📄 换掉内容留下算式：为固定图表与语音接口重建可计算的保护输入
英文题目：ReCast: Contract-Preserving Protection for Fixed-Interface Multimodal Reasoning
标签：#音频推理 | #知识蒸馏 | #隐私保护 | #语音
评分：6.7/10 | 创新 1.4/2 | 技术严谨 1/1.5 | 实验充分 1.2/1.5 | 清晰度 0.8/1 | 影响力 0.8/1.5 | 开源 0/1.5 | 可复现 0.5/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Bingchen Pei：机构信息未在 arXiv HTML 中可靠披露
- Lichong Chen：机构信息未在 arXiv HTML 中可靠披露
- Bingxi Zhao：机构信息未在 arXiv HTML 中可靠披露
- Ziang Wu：机构信息未在 arXiv HTML 中可靠披露
- Sirui Wang：机构信息未在 arXiv HTML 中可靠披露
- Min Zhang：机构信息未在 arXiv HTML 中可靠披露
- Yanhao Chen：机构信息未在 arXiv HTML 中可靠披露
- Qingxu Liu：机构信息未在 arXiv HTML 中可靠披露
- Qiang Gao：机构信息未在 arXiv HTML 中可靠披露
- Chang-Tien Lu：机构信息未在 arXiv HTML 中可靠披露
- Bo Gao：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
远程图表与语音数值问答需以固定图像或音频接口送入远端强推理模型，直接上传会暴露实体、主题与数值对应关系，而文本脱敏与身份匿名无法重建可用媒体且仍泄露任务内容。ReCast第一步在本地做证据捕获，将图表转写或语音识别连同问题统一为含标识、模态、上下文与问题的证据查询记录并规范数值写法，为后续改写提供可对齐底本。第二步由蒸馏后的本地4B改写器联合替换证据与问题中的实体与主题并保持数量指派与操作关系，再经角色感知数值映射按关系约束替换数值并在本地保留逆映射，改写输出直接作为重建输入。第三步由重建智能体按受保护记录重绘图表或合成语音并经渲染一致性与源一致性双重校验后发送，远端求解器仅见受保护媒体并返回带标记操作数的Python程序，客户端在本地恢复原始操作数后执行得到答案。与直接匿名化或媒体保护方法不同，ReCast以同一文本记录串联语义改写、数值可逆映射与模态重建，既保留任务关系与接口契约，又实现答案精确恢复。在ChartQA与NMSQA各2000例构成的ID评测设置下，ReCast的准确率为75.10%，高于未蒸馏Qwen3-4B的准确率68.70%。该结论限于单数值答案问答与所用远端求解器及重建服务组合，未验证开放域推理与形式化隐私界。原文未报告端到端延迟与部署成本。
🔗 开源与复现资源
本次未形成可展示的已核验资源记录，开放状态尚未核实。
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，要算什么，什么必须留下？
这篇论文处理的是带隐私的数值推理。输入是两部分：证据与问题。证据可能是图表图片，也可能是语音录音，问题是文本，例如问两根柱子合计多少、某两段语音中提到的量差多少。目标是得到一个数字答案。初学者容易以为把图或音频直接发给最强的远端多模态模型就行，但论文的起点是这些证据里有源特定内容：公司名、地名、人物、主题措辞以及具体数值。
论文把任务需求拆成两类。必须保留的是关系：哪个值属于哪个类别、图例与系列如何对应、问题比较的是哪 1 对、要求的是加减比较还是查值、答案类型是数值还是比例。应当藏起的是来源：实体名、主题域、措辞风格与原始数值。输出不是一句话答案，而是一个可执行程序加本地执行结果。远端只根据保护后的替身媒体选操作数与运算，真正的数字代入在本地完成。
理解这个拆分才能读懂后文。凡是只改文字但不给图片波形的方法，过不了只收图片或只收波形的服务接口。凡是只换声音不换说话内容的方法，数值内容仍完整送达远端。论文要的是一条能过固定接口、又能把原值藏住、还能把答案算回来的链路。
文本保护与媒体保护各解决了什么，没解决什么？
文本保护一支研究如何改写文字。词级替换、差分隐私改写、对抗匿名化、任务感知的预算分配，都在文本内操作。它们能换说法、压制敏感词，但输出仍是文本。当远端图表分析接口要求传图像、语音问答接口要求传波形时，一段保护文本无法直接装进请求体，这是接口契约问题，不是改写质量问题。
媒体保护另一支保留了模态但目标不同。说话人匿名化换的是音色，保留了说了什么；抗识别扰动针对的是不让机器听懂；图像变换针对的是视觉隐私属性。它们都不处理数值任务的特殊要求：证据与问题必须同步换，否则问题指的实体在证据里对不上；换后的数还必须支持原答案的恢复，否则远端算对了替身也算不回原题。
