2604.26505 - Quantamination: Dynamic Quantization Leaks Your Data Across the Batch
当量化尺度跨过请求边界，数值误差就可能变成信息通道。
当动态量化把不同用户的激活一起计算共享尺度时，攻击者可能从自己的输出推断同批数据；论文在严格受控实验中验证了这种通道，但尚未证明真实生产服务中可普遍、稳定地利用。
本文研究多租户推理中“合批 + per-tensor 动态激活量化”引入的隐私风险：受害者的激活改变全局尺度，进而影响攻击者自身输出，形成可与候选输入匹配的数值指纹。作者调查四个主流框架的相关配置，并在 batch size = 2 的 CPU 小模型实验中，用自身 top-1 log probability 恢复最多 20 个 token 的秘密序列；完成运行中的 token 准确率为 99.6–100%，但每设置 100 次试验的完成数从 8 到 100 不等，4 小时超时运行被排除。在 MNIST 中，已知候选集含秘密时可精确识别图像；排除秘密后的类别推断仅为 10–16%，接近随机。论文的重要意义是揭示请求隔离还必须覆盖数值统计，而现实利用仍受同批控制、参考状态可复现性与生产噪声约束。
版本与标题核验说明
2026-10-14 获取时，arXiv 只列出 v1。当前论文元数据标题为 “Quantamination: Dynamic Quantization Leaks Your Data Across the Batch”，故本站 title 与 H1 使用该完整标题；同一 v1 PDF/TeX 大标题写作 “Dynamic Quantization Can Leak Your Data Across the Batch”。这是同版本的标题措辞差异，不能误报为 v2。下载 PDF 共 13 页，正文及讨论到第 11 页，参考文献延续到第 13 页。
按原文完整目录精读
保留英文标题与层级，以中文概括论证；图、式与数据均可回查原页
1 Introduction为什么一个性能优化会破坏用户隔离？
多租户推理把不同用户的请求放在一个 batch 中，以提高硬件利用率；量化则把高精度数值投到更低精度的网格上。论文发现，两种看似独立的优化叠加时，如果网格的尺度由整个 batch 的激活范围共同决定，用户之间就不再数值独立。
核心因果链是：受害者输入改变共享的最小值/最大值 → 共享量化参数改变 → 攻击者自身的激活被稍微不同地舍入 → 攻击者自己的输出泄露了同批输入的信息。攻击者无需直接读取对方的输出。
原图展示受害者与攻击者进入同一推理 batch；全局尺度计算、量化与矩阵运算之后，攻击者观察自己的输出。
怎么看：沿“Global Scale Calculation”到“Adversary Output”的路径看信息流。发生耦合的是跨样本共享的动态尺度；单纯使用低比特权重或把请求合批，并不自动满足这一条件。
2 Related Works把攻击放回相关研究的位置
Batch-based privacy attacks · 基于合批的隐私攻击
已有工作利用 MoE 路由、专家缓冲区、架构后门、KV cache 共享或训练中的梯度信息泄露跨用户数据。本文的区分点是：无需篡改网络架构，不依赖 MoE、共享前缀缓存或训练梯度；信息流出现在推理时的动态量化统计里。
Numerical error as information channel · 数值误差也能承载信息
硬件、框架与浮点实现会留下可观测的数值“指纹”；量化也已有训练时泄露与供应链攻击研究。本文把这一视角延伸到多租户推理：本来用于改善效率和精度的输入依赖尺度，可能成为跨样本可观测信号。这里的贡献是识别新的信息流来源，并给出受控实验，而非证明任何数值误差都能恢复秘密。
3 Background先分清“动态”与“共享”
本节为后续漏洞判断建立两个坐标：量化参数何时确定，以及它们覆盖哪些数据。只有把这两个问题同时问清楚，才能准确解释表 1。
3.1 Post-Training Quantization权重、激活与粒度
权重在部署前已固定，可离线量化。单纯 weight-only 量化不通过运行时激活统计连接不同请求。
通过校准集预先固定尺度。尺度不随当前 batch 改变，因此不构成本文讨论的信息流。
