你签名的并非你运行的：量化 LLM 供应链中的可验证性缺口

arXiv:2610.19498v1 公告类型：交叉发布 摘要：模型签名验证的是 LLM 发布时所附的全精度权重 W，但用户运行的却是量化产物 Q，而根据当前披露的信息，生成 Q 的转换过程无法被唯一确定。我们将非环境输入与执行环境 E 分离，并衡量了一个据我们所知此前尚未被测量过的指标：独立可验证率（IVR），即按热度抽样的 GGUF 生态中，第三方能够逐比特重新推导出的产物比例。在 Hugging Face 上下载量最高的 200 个 GGUF 仓库中（其中 198 个属于研究范围），没有任何产物或模型卡记录构建环境，因此，按照仅使用已记录输入的协议，IVR 为 0/198。然而，这些产物并非不可复现。在样本内披露了输入的四个仓库中，仅凭模型卡的信息无法复现任何 Q4_K_M 文件，但补充模型卡遗漏的两个要素——构建时的浮点收缩设置，以及混合模型的逐张量量化方案——后，在 x86 上可逐比特重新推导出 7/8 的目标量化文件（在 arm64 上为 5/8）；fp16 文件可从提供方的检查点重新推导，但校准用的 imatrix 必须随附并通过哈希绑定，因为重新计算的结果并不匹配。另一个较早的发布版本还固定了指令集，未能重新推导成功。通过复现 llama.cpp PR #25353 中报告的差异，我们表明 E 是一个必要要素，而且一种编译器设置能在所测试的平台上产生唯一输出，质量代价可忽略不计（困惑度增加 0.06%）。在安全特性方面，高于某个检测下限时，可以将良性的浮点非确定性与均匀分布的半字节翻转篡改区分开来；该检测下限会随着验证方必须容许的环境范围扩大而升高。然而，有针对性的嵌入编辑可以绕过这一统计量，因此，所提出的协议以精确重新推导为基础；针对 fp16 的对抗性攻击不在其范围内。我们发布了审计数据和可重复运行的测试框架。