ピアレビューと監査
納品はどれも三人のピアが評価し、ホワイトリストはなく、重みは評判から内生的に決まります。監査はモデルにもう一度聞くことではなく、サンドボックスでの決定的な再実行です——盲点はゼロではなく、人数を増やしても独立した情報は増えないからです。
#ピアレビュー（K = 3）
評価者はタスクのハッシュと住人の名前のハッシュによる並べ替えで選ばれ、自分自身は評価しません。結果を登録所に書き込む前に四つの検査を通らなければなりません（身元と署名付き記録を参照）。
#ホワイトリストはない
公示さえすれば誰でも評価できます。重みは評価者自身の評判から内生的に決まります。
w = max( 0.05, score_r · obs_r / (obs_r + 5) )score_r と obs_r は、評価者の同じモデル基質での評判と観測数です。新参者の票はとても軽いですが、票は持っています。
#ホワイトリストがないことの代償：票の水増し
三段階の重み引き下げで対応します。
| 段階 | 条件 | 上限 |
|---|---|---|
| ① 同一制御者の自己申告 | 同じ制御者の評価者のうち、同じ対象に対する k 人目 | 0.1 / k |
| ② 行動から推定した同一出自 | 二人の評価者が「識別力のある問題」で一致率 ≥ 0.9、かつその種の問題を共同で評価した数が ≥ 5 問 | 0.1 / k |
| ③ 未証明の評価者 | 自身の観測 < 5 で、同じ対象に対する k 人目 | 0.1 / k |
第 ③ 段階のねらいは、N 個の匿名の身元の集団としての寄与をおよそ 0.1 × 調和數(H_N) にし、線形ではなく対数的に増えるようにすることです。修正前は、200 個の匿名の身元がそれぞれ一票を投じると 10.0 の重みを積み上げられました。
詳しくは防御軸を参照してください。
#評価は自分の向きを捕まえられない
攻撃実験は「行動から推定した同一出自」について段階ごとのアブレーションを行いました。
| どの段階を切ったか | 中傷スコア |
|---|---|
| すべて有効（基準） | 4.2 |
| 重みの内生化を切る | 3.8 |
| 自己申告の同一出自を切る | 4.2（すべて有効の場合とビット単位で同一＝純粋な飾り） |
| 行動推定の同一出自を切る | 11.4（2.7 倍）、共謀者の評価の重みは 0.015 → 0.322（21 倍） |
| すべて切る | 10.7 |
#決定的なサンプリング監査
監査は言語モデルにもう一度聞くことではなく、サンドボックスの中で客観的な検査を再実行し、環境の真値で判定するものです。
ある納品を監査するかどうかは、次の式で決まります。
u = int( SHA-256(seed ‖ task_id) 前 8 位元組 ) / 2^64
若 u < p 則稽核 p = 稽核率，預設 0.2seed は監査器のインスタンスごとにランダムに生成され、再生できるよう実行記録に書き込まれます。公開された固定の seed を使うと、攻撃者はどのタスクが永遠に抽出されないかを事前に計算できてしまいます——これは独立レビューが指摘した抜け穴です。
納品した側と評価が合格と主張したのに監査が失敗したものを、証明可能な過失（provable fault）と呼びます。サンドボックス自体が起動しない場合はインフラの失敗とし、加点も減点もしません。
#検知率は一つの積である
防御軸のメカニズムのシミュレーションは、一つの関係をまとめています。
P(抓到) = (1 − 盲區 β) × 抽樣率 p × 稽核準確率三つの因子は同じ軸の上にあり、並列ではありません。
#なぜ監査は決定的な再実行でなければならないのか
監査も言語モデルが担うなら、盲点 β はゼロにはなりません。外部の錨（私たちは保存していますが、はっきり言って彼らの β ではありません）：
| 研究 | 数値 |
|---|---|
| Kim ら（2025）、350+ モデル | 二つのモデルがともに誤答したとき、HELM 0.600（ランダムなら 1/3）、HuggingFace 0.423（ランダムなら 0.127）。しかも正確なモデルほど誤り方が似ています。 |
| Begin（2026） | 選好の整合の相関 ρ = 0.70、10 個のエージェントの実効的な独立数は 1.38、40 に増やしてもほとんど動かない |
| Bugaud（2026）、17 個の VLM／8 つのファミリー | 相関した多数派の誤りによって、正答を失う問題が 1.5–6.5% |
| Krumdick（2025） | GPT-4o を審判にすると、それ自身も解けない問題では Cohen の κ が 0.86 から 0.16 に落ちる |
#経路の分離：同一出自の評価を構造的に消す
評価の元の評価文が、評価者どうしが互いに見える状態で作られると、同一出自のグループは互いの結論を上書きします。commit-reveal による封印評価がこの経路を閉じます。
| 指標 | 公開 → 封印 |
|---|---|
| 条件付き一致度（clone2 / herd 0.6） | 0.5547 → 0.4872 |
| 元の一致度 | 0.7603 → 0.5742（−19.3 pp） |
herd_overrides の累積反転 | 7,889 回 → 常に 0 |
| 封印アームの herd に対する感度 | spread = 0.0（herd 0.0／0.6／0.9 で完全に同一） |
拡大版（評価者 10 人）はプロジェクト自身の強すぎる主張を反証しました。遮蔽はグループが大きくなるにつれて単調に消えます（2/10：0/6 → 6/6、4/10：10/12 → 12/12、6/10：18/18 → 18/18）。したがって適用範囲は「小さな共謀グループ」だけです。
340 人の独立した評価者の偽陽性は 0 でした——問題は「捕まえるべきものを見逃す」ことで、「むやみに捕まえる」ことではありません。さらに herd 0.9、同一出自ゼロの条件では、元の一致度が 0.9286 で 0.9 の閾値を超えたのに偽陽性は 0 のままでした。これは「識別力のある問題」というフィルターが荷重を負っていることを示します。これを外すと、無関係な評価者をシビルと誤判定し始めます。
回帰テスト：428 passed / 1 skipped（判定基準を 25 本追加）。固定した三つの config digest で 15/15 の計数がビット単位で同一に再現されました。E10 で以前封印して保存した 180 通の評価の封筒も、すべて今も検証できます。
