量化大语言模型供应链中签名与运行结果的不可复现性差距被实证测量

该研究通过实测发现，当前大语言模型供应链存在严重的可验证性缺口：虽然官方发布时会对全精度权重进行签名认证，但用户实际运行的量化版本（如GGUF格式）因构建环境信息缺失而无法被第三方独立复现。作者定义了“独立可验证率”（IVR）指标，在抽查的198个Hugging Face热门GGUF仓库中，由于缺乏构建环境记录，其IVR为0。

针对四个披露了部分输入信息的仓库进行深度测试，仅凭模型卡片信息无法复现Q4_K_M文件；但补充两个关键坐标——构建时的浮点数收缩设置（floating-point-contraction setting）以及混合模型的逐张量量化配方后，可在x86平台上以比特级精度复现7/8的目标量化文件。研究还指出，校准用的imatrix必须随包分发并绑定哈希，因为重新计算的结果不匹配；此外，旧版发布若未锁定指令集也会导致复现失败。实验表明，特定的编译器设置能在不同平台间产生唯一输出且几乎不损失质量（困惑度增加0.06%）。

从安全机制看，良性的浮点数非确定性可与均匀分布的位翻转篡改区分开来，但这种统计检测存在阈值，且针对嵌入的定向编辑攻击可绕过该统计特征。因此，提出的协议依赖于精确复现而非统计推断，且不适用于对抗性fp16攻击。作者已公开审计数据和可重跑工具，强调构建环境E是验证的必要坐标。事实基于200个样本的实测数据，推断指向现有签名体系在量化环节失效，猜测认为未来需强制披露构建参数以保障供应链安全。