推理时从当前激活计算尺度。是否跨用户泄露，取决于统计范围是否跨越请求边界。
Per-tensor 对整个张量计算一组尺度；当该张量包含多个用户的数据时，它们共同参与极值计算。Per-token / per-row 将统计局部化到每个 token/行，不把其他请求的激活纳入同一尺度。
作者还强调，per-token 不一定以速度为代价：许多局部归约能自然并行，全张量归约则可能需要跨线程块同步。因此安全性与性能在这里未必冲突；具体实现仍需测量。
3.2 Framework Deployment Landscape四个框架中的相关配置，不是四个平台都被攻破
作者调查了推理框架的量化配置，指出部分 FP8 在线模式及通用 INT8 动态量化 API 使用 per-tensor 激活尺度。下表保留论文调查的粒度判断；这是论文所引用版本/文档的记录，不是对 2026 年 10 月各框架最新版本进行的复测。
框架配置与激活量化粒度
| 框架 | 原文配置 | 精度 | 选择方式 | 激活粒度 |
|---|---|---|---|---|
| vLLM | --quantization fp8（online） | W8A8 FP8 | 该模式默认 | Per-tensor |
| SGLang | --torchao-config fp8dq-per_tensor | W8A8 FP8 | 可选 | Per-tensor |
| ONNX Runtime | quantize_dynamic() | W8A8 INT8 | 默认 | Per-tensor |
| PyTorch | torch.ao.quantization...PerTensor | W8A8 FP8/INT8 | 默认 | Per-tensor |
| SGLang | --torchao-config fp8dq-per_row | W8A8 FP8 | 可选 | Per-token |
| SGLang | --torchao-config int8dq | W8A8 INT8 | 默认 | Per-token |
| SGLang | --quantization w8a8_fp8/int8 | W8A8 FP8/INT8 | 默认 | Per-token |
| vLLM | W8A8 FP8/INT8（llm-compressor） | W8A8 FP8/INT8 | 默认 | Per-token |
| DeepSpeed | ZeroQuant W8A8 | W8A8 INT8 | 默认 | Per-token |
“默认”指启用所列配置且未追加相关选项时的粒度，不是框架所有安装或所有服务的全局默认。原文将 per-token/per-row 标为不受此共享尺度侧信道影响。
核对原表截图
4 Methodology把数值扰动变成可检验的候选指纹
方法并不是从一组小数凭空解码任意输入，而是用同一个探针对秘密与候选分别产生的输出指纹做匹配。可枚举的候选集合、可重现的模型状态和稳定的数值环境，是它成立的重要条件。
4.1 Threat Model攻击者拥有什么，缺少什么？
Notation · 记号
s 是受害者的秘密输入，a 是攻击者可控输入，C = {c₁, …, cₖ} 是候选集。logits(a, x) 表示 a 与 x 同批时，模型针对 a 的输出；它不是对 x 的输出。LLM 中 s = [s₁, …, sₙ]，a = [a₁, …, aₘ]，token 均来自词表 V。
Attack surface / Attack goal · 表面与目标
共享 scale 与 zero-point 让同批样本耦合。LLM 目标是逐 token 恢复秘密序列；分类目标是识别已知候选中的具体样本，或在秘密不在候选中时推断其类别/相似候选。两种分类目标的实验结果差别很大。
- 同批与对照控制。实验固定 batch size = 2，包含一个攻击者输入和一个受害者输入。真实服务中的同批机会、持续同批与候选测试的可控 batch，都需要另外成立。
- 只观察自己的输出。LLM 实验只保留自己每步 top-1 token 的 log probability；分类实验观察自己的完整 10 维 logits。两者不能混为“都只看一个标量”。
- 可用的候选空间。LLM 知道词表；分类拥有同分布公开数据集，并区分是否包含秘密图像。
