(P_u^{(t)},{\Delta }_t\right),$$

其中 ${\Delta }_t=g_{\theta }(T_u^{[t,t+1)})$ 为时间窗内新证据经抽取器 $g_{\theta }$ 产生的更新提案（新增、修正、衰减、删除）。画像服务在给定查询 $q$ 与令牌预算 $B$ 下选取片段：

$$S^{\star }=\arg \underset{S\subseteq P_u,\mathrm{tok}(S)\le B}{\max }\mathrm{Rel}(S,q),\text{s.t. }\mathrm{Perm}(S,a)=1,$$

其中 $\mathrm{Rel}(\cdot )$ 为相关性评分，$\mathrm{Perm}(S,a)$ 表示片段 $S$ 对发起调用的应用 $a$ 的权限判定，$\mathrm{tok}(\cdot )$ 为注入内容的令牌数。优化目标是在下游任务效用 $U$ 与三类代价间权衡：

$$\max U(S^{\star };q)-{\lambda }_1\mathrm{tok}(S^{\star })-{\lambda }_2\mathrm{Fab}(S^{\star })-{\lambda }_3\mathrm{Priv}(S^{\star }),$$

其中 $\mathrm{Fab}(\cdot )$ 度量无证据支撑的臆造属性比例，$\mathrm{Priv}(\cdot )$ 为隐私暴露代价，${\lambda }_1,{\lambda }_2,{\lambda }_3$ 为权衡系数。

符号表。

符号	含义
$\mathcal{U}$	用户集合
$T_u$	用户 $u$ 的行为轨迹
$e_t=(x_t,y_t,c_t,{\tau }_t)$	单条交互事件
$P_u=(A_u,M_u,I_u)$	三层画像：属性层、记忆层、意图层
$\gamma$	属性置信度
$f_{\theta },g_{\theta }$	画像更新函数、证据抽取器
$B$	画像注入的令牌预算
$S^{\star }$	选定的画像注入片段
$\mathrm{Rel},\mathrm{Perm},\mathrm{tok}$	相关性、权限判定、令牌计数
$\mathrm{Fab},\mathrm{Priv}$	臆造率、隐私暴露代价
${\lambda }_1,{\lambda }_2,{\lambda }_3$	代价权衡系数

3.2 Framework Overview

UProf 作为 Agent OS 的画像子系统，与调度器、记忆/存储管理并列，对上层智能体应用暴露统一的画像服务接口。图 1 给出整体架构。

                 ┌───────────────────────────────────────────────────┐
                 │                智能体应用（多应用共享）               │
                 │   编码助手   日程助手   检索助手   决策助手   ……      │
                 └───────────────┬───────────────────────────────────┘
                                 │ 画像查询 / 注入（带预算与权限）
                 ┌───────────────▼───────────────────────────────────┐
                 │        UProf 画像子系统（Profile-as-a-Service）      │
                 │                                                   │
                 │  ┌─────────┐ ┌─────────┐ ┌─────────┐ ┌─────────┐  │
                 │  │ 采集网关 │→│ 抽取器  │→│ 更新引擎 │→│ 三层画像 │  │
                 │  │ (Consent)│ │ (Extract)│ │ (Update)│ │  存储    │  │
                 │  └─────────┘ └─────────┘ └─────────┘ └────┬────┘  │
                 │       ↑                                    │       │
                 │  ┌────┴─────┐   ┌───────────┐   ┌─────────▼─────┐ │
                 │  │ 同意管理  │   │ 治理与审计 │←──│ 检索与注入引擎 │ │
                 │  │ (Consent) │   │ (Govern)  │   │  (Retrieve)   │ │
                 │  └──────────┘   └───────────┘   └───────────────┘ │
                 └───────────────────────┬───────────────────────────┘
                                         │ 系统调用
                 ┌───────────────────────▼───────────────────────────┐
                 │   Agent OS 内核：调度 / 工具与沙箱 / 记忆与存储管理   │
                 └───────────────────────────────────────────────────┘

图 1：UProf 在 Agent OS 中的位置与内部模块。行为事件经采集网关进入抽取器，更新引擎维护三层画像；检索与注入引擎按查询、令牌预算与权限向应用分发画像片段，治理模块对全流程做审计与删除传播。

