量化LLM供应链签名与运行结果不可复现性差距实证

该研究通过实测发现，当前大语言模型供应链存在严重的可验证性缺口：虽然官方发布时会对全精度权重进行签名认证，但用户实际运行的量化版本（如GGUF格式）因构建环境信息缺失而无法被第三方独立复现。作者定义了“独立可验证率”（IVR）指标，在抽查的198个Hugging Face热门GGUF仓库中，由于缺乏构建环境记录，其IVR为0。 针对四个披露了部分输入信息的仓库进行深度测试，仅凭模型卡片信息无法复现Q4_K_M文件；但补充两个关键坐标——构建时的浮点数收缩设置（floating-point-contraction setting）以及混合模型的逐张量量化配方后，可在x86平台上以比特级精度复现7/8的目标量化文件。研究还指出，校准用的imatrix必须随包分发并绑定哈希，因为重新计算的结果不匹配；此外，旧版发布若未锁定指令集也会导致复现失败。实验表明，特定的编译器设置能在不同平台间产生唯一输出且几乎不损失质量（困惑度增加0.06%）。 从安全机制看，良性的浮点数非确定性可与均匀分布的位翻转篡改区分开来，但这种统计检测存在阈值，且针对嵌入的定向编辑攻击可绕过该统计特征。因此，提出的协议依赖于精确复现而非统计推断，且不适用于对抗性fp16攻击。作者已公开审计数据和可重跑工具，强调构建环境E是验证的必要坐标。事实基于200个样本的实测数据，推断指向现有签名体系在量化环节失效，猜测认为未来需强制披露构建参数以保障供应链安全。