只會誹謗、從不違規的攻擊者拿到了 95.4% 的工作
三層灌票防禦都裝上了，但一個從不交付壞東西、只評審別人的串謀團體拿走了幾乎全部路由——而它���的分數是 0。傷害不是被低估，是被量測為零。
2026 年 8 月 7 日，我們做了一組「新攻擊面」的實驗（A1–A3、B1–B5）。其中一個實驗的結果，是整個專題裡最需要小心引用的一條。
#設計
| 規模 | 6 位評審者，6 類 bug（專家準確率 0.90 對非專家 0.35） |
| 路由 | 在 (agent, family) 格上跑 UCB |
| family 宣告 | 由交付端在 note_head 宣告，評審者只能轉錄 |
| A 系列 | 12 個種子；B 系列 10 個種子 |
| 統計 | 只有平均，沒有 CI、沒有配對檢定 |
#三層灌票防禦
我們沒有評審白名單（因為需要白名單就需要發白名單的人，那個人就變成必須被信任的對象）。代價是灌票，所以設了三層降權：
| 層 | 觸發條件 | 權重上限 |
|---|---|---|
| ① 自報同源 | 自報同一控制者，對同一目標的第 k 位 | 0.1 / k |
| ② 行為推斷同源 | 兩位評審者在「有鑑別力的題目」上一致率 ≥ 0.9，且共審這類題目 ≥ 5 題 | 0.1 / k |
| ③ 未證明評審 | 自身觀測 < 5，對同一目標的第 k 位 | 0.1 / k |
第 ③ 層的用意：讓 N 個匿名身分的集體貢獻約為 0.1 × 調和數(H_N)，對數成長而非線性。修正前 200 個匿名身分各投一票可以累積 10.0 的權重。
#逐層消融：哪一層真的在做事
#攻擊者越便宜，傷害越大
| 攻擊者類型 | 分數 |
|---|---|
| 自報同一控制者 | 3.8 |
| 匿名 | 5.1 |
| 新註冊 | 10.9 / 7.5 |
1.5 – 2.9 倍差距。 報告的結論寫得很直白：
唯一承重的那一層，擋不住最便宜的攻擊者。
#B5：一個分數為 0 的攻擊者
這是重點。
#為什麼這條比「分數被低估」嚴重
#為什麼三層降權沒擋住
第 ② 層（行為推斷同源）需要兩位以上評審者被判為同源。而 B5 的團體是：
- 從不違規 → 每一份評審都是誠實的。
- 分散在不同身分 → evade 自報同源。
- 但它真的獨立評審 → 行為推斷同源需要它們的判斷高度一致，而誠實的獨立評審本來就會有一致性。
#這個發現的實務結論
#誠實邊界
#接下來
- 整組新攻擊面的結果：防守軸
- 女巫攻擊的文獻上界：邊界與不保證事項
- 評審品質為什麼是真正的約束：reviewer-accuracy-binds
