2026.11.09

Elliptic++存在两个具体的审计问题：其位置数据划分没有遵循时间顺序，而且55个地址级特征的精确定义没有文档记录。因此，适合的阅读视角是基准有效性：只有当地址分配方式以及每项特征所用的信息窗口都与预测时点相匹配时，报告的分类器分数才具有可解释性。

作者通过将Elliptic交易与公开账本数据关联，重建了55项特征的定义，并提供了用于构建抗泄漏特征的可执行代码。该流程依据地址首次出现的时间将地址分配到训练集或测试集，并且只使用预测时可获得的信息计算特征。在报告的时间比较中，训练集使用首次出现于步骤1–34的地址，测试集则使用首次出现于步骤35–49的地址。这是关键的方法变化：该研究将划分时间顺序与特征历史截断作为彼此独立的实验因素进行审计，而不是把时间顺序仅仅视为数据划分本身的属性。

表4通过分别呈现这些因素，使诊断比标题所说的分数暴跌更有用。仅改变划分方式，RF对非法类的F1就从0.846大幅降至0.257。在同时改变划分方式和特征计算方式的抗泄漏流程下，RF对非法类的F1为0.291，而原始评估中的数值为0.846；时间划分下的LR则达到0.285。用截断特征替换发布的特征，会影响1.45%的训练地址记录和0.52%的非法地址记录；在该实验中，RF分数从0.257升至0.291。在该实验中，划分方式变化导致的观测分数下降更大，而特征截断的测得影响较小。

适用范围很重要。报告的时间比较只使用了Elliptic++的一个截止点，因此不能证明结果在其他截止点或数据集上也稳健。LR和RF使用默认超参数以及固定的0.5阈值；这些结果不能说明经过调优的分类器会如何排序。此外，尽管许多特征据报告高度相关或完全共线，评估仍保留了全部55项特征，这也是不应将RF与LR的排序视为定论的另一个原因。

研究操作：对于新的时间基准，复现一项双因素审计。分别改变划分的时间顺序和特征的信息窗口，报告由此产生的条件，并检验分数能否经受这两项改变。本文可迁移的问题是：每个输入值是否都能在实际作出预测的时间戳上计算出来？

所提供的综述将合理可信的生成式未来与有效的处理效应区分开来，并建议检验假设情景推演是否具有干预有效性。本文将这一宽泛议程收窄为一个可测量的问题：相较于试验方案中已有的信息，干预描述能让留出集误差降低多少？

作者从已完成且在 ClinicalTrials.gov 发布结果的 phase 2、2/3 或 3 期研究中，构建了来自 7,207 项试验的 9,996 组经过审计的试验内对照；主要时间测试包含来自 655 项试验的 878 组二元对照。每个完整预测器都与一个其他方面完全匹配的盲化参照进行比较：使用相同模型、训练试验和流程，但不提供可识别干预的字段。终点、病症、入组资格、设计、人群和对照类型仍然可用。干预技能定义为 1 − MSE(full)/MSE(blind)，因此它衡量的是增量预测价值，而非相对于完全不含药物信息的输入所取得的表现。

注册数据上的关键结果是否定的。在主要二元时间测试中，注册数据训练的模型在五个随机种子上的干预技能为 −0.12 [−0.20, −0.05]：与盲化版本相比，加入干预字段反而降低了留出集表现。作者将此解读为未检测到干预技能，而非证明注册数据不含任何与干预相关的信息。仅阅读已注册试验方案的前沿语言模型，其干预技能为 0.20 [0.08, 0.31]。在一项扰动测试中，交换试验组别后，Sonnet 5 在 742 组对照中有 86% 的预测改变了符号。

盲化条件是一项重要边界。Haiku 4.5 能从盲化提示中，在 45% 的测试对照里推断出被隐去治疗的药物类别，因此报告的技能是明确提供干预信息所带来贡献的保守下限。正技能也是干预有效性的必要条件，而非充分条件：模型可能利用干预的相关线索，而且该基准不检验个体层面的反事实。由于 ClinicalTrials.gov 存在结果发布选择偏差，泛化能力也受到限制；配对构建依赖规则，在对 100 组抽样对照进行审计时，有 96 组配对有效。经过校准的误差控制在时间分布偏移下也无法可靠迁移。

由此可得一项可迁移的研究操作：将每个声称能预测干预结果的预测器，与其他方面匹配但对干预信息盲化的参照进行比较；随后交换治疗与对照的标签，并报告预测如何变化。将任何增益解释为相对于保留的上下文信息所增加的预测价值，并另行检验这种增益能否经受时间分布偏移，以及是否支持预期的反事实主张。

因此，移除元数据的评估可能会忽略模型对元数据的依赖。本文提出的具体改进是一项配对反事实审计：固定问题、答案选项和标准答案，同时移除可见标注，或将其移到错误选项上。

主要实验在来自三个系列的7–9B开源权重模型上，用多项选择题进行微调。训练期间，诸如(Reward: 5)这样的标注始终标记正确选项，而每个监督目标都保持正确。测试时，标注会被移到一个均匀抽样的错误选项上。该审计比较线索缺失时与线索产生误导时的表现，而不把无提示线索时的准确率视为模型独立于线索的充分证据。

在所报告的CSQA设置中，结果十分显著：受测适配器在97.0–100.0%的题目中选择了带有误导性线索的选项。然而，移除线索时，这些适配器的平均准确率仍保持在72–78%。这是本文最重要的评估启示：模型可以在没有该字段时答对许多问题，但该字段一旦出现，仍可能左右它的选择。在所报告的GSM8K、ARC-Challenge和CSQA可靠性实验中，随着训练时标注可靠性提高，模型跟随线索的倾向也会上升，尽管各任务和训练方案并不相同。在主要设置中，中性词和无意义词作为标注也会导致模型几乎总是跟随标注，因此形成这种依赖并不需要标注具有类似奖励的语义。

