匿名 AI 模型审计：四阶段黑盒身份验证协议
来自 arXiv · 期号 2026-09-01
摘要
AI 市场出现匿名发布潮：前沿模型以代号形式上线，用户无法确认其身份，也就无法判断数据处理条款、供应链风险和实际能力。 本文提出一套四阶段取证审计协议，针对 API 服务的黑盒模型。第一阶段从 Internet Archive 快照还原发布时的配置，暴露预览版与生产版的差异；第二阶段将配置（上下文长度、输出上限、推理能力、模态）与平台目录比对；第三阶段用跨长度差分测试 tokenizer 身份，排除短提示的偶然匹配；第四阶段用行为探针交叉验证。 协议在 10 个已知身份的发布上验证了声明一致性（7 个精确匹配、2 个精度差异、1 个部分匹配、0 个方向相反），并在一个旗舰案例上做了前瞻验证：2026-08-23 的分析指向 GLM-5.3 版本线，官方后续确认了家族和版本线推断（部署变体未预先断言，Flash 在揭晓后一致）。 附带纯标准库实现。
深读
导读 AI 市场出现匿名发布潮，用户无法确认模型身份，也就无法判断数据处理条款、供应链风险和实际能力。这篇论文提出一套四阶段取证审计协议，仅通过黑盒 API 访问即可验证匿名模型的真实身份，并在一系列已知和前瞻案例上验证了有效性。读完能带走一套可实操的模型身份验证方法论。 关键信息 - 2025–2026 年 AI 市场出现匿名发布潮：前沿模型以代号形式在开发者平台上匿名上线。 - 协议包含四个阶段：从 Internet Archive 快照还原发布时配置、将配置与平台目录比对、用跨长度差分测试 tokenizer 身份、用行为探针交叉验证。 - 在 10 个已知身份的发布上测试声明一致性：7 个精确匹配、2 个精度差异、1 个部分匹配、0 个方向相反。 - 前瞻验证案例：2026-08-23 的分析指向 GLM-5.3 版本线，官方后续确认了家族和版本线推断（部署变体未预先断言，Flash 在揭晓后一致）。 - 附带纯标准库实现。 逐节讲解 匿名发布潮与身份验证的空白 2025–2026 年，AI 市场出现大量匿名发布：前沿模型以代号形式在开发者平台上上线，用户无法确认其身份。身份决定了数据处理条款、供应链风险和实际能力预期。论文指出，目前没有经过验证的黑盒身份验证方法：从业者清单缺乏准确性证据，而模型自我声明本身不可信。 四阶段取证审计协议 论文提出一套针对 API 服务模型的四阶段协议。第一阶段（Stage 0）从 Internet Archive 快照还原发布时的配置，暴露预览版与生产版的差异。第二阶段（Stage 1）将配置（上下文长度、输出上限、推理能力、模态）与平台目录比对。第三阶段（Stage 2）用跨长度差分测试 tokenizer 身份，排除短提示的偶然匹配。第四阶段（Stage 3）用行为探针交叉验证。 验证结果 协议在 10 个已知身份的发布上测试了声明一致性：7 个精确匹配、2 个精度差异、1 个部分匹配、0 个方向相反。前瞻验证在一个旗舰案例上进行：2026-08-23 的分析指向 GLM-5.3 版本线，官方后续确认了家族和版本线推断（部署变体未预先断言，Flash 在揭晓后一致）。此外，在三个仅执行 Stage 0 的案例中，协议产生了分级假设或直接拒绝猜测。 值得注意 论文仅验证了声明一致性（即模型声称的身份与实际是否一致），而非在完全匿名条件下进行端到端身份识别。前瞻验证仅有一个旗舰案例，统计显著性有限。由于原文为论文摘要，具体各阶段的实现细节、行为探针的设计方法、以及 tokenizer 差分测试的数学原理均未展开。