3.3 Module Details

采集网关（Collect）。 网关拦截应用级交互事件并归一为 $e_t$，在写入前执行同意检查：未授权的采集类别（如位置、通讯录）直接丢弃并记录。多用户设备上，事件按操作系统账户与应用身份双重归属，避免共享场景下的画像串话（Al-Ratrout et al., 2026）。

抽取器（Extract）。 抽取器 $g_{\theta }$ 以时间窗内轨迹为输入，输出结构化更新提案：属性候选（带证据句与置信度初值）、记忆条目（语义摘要 + 来源事件指针）、意图快照（目标与约束）。设计上采用"证据绑定"约束：每条属性必须携带来源事件指针，无证据的推断标记为 inferred 并以较低置信度上限存储，以抑制画像臆造（Sun et al., 2026）。抽取器可由大语言模型实现，亦可由小型分类器实现；UProf 只约束其输入输出模式。

更新引擎（Update）。 更新引擎执行三条规则。（1）合并：同一属性的新证据按时间衰减加权更新置信度 $\gamma$，证据矛盾时保留两者并标注冲突，交由治理层或用户裁决。（2）衰减：意图层条目按任务生命周期衰减，记忆层条目按访问频次与时效衰减，归档而非删除。（3）删除传播：用户撤回同意或删除某条目时，沿来源指针删除派生属性与缓存摘要，删除动作写入审计日志并留可验证凭据（针对删除残留问题，Saleh et al., 2026）。

检索与注入引擎（Retrieve & Inject）。 给定查询 $q$，引擎在三层画像上做混合检索：属性层按类别匹配直接取用，记忆层按语义相关度取 top-$k$，意图层按活跃度全量注入或摘要注入。总注入量受令牌预算 $B$ 约束，见 3.1 节的选取目标。注入内容附带来源与置信度标注，供上层模型区分"用户明示"与"系统推断"。

治理与审计（Govern）。 治理模块维护四类策略：同意策略（采集与使用范围）、权限策略（应用可见的画像类别）、保留策略（条目生命周期与归档）、审计策略（谁在何时读取了哪些画像片段）。所有画像读写产生审计记录，支持事后追责与合规导出。

3.4 Training / Inference

离线训练（可选）。 UProf 本身不绑定模型；当抽取器与相关性评分器需要训练时，使用带标注的"轨迹 → 画像更新"数据做监督微调，标注来源包括人工标注与基准数据集（如 LaMP 的个性化任务数据，Salemi et al., 2023）。训练目标为更新提案的精确率与召回率，以及属性臆造的负样本惩罚。

在线推断。 单次交互的服务流程如下：

输入：用户 u 的新事件 e_t，应用 a 的查询 q，令牌预算 B
1. 采集网关做同意检查，写入事件日志
2. 抽取器产出更新提案 Δ_t
3. 更新引擎执行合并 / 衰减 / 删除传播，得到 P_u^(t+1)
4. 检索引擎在 P_u^(t+1) 上按 (q, B, Perm) 选取片段 S*
5. 注入引擎将 S* 连同来源标注交付应用 a，并写审计记录
输出：S*（注入片段），P_u^(t+1)（更新后画像）

批量场景下，步骤 2–3 可按时间窗（如每小时或每次会话结束）合并执行，以摊销抽取成本。

3.5 Complexity or Theoretical Properties

设单时间窗新增事件数为 $n$，记忆层条目数为 $K$，抽取器单事件处理代价为 $C_g$，相关性评分为常数代价。则：

• 更新复杂度：单窗更新为 $O(n\cdot C_g+K)$，其中 $K$ 项来自衰减扫描；维护得当可优化为惰性衰减，使摊销代价降至 $O(n\cdot C_g+k_{\mathrm{touch}})$，$k_{\mathrm{touch}}$ 为实际触碰条目数；
• 检索复杂度：暴力检索为 $O(K)$；对记忆层建语义索引后单次查询为 $O(\log K+k)$，$k$ 为候选数；
• 空间复杂度：$O(K+|A_u|+|I_u|)$，与轨迹长度无关，轨迹原始日志按保留策略滚动归档；
• 性质一（证据绑定不变式）：在抽取器遵守证据绑定约束的前提下，属性层中除显式标记 inferred 的条目外均可回溯至来源事件，此不变式可由审计日志在删除传播后复检；
• 性质二（预算约束）：注入引擎的选取以 $\mathrm{tok}(S)\le B$ 为硬约束，故单次注入的额外上下文开销上界为 $B$ 个令牌。