- 知道模型与量化机制。白盒情形可以在本地运行模型并重建候选测试的状态；黑盒情形只能通过接口测试，还需要用自己的数据构造可比的测试 batch。
- 可重复的序列状态。白盒可以利用实际观察到的攻击者序列重建 KV cache；黑盒依赖贪心解码等额外假设，以重现相同的攻击者轨迹。
Threat model justification · 作者如何论证假设
作者认为多租户合批和返回 logprobs 的 API 使该威胁值得考虑，并讨论用更大 batch 复现类似两输入关系的可能性。这是威胁模型论证，不能直接替代真实调度器上的共驻率、噪声、成本与成功率测量。
4.2 Dynamic Quantization Mechanics in Batched Inference共享极值如何进入舍入结果
原文令输入激活矩阵为 𝐗 ∈ ℝb,d，b 是 batch 大小，d 是隐藏维度。对整个矩阵求极值，得到量化尺度 α 与零点 β：
α 决定低精度网格的间距，β 决定偏移。另一条请求只要改变全局最小值或最大值，就能改变这组参数。
查看原始 TeX
\alpha = \frac{ \max{(\mathbf{X}) - \min{(\mathbf{X})}}}{255}\;,
\beta = -\mathrm{round}(\frac{\min{(\mathbf{X})}}{\alpha}).随后对所有样本使用同一组 α、β 做舍入与截断。原文称其为 INT8 动态量化，公式展示的是 0–255 的 8 位非负编码范围；本站按原式保留。
查看原始 TeX
\mathbf{X}_q = \mathrm{clip}\left( \mathrm{round}( \frac{\mathbf{X}}{\alpha} + \beta),\, 0,\, 255 \right)4.3 Attack Methodology: LLM Token Recovery用已恢复上下文缩短词表搜索
Batching in LLM inference · 选择 decode 阶段
prefill 同时处理许多 prompt token，量化关系更复杂。本文针对 decode 阶段：每步每条序列提供一个 token，简化为 aᵢ 与 sᵢ 共享尺度。因而已展示的恢复目标是此设置下的 token 序列，不能直接扩写为“任意隐藏系统提示词或完整 prefill prompt 已被恢复”。
Batching persistence assumption · 持续同批假设
作者假设两条序列一旦在 decode 共驻，就在生成过程中持续同批。这是重建整条观察轨迹的关键前提。是否能在具体连续合批调度器中保证这一点，本文没有给出广泛的生产验证。
Token-by-token recovery algorithm · 首 token
没有上下文时，遍历词表候选，并比较秘密与候选对同一个 a₁ 造成的输出差异。可选地按句首先验把更常见的 token 提前测试。
这里的原文统一写作 logits。第 5.1 节实际测量会把它转成 top-1 log probability，仅比较一个标量。不要把公式记号误读为实验获得了受害者或自己的完整词表 logits。
查看原始 TeX
\Delta_1(t) = \|\text{logits}(a_1, s_1) - \text{logits}(a_1, [t^{(j)}])\|_2.ε 是匹配阈值。文字算法说“首个通过阈值即返回”；公式以带阈值条件的 argmin 表达匹配目标。严格说，早停并不保证遍历后的全局最小值，多个候选过阈值时可能产生碰撞。
查看原始 TeX
\hat{s}_1 = \argmin_{t \in V} \Delta_1(t) \quad \text{subject to} \quad \Delta_1(\hat{s}_1) < \epsilon,Subsequent token recovery · 后续 token
已恢复前缀 s<ᵢ 为下一 token 提供语言模型先验 p(t | s<ᵢ)。按概率从高到低测试，仍然依靠数值指纹确认，而非只猜最可能的词。
候选 t⁽ʲ⁾ 的差异在同一位置、相应的攻击者 token 与匹配的上下文状态下计算。上下文负责排序；共享尺度造成的输出变化负责提供额外证据。