与本文最接近的是纯文本数值实例的主题迁移加数字替换再本地恢复。ReCast 把该思路扩展到媒体输入输出。区别不只是换了一个多模态求解器，而是释放物必须同时满足接口要的媒体格式、保留可恢复的关系。论文用共享文本记录把跨字段引用显式化，再用重建检查释放的图表或语音是否仍表达保护证据。
为什么固定接口让保护变难？看一个柱图例子
假设原图是家庭债务百分比，立陶宛 14.8，意大利 65.0，问题问两柱合计。直接发送等于把国家、主题与数值全暴露。理想的保护应变成另一个主题，例如种子发芽，芦苇 68.37，松树 453.26，问题仍问两柱合计。远端看到的是新主题与新数，返回 68.37 加 453.26 的程序，本地把 68.37 换回 14.8、453.26 换回 65.0 再执行得到 79.8。这样远端完成了选数与选运算，但没见过原名与原值。
下图把这种对照画得很直白，上排是 3 类不匹配的已有路线，下排是本文要走的替换加恢复路线。先看上排为什么不行，再看下排如何保留问题结构。
看图路径： 1. 先看上排三类已有保护分别缺了什么：文本缺媒体、合成图缺配对问题、变声保留原文；2. 再看下排从家庭债务柱图到种子发芽柱图的替换：新主题、新名、新值但问题结构不变；3. 沿底部箭头核对程序返回后如何把 68.37 换回 14.8 再执行得到 79.8
论文图 1。原论文 Figure 1:：“ReCast: replacing source content while preserving task structure.”。
图中下排的关键是箭头闭环。原输入先在本地留下，中间经过新主题新名新值但同问题的替身媒体，远端求解器只在替身格式上工作，返回的程序再经本地恢复与执行。教学例子中的数字仅为示意流程，不代表论文实验值。论文强调重建的目标是忠实表达保护记录，不是复刻原图外观或原说话人音色。
总链路如何分三段？先走通一个样本
ReCast 是本地为主的插件式流水线，中间是统一的文本证据查询记录。第一段是证据捕获，把图或语音连同问题转成 5 个字段：编号、模态、上下文、问题、选项，数字答案任务选项为空。图表分支用本地问答感知的视觉模型抽类别数值对应、图例系列对应、单位顺序与被问视觉属性；语音分支用本地语音识别转写再加确定性解析器保字段边界与数字跨度。所有分支先做数字归一化，让证据与问题中重复出现的量有同一身份。
第二段是联合改写与数值保护。改写器把证据与问题一起换到语义不同的域，保持量归属、交叉引用、请求运算与答案类型，数字字面量此时不动。数值映射再按请求生成单射，把不同归一化值换成替身值，逆映射留本地。第 3 段是模态重建与放行校验，按接口要的模态把保护记录渲染成图、直接序列化文本或合成语音，经过生成加审核加修复循环，通过两项检查才发给求解器。
下图是 3 段总览，建议按输入到输出的主路径读，再看每段内部工具。
看图路径： 1. 从左侧输入追到阶段一统一文本表示，注意图像用视觉工具、音频用语音识别、文本直通；2. 看阶段二主题改写先换 April 到 Tuesday，数值改写再把 30 换成 48；3. 看阶段三图像走规格生成与修复、文本直出、音频走语音合成三条分支
论文图 2。原论文 Figure 2:：“Overview of ReCast. The pipeline first converts multimodal inputs into a unified textual representation (Sec.”。
图中例子把公司营收从 4 月 30K 到 5 月 50K，先统一成文本，再把主题换成周二到周三的网站访问，最后把 30 换成 48、50 换成 71。图像分支走图表规格生成加校验加渲染，文本分支直出，音频分支走语音合成得代理语音。底部问题也同步从营收与月份换成访问量与星期，这是证据与问题联合改写的直观体现。
证据查询记录 × 模态重建： 证据查询记录负责把图表或语音与问题统一成可编辑的五字段文本，写清哪个量属于哪个实体、问题比哪一对、要做什么运算；模态重建负责把改写并换值后的记录再做成接口要求的图片或波形。两者搭配的原因是文本易改写但接口不收文本，媒体合接口但不易对齐改写，记录居中让保护与格式解耦，组合后实现一次改写、多接口复用。
改写与换值如何分工？符号与计算目标是什么？
先把符号讲清。记源证据为 X，问题为 q，源模态与释放模态为 m 与 r，论文主要考虑同模态释放。本地捕获算子把输入变成归一化文本记录 D，语义改写器为 R，请求相关的数值变换为 H，逆映射为 h 的逆。放行请求的保护记录与释放对满足下式，G 为重建与校验，校验用的本地源输入与逆映射是隐含参数。
\[\widetilde{D}=H_{h}(R_{\theta}(D)),\qquad(\widetilde{X},\widetilde{q})=G_{r}(\widetilde{D}).\]该式的计算目标是得到替身证据与替身问题。D 波浪线是保护记录，X 波浪线与 q 波浪线是释放的媒体与问题。部署时原输入与逆映射不出本地，远端重建服务只收保护内容与派生制品，求解器只收替身对。论文明确泄露审计只覆盖进入求解器的请求，不覆盖全部重建服务输入。