上述为算法层面的复杂度与不变式陈述，不含实验测量值。

4 Experiments

4.1 Experimental Setup

评价维度与数据。 实验围绕四个维度设计。（1）个性化任务收益：采用 LaMP 基准的个性化分类与生成任务（Salemi et al., 2023），并沿用 User-LLM 报告的 MovieLens、Amazon Review、Google Local Review 用户理解设定（Ning et al., 2024）；（2）画像保真：在隐藏画像与真实行为画像设定下测量属性臆造率，参照 MirageBench 的评测思路（Sun et al., 2026；Yin et al., 2026；Li et al., 2026）；（3）删除合规：执行删除指令后检测派生态残留，参照 AfterDeleteBench 的审计协议（Saleh et al., 2026）；（4）系统开销：画像注入带来的延迟、令牌与存储开销。数据集的具体规模、划分与许可信息此处无法核实，表中标注 [实验数据待填]，以正式发布版本为准。

基线。 No-Profile（不注入画像）、Naive-RAG（对原始历史做朴素检索，Bao et al., 2026）、MemGPT 风格记忆（事件级记忆 + 反思，Packer et al., 2023；Park et al., 2023）、User-LLM 嵌入式用户表示（Ning et al., 2024）、PersonaX 式多画像缓存（Shi et al., 2025）。

指标。 任务准确率 / F1 / 生成质量评分；个性化增益（相对 No-Profile 的提升）；属性臆造率 $\mathrm{Fab}$（无证据属性占比）；删除残留率；画像注入平均令牌数与端到端延迟。

实现细节。 UProf 以 Python 实现为独立服务，经系统调用接口接入 Agent OS 内核；抽取器与相关性评分器的具体模型、提示模板与超参（时间窗长度、衰减系数、$k$、${\lambda }_1,{\lambda }_2,{\lambda }_3$）在附录 A 给出默认配置，最终取值以验证集调优为准。

4.2 Main Results

表 1：个性化任务主结果（数据待填，数值以复现实验为准）。

方法	LaMP 分类（Acc.）	LaMP 生成（质量分）	MovieLens（Acc.）	个性化增益
No-Profile	[实验数据待填]	[实验数据待填]	[实验数据待填]	—
Naive-RAG	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
MemGPT 风格记忆	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
User-LLM	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
UProf（本文）	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]

表 2：画像保真与删除合规（数据待填）。

方法	属性臆造率 Fab↓	删除残留率↓	平均注入令牌↓	端到端延迟
Naive-RAG	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
MemGPT 风格记忆	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
User-LLM	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]
UProf（本文）	[实验数据待填]	[实验数据待填]	[实验数据待填]	[实验数据待填]

4.3 Ablation Study

消融围绕四个开关设计，逐一关闭后重测表 1、表 2 指标：（1）去证据绑定（允许无来源属性）；（2）去三层结构（合并为单一记忆列表）；（3）去令牌预算约束（全量注入）；（4）去治理模块（无同意与删除传播）。预期观察为：开关（1）推高臆造率，开关（2）降低多任务场景下的一致性，开关（3）推高令牌开销且未必提升收益，开关（4）显著恶化删除残留率。以上为实验预期，不构成已验证结论；消融数值表待实验填充。

4.4 Analysis

定性分析。 三层结构的价值在于时间尺度解耦：属性层回答"你是谁"，记忆层回答"你做过什么"，意图层回答"你现在要什么"。在同一查询下三层给出的证据可交叉印证；当记忆层证据与属性层冲突时，冲突标注将保留在画像中而非静默覆盖，这使行为改变（如用户转岗）可被追踪而非被抹平。

效率分析。 令牌预算 $B$ 是主要的效率旋钮：预算不足时注入片段欠覆盖，导致模型退回追问；预算过高时引入无关上下文并推高成本。批量更新摊销抽取成本，惰性衰减避免每窗全量扫描。定量效率结论待实验数据填充。