查看原始 TeX
\Delta_i(t^{(j)}) = \|\text{logits}(a_i, s_i) - \text{logits}(a_i, t^{(j)})\|_2.发现低于阈值的候选便停止当前 token 搜索，并把它加入已恢复前缀。误判会影响后续先验与状态，因而长序列上的误差传播是需要单独验证的问题。
查看原始 TeX
\hat{s}_i = t^{(j)} \quad \text{if} \quad \Delta_i(t^{(j)}) < \epsilon.White-box setting · 本地参考模型
白盒允许在本地用恢复出的秘密前缀预填 KV cache，并使用真实交互中观察到的攻击者 token 序列进行候选测试。它不要求攻击者原本采用贪心采样，但要求参考执行能复现足够相近的数值行为。
Black-box setting · 通过接口测试候选
黑盒不能任意设置内部状态，因此作者假设贪心解码可以复现攻击者序列。如果实际采样或数值执行不稳定，重现整条轨迹的难度随长度增加。temperature = 0 是否足以保证这种稳定性，正是第 6 节指出的现实问题。
4.4 Attack Methodology: Classification Setting已知样本识别与未知样本分类是两道题
图像空间无法像有限词表那样穷举，因此作者明确分成两种情形：C 中包含秘密时寻找具体图像；C 不包含秘密时，希望相近量化指纹对应相同类别。对每个候选，用固定探针 a 构造匹配分数。
分类实验的 logits(a, ·) 是攻击者自身的完整十分类输出向量。分数小意味着观测指纹相近，不代表候选图像在语义或像素空间一定相近。
查看原始 TeX
\text{score}(c_i) = \|\text{logits}(a, s) - \text{logits}(a, c_i)\|_2.选出距离最小的候选。若真实秘密不在 C 中，这一步只能返回代理候选；其类别是否可靠必须靠实验检验。
查看原始 TeX
\hat{c} = \argmin_{c_i \in C} \text{score}(c_i).Layer-wise interaction · 为什么深度可能帮助唯一识别
每层各自计算尺度，一条输入可能控制最大值、另一条控制最小值，主导关系也可随层变化。作者推测，深网络中不同输入在所有层产生恰好相同或完全抵消的效果更难，因此指纹更有区分力。这里的“随深度降低碰撞”是解释性论证，不是带独立性假设与证明的普遍定理。
White-box / Black-box · 探针选择
白盒可检查逐层激活范围，挑选跨层范围较小的探针，减少探针自身压过秘密信号的机会；黑盒只能随机选探针，并从最后的 logits 间接判断。第 5.2 节将展示，这类间接观测足以识别某些已有候选，却未必能稳定恢复未知样本类别。
5 Evaluation结果很强，但它们回答的是受控问题
实验分为小型语言模型的 token 恢复，以及 MNIST 分类网络上的候选识别/类别推断。需要同时看“完成了多少次”“完成后的准确率”和“花了多少候选测试”，不能只摘取最高准确率。
5.1 LLM Token Recovery完成率与准确率必须一起读
实验模型与 tokenizer
| 模型 | 参数量 | 词表大小 | Tokenizer |
|---|---|---|---|
| TinyStories-1M | 1M | 50,257* | GPT-2 |
| Pythia-70M | 70M | 50,257 | GPT-NeoX-20B |
| SmolLM2-135M | 135M | 49,152 | SmolLM |
*TinyStories 训练只使用最常见的 10,000 个 token；上表保留论文列出的完整 tokenizer 词表大小。
核对原表截图
全部实验运行于 Intel Xeon Ice Lake CPU。秘密序列从数据集采样，最多 20 个 token；每次 decode 的 batch 大小为 2。对攻击者自己的输出先做 log probability 转换，再仅取 top-1 预测对应的值，匹配阈值 ε = 10−6。每个“模型 × 数据集”设置尝试 100 次，每条序列最多运行 4 小时。
每个设置 100 次试验：完成运行中的恢复结果
