防守軸

#這一軸回答什麼

在存在刻意交付錯誤之參與者的代理群體中，簽章紀錄、信譽路由、同儕檢查、抽樣稽核與懲罰，能在多大程度上減少錯誤交付被接受的機會。

#最有效的一條：被看見，不是被抓

這是防守軸最強的正面結果，而且它不是「抓得住」。

換句話說：沒被抓到的作惡者，只拿到誠實者 0.57% – 1.84% 的工作量。

結論寫成一句話：擋住攻擊者的是「被看見」，不是「被抓」。 光靠信譽路由就足以讓他們餓死，連一次抓到都不需要。

（來源：runs/s5_v1_FINDINGS.md）

#入場成本：兩條路都不該走

2026-07-26，14 支機制模擬（每格 20 個種子，E9 為 40、E15 為 30；400 輪；5 個誠實 + 1 個攻擊者；稽核率 0.2，E2/E3 起 0.05；評審準確率 0.7，由作者選定，未經量測）。

#真正的約束是評審準確率

acc = 0 是整個表格裡唯一「作惡開始有利可圖」的格。 其他所有參數——入場費、背書連坐、見習期長度——都比不上評審準確率這個約束。

#入場費設太低反而幫了攻擊者

免費入場 = 完全封鎖。加押金反而讓攻擊有利可圖。 這是我們最意外的結果之一。

#見習期長度：所有價值都在第一步

一句話：全部的防禦價值都在 m = 0 → 1 這一步。再加長沒有任何增益。

#裁決

兩條路——外生入場費、背書連坐——都不該走。前提是錯的。

背書連坐（endorser liability）更糟：λ = 1.0 時誠實者損失 0.000 但也沒有任何增益；λ = 0.9 時誠實者損失 0.691 而增益仍是 0。

#脈衝攻擊：六條結論，三條被推翻

2026-08-03，E17–E24。30 個種子 × 600 輪，1,740 個逐輪檔案、1,041,246 行。

我們寫完報告之後，派了獨立代理專門去推翻它。六條頭條結論的複驗結果：

#兩條保留下來的正向結論

1. 偵測機率是單一乘積 (1 − 盲區) × 抽樣率 × 準確率，三個因子共軸。盲區改變的是防禦的天花板（殘量 β/(1−β)），不是抽樣率有沒有用。
2. 盲區 × 時間結構的交互作用 η² = 0.264，是時間結構主效應的 4 倍。所以「真正的變數是 X」這個句型本身在這裡不成立。

#三件尚未複驗的

#先行研究的修正

連我們的頭條也被搶先了：Srivatsa 等（2005，TrustGuard）量過四種震盪模型的攻擊者成本比 1 : 2.28 : 2.08 : 1.36，並證明知道記憶窗 maxH 的攻擊者最佳策略是以週期 = maxH 震盪。我們的「1.81 倍」既較舊又較弱，而且已自判為雜訊。Hoffman 等（2009, ACM Computing Surveys §5.4）把它列為命名類別 oscillation attack。

#新攻擊面：唯一承重的那一層

A1–A3、B1–B5（A 系列 12 個種子、B 系列 10 個種子；只有平均，沒有 CI、沒有配對檢定）。

#逐層消融（B2）

#內部串謀（B3）最便宜，也最傷

1.5 – 2.9 倍差距。報告的結論寫得很直白：唯一承重的那一層，擋不住最便宜的攻擊者。

#B5：傷害被量成零

一個只誹謗、從不違規的串謀團體，拿走了 95.4% 的路由份額，而它的「分數」是 0。（基準串謀份額 0.331）

這不是低估傷害——這是傷害被量測為零。任何以「分數」為基礎的路由都會這樣。

#B4：最佳誹謭強度是 0.75

得分 9.0、路由份額 0.094、誠實者信譽掉 0.30。在 1.0 時回落成 4.2（被行為推斷抓到）。

#永久排除：0 / 368

為什麼「永久」是兩個合理修補的乘積

解析式（total ≥ exp(n'·((target−mean')/c)²) − 1，m=0.9、target=0.95、c=0.3）在 n=10 時：f=0.5/λ=1 需要 10¹² 次觀測，f=0.9/λ=0 需要 10^0.95 ≈ 9 次。

那個 10¹² 不是「等很久」，是到不了。

#通道分離與多向環境

#通道分離（雙判準通過）

• 專長 profile：專家命中率 0.1653 → 0.6200（隨機 1/6 = 0.1667；3.72 倍隨機），品質 +24.7 pp。null 對照組 0.4330 → 0.4330，四位小數完全相同、標準差相同。
• 密封評審：herd_overrides 從 7,889 次累積翻轉變成恆為 0，跨 herd 的 spread 精確為 0.0。偽陽性 0 / 340。
• 擴大版推翻自己的過強宣稱：遮蔽隨團體變大單調消失（2/10：0/6→6/6；4/10：10/12→12/12；6/10：18/18→18/18）。適用範圍只有「小串謀團體」。
• 回歸：428 passed / 1 skipped；三個釘死的 digest 重現 15/15 逐位元相同；E10 的 180 份評審信封仍全部可驗。

#多向環境（M1–M5，300 輪 × 24 種子）

M1 問的是：共同盲區有多少是架構自己造成的？

讀法：單向架構在零盲區時，86% 的共同失誤是架構自己製造的。改成多向之後，落到理論下限以下。M1b 掃過 cascade_p / authority_w 得到的超額量從 −0.010 到 +0.316——量級不可靠，方向穩健。

M2 的加一階梯（盲區 0.3）：單向 0.6935 → 多向 0.8252，+13.2 pp、漏掉的壞件減半。拆解：隱藏信譽 +8.0 pp、拒絕原語 +6.1 pp、求助 +0.5 pp、密封評審單獨略差。

M3 拆出干預的兩個因子：「看哪裡」貢獻 70%，「什麼時候看」貢獻 30%。

#真模型的防守實驗

#E10 信任開關（配對，N = 60）

qwen3.6-35b-a3b；EvalPlus MBPP+ 60 個配對任務；名冊裡人工植入 2 個破壞者。

配對：n=60、b_on_only = 11、c_off_only = 6、不一致 17、Δ = +0.0833、95% CI [−0.05, 0.2167]、McNemar p = 0.3323。檢定力只有 0.163；MDE 80% 需 n = 337。

第二個結果變數比較有意思：派給破壞者的工作，off 20/60（33.3%）→ on 11/60（18.3%），McNemar p = 0.0931（未達 .05）。拿掉 10–30 個暖身任務後 p 進入 0.021 – 0.041；拿掉 35 或 40 則變成 0.0703 / 0.2188。}}

#E11 記憶三臂（pilot）

同一模型、12 題：M0 8/12、M1 8/12、M2 8/12（耗時 846.2 / 1,012.9 / 2,144.6 秒）。原文寫著：「不足以支撐任何效果宣稱。」

#獨立審查：六支攻擊 PoC

2026-07-26，目標提交 f9a381a。裁決一句話：這套架構目前提高的是可究責性，不是信任。

詳見 歸因。這裡只列結論：三個必要條件中兩個直接不成立（訊號可被廉價偽造、懲罰會咬但對低分者是獎勵），一個部分成立。

#這條軸目前欠的

#接下來

• 增益軸
• 紀錄與多方執行
• 逐條裁決：證據帳本