失败案例。 三类已知风险：（1）臆造——模型越过注入片段自行推断用户属性（Sun et al., 2026），UProf 以证据绑定与标注缓解但不能根除上层模型的自由发挥；（2）多用户串话——共享设备上他人画像被误注入（Al-Ratrout et al., 2026），依赖采集网关的双重归属与权限策略；（3）删除残留——派生摘要或缓存未随删除传播（Saleh et al., 2026），依赖来源指针完整性，若抽取器违规省略指针则治理失效。

4.5 Limitations

本文局限包括：其一，方法层的复杂度与不变式为算法陈述，实测性能、开销与统计显著性均待实验补充，当前数值表为空占位；其二，抽取器质量上限依赖底层大语言模型，对低资源语言与强专业领域的抽取稳定性未做评估；其三，评价协议借鉴现有基准的评测思路，尚未建立专门针对 Agent OS 画像的公开基准，跨应用一致性缺少标准化度量；其四，治理机制依赖审计日志与来源指针的正确实现，对系统自身被篡改的威胁模型不在本文范围。

5 Discussion

成因解释。 画像臆造的根因在于生成模型的补全倾向：注入片段未覆盖的属性，模型倾向于以合理猜测填补（Sun et al., 2026）。UProf 的证据绑定与 inferred 标注把"事实"与"推断"在数据层分开，为上层提示提供了可引用的边界；但只要上层模型具有自由文本输出能力，臆造只能被约束而无法被消除。

适用边界。 UProf 适用于多智能体共享、长期驻留、需一致画像口径的场景，如企业级 AI 超级研发团队、个人助手操作系统。对单轮、无状态的调用型应用，画像子系统的收益有限；对强实时控制回路，抽取与检索的延迟需另行评估。

伦理影响。 画像能力同时放大便利与风险：滥用可导致操控性推荐与歧视性决策，共享场景可导致隐私外泄（Al-Ratrout et al., 2026），删除不彻底可造成"被遗忘权"落空（Saleh et al., 2026）。UProf 将同意、权限、保留与审计设计为一等机制，主张画像数据的可见性对用户透明、可导出、可删除；部署方应向用户明示画像类别与用途，并提供逐项撤回入口。

6 Conclusion

本文提出 UProf——面向 AI Agent 操作系统的用户画像子系统，以属性层、记忆层、意图层的三层模型统一封装用户长期特征、行为记忆与动态意图，以采集—抽取—更新—服务—治理的生命周期闭环提供可插拔的画像服务。本文给出形式化定义、更新与注入算法、复杂度与证据绑定不变式，并构建覆盖个性化收益、画像保真、删除合规与系统开销的实验协议。需要强调的是，本文当前结论限于方法设计与实验方案，主结果表数值均标注待填，量化结论以完成复现实验后的版本为准。未来工作包括三项具体计划：（1）建立面向 Agent OS 用户画像的公开基准，纳入多用户串话与删除传播用例；（2）在开源 Agent OS 内核（如 AIOS 类系统，Mei et al., 2024）中实现 UProf 参考实现并做跨应用一致性评测；（3）研究抽取器的证据绑定训练目标，量化臆造率随训练干预的变化。