| 模型 / 数据集 | 完成数 / 100 | Token 准确率¹ | 平均候选查询 / token¹ |
|---|---|---|---|
| TinyStories-1M / TinyStories | 100 / 100 | 100.0% | 424 |
| TinyStories-1M / WikiText | 12 / 100 | 99.6% | 8,095 |
| TinyStories-1M / AG News | 8 / 100 | 100.0% | 7,489 |
| Pythia-70M / WikiText | 96 / 100 | 99.6% | 1,343 |
| SmolLM2-135M / WikiText | 88 / 100 | 100.0% | 985 |
| 随机搜索理论基线 | — | — | |V| / 2 ≈ 25,000 |
¹ 仅统计在 4 小时内完成的运行。完成数、准确率与查询数均按原表 3 转录；查询单位为每个 token，而非每条序列。
核对原表截图
Attack success · 指纹匹配在完成运行中很准
在所测设置中，数值指纹确实提供了超出语言先验的区分信号；但阈值仍可能让不同 token 的指纹碰撞。原表中 TinyStories/WikiText 与 Pythia/WikiText 均为 99.6%。正文对“其他模型无误判”的概括与表格并不完全一致，因此这里以表格为准，不替作者补出未报告的错误分布。
Attack efficiency and distribution alignment · 先验决定搜索成本
TinyStories 的同分布数据只需平均 424 次候选测试，而其 WikiText/AG News 任务仅有 12/8 条序列在限时内完成。分布失配会把正确 token 排得很后。Pythia 与 SmolLM2 在 WikiText 上分别平均 1,343 与 985 次。作者预期模型自己生成的 token 更符合先验、可能更高效，但这是推断，不是本文新增的一组实测结果。
原图横轴是 token 位置 0–19，纵轴是平均尝试候选数的对数刻度；三条实线对应模型，虚线为约 25,000 次的随机搜索基线。
怎么看：首 token 约需 4,893–6,695 次；恢复上下文后通常更省。曲线并非处处单调或严格指数下降，尤其通用模型仍有起伏。图中数值不应被理解成所有真实秘密、所有长度的保证。
Context-based acceleration · 本节连接回方法
图 2 支持第 4.3 节的设计：先验不直接替代观测，而是改变候选测试顺序。一个正确恢复的前缀使下一个 token 更快被试到。分布对齐、上下文准确性和参考执行一致性共同决定实际成本。
5.2 Classification Model Class Recovery存在候选时强，不存在候选时弱
5.2.1 Experimental SetupMNIST 与三种深度
作者使用 MNIST 的 10 类手写数字与 10,000 张测试图像，训练简单 CNN、ResNet18、ResNet50，报告各模型测试准确率高于 98%。简单 CNN 是 3 个卷积层加 2 个全连接层；论文表格用“3 layers”简称它。推理使用 8 位动态量化，仍是一个探针和一个秘密组成的两样本 batch。
5.2.2 Results: Secret in Candidate Set在已知图库中识别具体图像
秘密位于候选集：精确识别结果
| 模型 | 随机探针 | Layer-diverse 优化探针 |
|---|---|---|
| Simple CNN | 8/10（80%） | 10/10（100%） |
| ResNet18 | 10/10（100%） | 10/10（100%） |
| ResNet50 | 10/10（100%） | 10/10（100%） |
每个模型、每种探针策略只有 10 次试验，即每模型 20 次。10/10 是这个小样本的观测结果，不是成功概率已被证明为 100%。
核对原表截图
较深网络中，随机探针也能在测试的 10 次运行中识别正确图像；浅层 CNN 的随机探针偶尔主导尺度，掩盖秘密信号，优化探针把结果提高到 10/10。这证明的是在包含真实图像的已知候选集中进行识别，并非从无到有生成受害者图像。