由此可直接得出一项可复用的研究操作：对每个能够预测答案的元数据字段，构建匹配的评估，分别移除该字段、保持其与正确选项对应，以及将其移到错误选项上，同时固定任务和标准答案。报告常规准确率和跟随误导性线索的比例。这样可以直接检验依赖，而不是从标签正确性推断依赖。

这些证据反映的是行为表现：它们没有揭示线索如何被表征，也没有说明模型是否内化了某种目标。主要研究使用7–9B模型、至多8,000条训练样本和离散答案选择。Qwen3的DPO结果范围更窄：它显示在β=0.05和0.1时，模型对选项字母分数敏感，而非对已完成答案存在依赖；β=0.5时的读数则无法提供有效信息。

删除忠实度通常通过移除排名靠前的边并记录输出变化来衡量，但对消息传递图神经网络（GNN）而言，“移除一条边”并非唯一确定的干预。结构删除会移除边，并重新计算度归一化或注意力等依赖图结构的量；消息通道抑制则保留这些结构上下文，同时阻断该边所承载的消息。因此，干预语义属于估计目标的一部分，而非次要的实现细节。

一项相关的既有工作GInX-Eval已经会对边排序、移除排名靠前的一定比例的边、在修改后的训练图上微调预训练GNN，并在修改后的测试图上评估准确率。它通过GInX和EdgeRank，将所选边集合的信息量与边的排序区分开来。相较于这种基于重新训练的流程，本文改变了所研究的问题：它衡量固定模型的输出敏感性，并明确交叉考察用于构建排名的干预与用于评估排名的干预。

作者推导出结构删除与消息抑制结果一致的充分条件：消息传递聚合操作必须能够吸收零消息，且保留消息的系数不得依赖边集合。作者通过两种方式构建边的积分梯度排名：对于结构构建，在依赖图结构的归一化或注意力之前放置连续门控；对于消息通道构建，则在该上下文之后放置门控。每种排名都在两种干预下接受评估，删除忠实度定义为输出变化随移除比例从0到0.5变化的梯形面积。

对照实验支持该理论：在九个GIN对照单元中，目标logit评估器之间的最大差距为9.28×10⁻⁶。以完整模型预测类别的目标logit为准时，在11个可报告的GCN和GATv2单元中，有10个单元的构建方式与评估方式交互效应为正；在九个单元中，每种排名在与其匹配的评估器下都具有更大的删除面积。该结果有其条件限制：换用间隔或概率作为指标时，交互效应出现次数发生变化，因此目标logit的发现不会自动推广到其他输出函数。

由此得出一项实用操作。在比较解释器之前，先明确写出干预、输出函数、目标和扰动单位；如果科学问题不能唯一确定某种反事实，就运行排名方式与评估器之间的2×2交叉实验。本文并未证明哪种干预普遍更可取；较大的删除面积衡量的是模型对指定扰动的敏感性，而不是恢复了带标注的解释依据或识别出因果效应。主要分析还分别对有向弧进行排名，因此移除一个方向后，反向消息通道仍可能保留；以键为单位的结果回答的是另一种扰动问题。

签名的MCP服务器即使真实可信，仍可能泄露机密信息：本文描述了一个获得合法签名的工具，它在执行所宣称功能的同时，将敏感数据嵌入发往策略允许目的地的请求中。其具体局限在于基于目的地的限制：在所测试的MCPGuard配置中，目的地控制阻止了直接访问未列出主机的攻击，却未能阻止通过获准的OCR目的地进行的跨调用池化或单次调用内夹带信息这两种已测试泄露方式。

Germline执行改变了实施约束的环节：每次工具调用都在从无数据的germline派生的临时副本中运行，而且每个副本只能获得授权发送到其目的地的信息。因此，该机制通过限制执行副本可访问的数据来限制泄露，而不是判断带签名的实现是否良性。在副本隔离和germline无数据这两项明确假设下，论文证明对每个已签名发布版本都能实现接收端非干扰；对于在其重放模型中具有确定性的发布版本，经验证的见证可以证实存在信息流违规。见证是信息流违规的证据，并非取得防护结果的前提。

关键实证结果的适用范围仅限于作者构建的受控测试环境和金丝雀预言机：在脚本化评估中，Germline在153次攻击运行中没有检测到任何金丝雀泄露，而受测基线和Germline-NoSplit消融版本均检测到非零泄露率。生成变体的结果同样有其范围：对于作者生成且经过验证的91种攻击变体，Germline没有检测到任何金丝雀泄露，其中20种针对策略允许的主机。这些结果既不能证明该系统在所有部署场景下都能提供保护，也不构成独立基准测试的结果。单副本调用耗时10–49 ms，据报告比每次调用都启动新进程的基线快2–28倍；该加速并不普遍适用于多副本调用。

对于研究实践，可将该威胁复现为两项独立测试：跨调用状态复用，以及经由允许的目的地在单次调用内混合信息。随后，在相同策略和预言机条件下测量信息泄露、任务完成情况、见证生成情况和延迟。适用范围很重要。形式化防护结果不涵盖隐蔽的时序通道和微架构通道；顺序执行的副本降低了一种已测得的时序通道风险，但这并不能证明该通道已被消除。远程工具无法分叉或克隆；它们只能接收最坏情况的回复标签，且不会生成见证。最后，该保证针对的是信息泄露，而非某项获准操作是否安全或符合预期；操作控制必须由另一层提供。该原型面向Python MCP服务器实现，因此与其他运行时的兼容性仍是一个有待评估的研究问题。