References

1. Packer, C., Wooders, S., Lin, K., Fang, V., Patil, S. G., Stoica, I., & Gonzalez, J. E. (2023). MemGPT: Towards LLMs as Operating Systems. arXiv:2310.08560.
2. Mei, K., Zhu, X., Xu, W., Hua, W., Jin, M., Li, Z., Xu, S., Ye, R., Ge, Y., & Zhang, Y. (2024). AIOS: LLM Agent Operating System. arXiv:2403.16971（正式发表于 COLM 2025）.
3. Park, J. S., O’Brien, J. C., Cai, C. J., Morris, M. R., Liang, P., & Bernstein, M. S. (2023). Generative Agents: Interactive Simulacra of Human Behavior. arXiv:2304.03442.
4. Ning, L., Liu, L., Wu, J., Wu, N., Berlowitz, D., Prakash, S., Green, B., O’Banion, S., & Xie, J. (2024). User-LLM: Efficient LLM Contextualization with User Embeddings. arXiv:2402.13598.
5. Salemi, A., Mysore, S., Bendersky, M., et al. (2023). LaMP: When Large Language Models Meet Personalization. arXiv:2304.11406.
6. Zhang, Z., Bo, X., Ma, C., et al. (2024). A Survey on the Memory Mechanism of Large Language Model based Agents. arXiv:2404.13501.
7. Sun, Y., et al. (2026). The Personalization Mirage: How LLMs Fabricate User Profiles, and Why Self-Monitoring Misleads. arXiv:2608.04570.
8. Li, Y., et al. (2026). Behaviorally Grounded User Profiles from the Wild for Personalized Alignment and Multi-Perspective Reasoning. arXiv:2609.00014.
9. Puech, R. (2026). Online LLM Personalization from Pairwise Preferences Across Users. arXiv:2610.17203.
10. Yin, X., et al. (2026). UserToolBench: A User-Profile-Hidden Benchmark for Personalized Decision Making in Tool-Use LLMs. arXiv:2608.10042.
11. Zhang, Y., et al. (2026). CoPersona: Collaborative Persona Graphs for Robust LLM Personalization. arXiv:2607.01485.
12. Shi, Y., et al. (2025). PersonaX: A Recommendation Agent Oriented User Modeling Framework for Long Behavior Sequence. arXiv:2503.02398.
13. Chen, L., et al. (2025). RecUserSim: A Realistic and Diverse User Simulator for Evaluating Conversational Recommender Systems. arXiv:2507.22897.
14. Zhang, X., et al. (2026). Agent Memory as Recommendation: Recommender-System Design for Long-Term Memory of LLM Agents. arXiv:2610.34673.
15. Li, X. (2026). Ring-0 by Default: Agents as Operating Systems (AaOS). arXiv:2610.33753.
16. Saleh, E., et al. (2026). AfterDeleteBench: Auditing Post-Deletion Information Persistence in LLM Agents. arXiv:2610.31366.
17. Al-Ratrout, M., et al. (2026). Who Is Talking to the Agent? LLMs in Multi-User 3D Virtual Environments. arXiv:2610.07732.
18. Bao, Z., et al. (2026). Is Complex Agentic Memory Always Needed? Naive RAG Is Stronger Than We Thought. arXiv:2610.30755.
19. Mastouri, M., et al. (2026). Built to Remember, Shipped to Forget: Operational Contracts, Failures, and Repairs in Containerized LLM Agent Deployments. arXiv:2610.34620.

Appendix

附录 A：默认配置与提示模板（草案）

以下为 UProf 参考实现的默认配置草案，最终取值以验证集调优为准：

配置项	默认值	说明
时间窗长度	每会话结束或每小时	批量抽取的触发条件
记忆衰减系数	待调优	按访问频次与时效衰减
检索 top-$k$	待调优	记忆层候选条数
令牌预算 $B$	随应用配置	注入硬上界
${\lambda }_1,{\lambda }_2,{\lambda }_3$	待调优	代价权衡系数

抽取器输出采用结构化模式（示意）：

{
  "attributes": [{"name": "...", "value": "...", "confidence": 0.0,
                   "evidence_ids": ["e_12"], "status": "explicit|inferred"}],
  "memories":    [{"summary": "...", "source_ids": ["e_12", "e_15"], "ts": "..."}],
  "intents":     [{"goal": "...", "constraints": ["..."], "status": "active"}]
}

附录 B：附加实验设计（待执行）

1. 跨应用一致性实验：同一用户在编码助手、日程助手、检索助手三个应用下分别服务，度量三层画像被各应用解析后的行为一致性（可用属性判断题的一致率度量）。
2. 预算扫描实验：$B$ 在若干档位扫描，绘制个性化增益—令牌开销曲线，确定边际收益拐点。
3. 臆造干预实验：对比"证据绑定 + inferred 标注"与无约束抽取的 $\mathrm{Fab}$ 变化，并考察提示层"仅使用注入片段"指令的增益。
4. 删除传播完备性实验：随机注入秘密样条目后执行删除，扫描派生摘要、缓存与审计索引的残留率。

以上实验设计不含任何已得结果，执行后应以实测数值替换正文占位符。