5.2.3 Results Excluding Secret From Candidate Set量化尺度里有类别信息，不代表输出足以读出来
移除秘密后只剩 9,999 个候选，精确识别在定义上已不可能。于是问题变成：观测指纹最相似的候选，能否至少给出正确类别？
原图从左到右为 Simple CNN、ResNet18、ResNet50。上排将逐层尺度组成的特征做 t-SNE；下排统计每个类别中，样本的 10 个最近邻与其同类的平均比例，红虚线是 10% 基线。
怎么看：这是直接访问逐层量化尺度后的诊断图。攻击者实际只能看到最后的 logits，不能把漂亮的内部聚类等同于实际的类推断准确率。上下两排也不是攻击准确率曲线。
Evidence for class-recoverable quantization signatures · 内部有信号
更深网络的逐层尺度呈现更明显的类别结构，某些类别的近邻一致率远高于随机值。这说明尺度可以携带类别信息，但 t-SNE 的可视聚类本身不验证从 API 输出恢复类别的能力。
Attack performance and limitations · 实际输出上的推断弱
使用优化探针、每个模型评估 50 次，top-1 候选类别准确率分别为 16%（Simple CNN）、14%（ResNet18）、10%（ResNet50），随机基线为 10%。top-3 与基于前 100 个候选聚类的变体也未显著改善表现。样本量有限，论文未提供置信区间；这些值不支持“高准确率恢复未知图像类别”。
Why class inference fails · 信息访问的不对称
作者的解释是：研究者可以直接观察完整逐层尺度，而攻击只能观察这些尺度与探针相互作用后的最终输出。中间的信息投影与混合可能丢掉类结构。解读：可识别一个已知指纹，与能从指纹推出可泛化的语义标签，是两种不同能力。
6 Discussion生产中的数值噪声，可能大于匹配阈值
作者经 OpenRouter 的 Crusoe provider，对 Llama 用同一句 “Hello my name is” 查询 20 次，记录前三个输出 token 的 log probability。每个子图显示相应位置的跨请求波动。
怎么看：这张图证明该例子存在非确定性，并没有分离其来源，也没有在此端点完成跨用户数据恢复。不能由波动本身判定该端点使用了易受影响的量化配置。
Real-world deployment challenges: Non-determinism · 部署障碍
匹配依赖微小、可重复的差异；硬件/软件异构、数值内核与服务商采样逻辑都可能使同样输入得到不同 logprobs。作者将这些列为可能来源，而非已经分别验证的归因。temperature = 0 也不能被外部用户简单当成数值执行完全确定的证明。
Acknowledgements致谢
原文感谢 Nicholas Carlini 在项目过程中提供反馈。本单元已识别，属于非论证性内容。
References参考文献与附录状态
参考文献位于 PDF 第 11–13 页，已核对位置与完整性，不逐条翻译。可从原文参考文献继续追踪量化、跨 batch 攻击、推理框架及相关数值侧信道研究。
附录状态：此次固定的 v1 PDF 与 TeX 主文档均没有附录，也没有单独的 Conclusion 节。这里没有将未使用的源资产伪装成额外章节。
批判性评估一个扎实的隔离性警报，一项仍有现实前提的攻击
最有价值的贡献
把“数据是否隔离”的检查推进到推理内核的数值统计边界：即使张量索引和 API 返回值隔离，只要尺度共同计算，输出仍可能相互影响。
同时报告强成功案例与弱失败案例。有限候选精确识别和未知类别推断的对照，使读者能分清指纹匹配能力与语义恢复能力。
最需要克制的外推
小模型、CPU、两输入 batch 和可复现的参考执行，并不覆盖大型 GPU 服务、连续合批、异构内核与未知系统上下文。
四个框架的配置调查与生产漏洞利用是两个证据层级。论文没有报告在所有这些框架中端到端恢复真实用户数据的成功率。
证据强弱，按问题拆开看
- 证据较强共享动态尺度可以形成跨样本信号
机制直接；受控实验中输出可用于候选匹配。对应 §4、§5。
- 条件成立时LLM token 可在候选搜索中近乎准确恢复
限于已完成的试验，依赖状态重建、同批和数值稳定。对应表 3。
- 证据有限未知图像的类别能被有效恢复
实际准确率 10–16%，接近 10% 基线；内部尺度聚类不能补足观测缺口。对应 §5.2.3。
- 尚待验证真实多租户 API 中能稳定、低成本利用
原文展示了现实噪声，未展示如何稳定解决它。对应 §6。
方法与报告上的具体问题
- 超时删失带来选择效应。困难序列更容易消失在准确率与均值分母中。更完整的报告应同时给出全部启动试验的完成率、总时间/查询预算，以及未完成运行已恢复的长度。
- 错误与不确定性信息不足。表 3 的平均值之外，查询数分布、最坏情况、阈值扫描、长序列误差传播和置信区间有助于判断稳健性。分类精确恢复的 10 次试验尤其不适合当作普遍保证。
- 早停与 argmin 的表达略有落差。式（4）写全局最小化，文字流程却在首个过阈值候选处停止。若存在多重匹配，候选顺序将影响输出；独立验证、重复观测或多探针的效果仍需实测。
- “更深必然更安全/更易泄露”都不成立。深度在本文的精确识别结果中有帮助，但未知类推断在 ResNet50 上反而只有 10%。跨层抵消概率的直觉不能替代普适定理。
- 防御需验证实现边界。per-token/per-row 和固定尺度针对的是本文的信息流。是否所有算子都遵守请求隔离、是否还有其他共享统计量，需要单独审计。
对系统设计者的启示
把“另一条无关请求的内容改变，会不会改变本请求的输出分布”作为数值隔离测试。优先检查运行时统计是否跨越租户边界；在自有、授权环境中比较 per-tensor 与 per-token/per-row 或静态尺度的差异，并同时测量精度、吞吐与隔离性。这里是从论文机制提出的验证方向，不是作者报告的额外实验。
值得继续研究的三个问题
- 大模型、GPU 与真实动态 batch 的噪声下，信号强度和数值漂移分别有多大？
- 部分前缀未知、长序列、请求退出/加入时，候选状态重建还剩多少有效信息？
- 能否形成与具体框架无关、可自动运行的跨请求数值隔离测试，并明确其漏报边界？
讲解性伪代码根据论文整理，非原文代码
对应 §4.3、式（3）–（6）与 §5.1。仅用抽象步骤说明“先验排序 + 指纹确认”，不包含真实服务调用、共驻请求策略或针对第三方的利用流程。
输入：已在授权实验中取得的自身观测 y[1…n]，词表 V，参考模型
前提：测试与观测使用一致模型、量化、上下文和可复现数值状态
y[i] 为自身 top-1 log probability；采用论文 ε = 10⁻⁶
已恢复前缀 ← 空序列
对每个位置 i：
候选序列 ← 按模型先验 p(t | 已恢复前缀) 排序 V
对每个候选 t：
重建与该位置相匹配的参考状态
z ← 参考执行中，自身探针与候选 t 同批时的自身观测
若 ‖y[i] − z‖₂ < ε：
将 t 加入已恢复前缀
停止本位置的候选测试
若没有候选通过阈值：报告“本位置未匹配”，停止并保留失败状态
输出：已恢复前缀与是否完成的标记新增讲解约定：y、z 是为区分观测与候选结果而添加的临时变量，并非原文公式符号；“无候选匹配时停止并报告”是显式失败分支，不是论文新增算法。原文未提供本段伪代码。实验超时规则应作为独立的预算约束记录，不能把未完成运行当作准确恢复。
这份精读依据什么？
- 已读范围：固定 v1 的完整 13 页 PDF、实际纳入主文档的 TeX 内容、4 幅图、8 个编号公式与 4 张表。全部原始标题已覆盖；没有附录或单独补充文档。
- 原始资源：图 1、4 从源包中的原 PDF 资产转换；图 2（原始为 TikZ）与图 3 从发表版 PDF 裁取，保留坐标、图例及比例。公式采用高分辨率原页裁图，编号与记号原样保留，并提供精确 TeX 文本。
- 解释边界：中文概括、批评与伪代码是本站整理；没有运行作者的 TeX、模型代码或攻击实验，也没有独立复现实验结果。框架配置是论文记录，不是最新部署安全认证。
- 署名与许可：原论文及图表 © Hanna Foerster、Ilia Shumailov、Cheng Zhang、Yiren Zhao、Jamie Hayes、Robert Mullins，依据 CC BY 4.0 使用。原始内容只作格式转换/裁切；中文解读为新增内容，未经作者背书。
最值得带走的问题：你的推理服务隔离了数据地址，是否也隔离了决定数值表示的统计量？