语义改写与数值映射的搭配需要细读。下图把两步拆成上下两块，上面是主题改写，下面是数值改写。
看图路径： 1. 看上半主题改写器中教师模型与学生模型的箭头：离线生成加过滤后再蒸馏；2. 看输入记录示例中保留的字段与问题字样；3. 看下半数值改写规则三行：保年份、保必需量、保相对顺序
论文图 3。原论文 Figure 3:：“Joint rewriting and numerical protection.”。
上块输入是证据与问题，训练记录示例给出编号、模态、上下文与问题字段。离线教师先做保持结构的改写，经过滤后蒸馏给本地学生。下块把 30K 与 50K 按规则换成 48K 与 71K，规则写明保必要年份、保必需量、保相对顺序。原文数值策略更细：0 到 15 的非年份整数恒等保留，因为常是计数或下标；年份按时代分组共享偏移以保组内差；其余量按量级分 3 段，段内采样两小数替换并排序以保序，同值同替，每请求 fresh 映射。
语义改写器 × 数值映射： 语义改写器负责换实体、主题与措辞但保持数量字面量不动，数值映射负责把同一套数值换成另一套并在本地保留逆映射。分开的原因是语言模型擅长换说法但容易改数，规则映射擅长保序保对应但不懂换域，两步串行让前者不碰数、后者只换数，组合后证据与问题仍对齐且答案可恢复。
远端返回程序后，本地做操作数恢复。记远端程序为 P 波浪线，其中观测到的数字标记为 protected，本地把每个标记经逆映射换回原值再执行。
\[\widehat{a}=\operatorname{Exec}\!\left(\mathcal{I}_{h^{-1}}[\widetilde{P}]\right),\]该式的输入是带标记的程序，目标是原问题在原证据上的预测答案。恢复作用于操作数，不是把保护值算出的答案直接换算。能否恢复正确取决于证据是否忠实、操作数与运算是否选对。若判断依赖未被保留的差值或比值，且未推迟到恢复后执行，则不保证可迁移。
重建智能体如何保证替身可用又不走样？
重建按接口选插件。图表分支把保护证据译成声明式图表规格，含类型、类别、系列、值、标签、单位与颜色，经本地结构与值检查后用固定模板渲染，再由视觉模型对照保护记录审核，最多修 4 次。语音分支合成保护段落后转写候选波形，检查可懂度、保护量与实体指称，不合格重合成。文本分支直接序列化。 下图展示图像修复链与 3 路路由，读图时注意失败回边指向哪里。
看图路径： 1. 看上半图像修复链：规格抽取经语言模型校验再渲染再经视觉模型校验；2. 核对规格校验与视觉校验各列的三项检查内容；3. 看下半三路路由：图像修复、文本直处理、语音合成如何汇成多模态输出
论文图 4。原论文 Figure 4:：“Modality reconstruction and release validation.”。
上半链是规格抽取到语言模型校验再到渲染再到视觉模型校验。规格校验看模式合法性、保护值是否来自保护描述、规格与描述是否一致；视觉校验看值完整性、标签对齐与视觉缺陷。失败分别回退到改规格或重渲染。下半是保护文本经模态路由分 3 路：图像修复、文本直处理、语音合成。语音合成标注所用模型可在级联内替换。
放行需要两项检查同时通过。保护记录检查核对渲染值、标签、单位、类别系列关联与被问属性，语音核对转写量、指称与问题所需内容；源检查在本地把改写实体对回源角色、逆回映射值再与原输入比对赋值与依赖。论文明确这两项是操作性检查，不构成语义正确性证明或形式隐私保证。
远端求解器 × 本地操作数恢复： 远端求解器负责在保护后的媒体上选操作数与运算并返回 Python 程序，本地操作数恢复负责把程序中标记为 protected 的数字经逆映射换回原值再执行。分工的原因是远端感知与推理强但不可见原值，本地持有原值与逆映射但推理弱，组合后远端只见替身、计算仍落在原值上。
保护记录一致性检查 × 源一致性检查： 保护记录一致性检查负责核对重建的图表或语音是否忠实表达了保护记录，源一致性检查负责在本地把改写实体对回源角色、把映射值逆回去再比对赋值与依赖。两者都要通过才放行，原因是前者防重建走样导致算错，后者防改写破坏可恢复性，组合后形成放行门。
改写器如何蒸馏？训练了什么，冻结了什么？
需要训练的只有本地语义改写器，学生是 Qwen3-4B 加 QLoRA 适配器。教师是离线的大模型，对训练侧的图表描述与语音转写记录做改写。每个教师请求改写一条五字段记录，带固定的两示例演示。接受条件很严：单元素数组且恰五字段；编号与模态与输入字节一致。
选项保持长度与顺序；上下文与问题非空；每字段的数字字面量序列不变。满足才成为蒸馏对。
论文报告源记录 16370 条，接受 15795 对，拒收 575 对是因为改了数字字面量；接受对中 15480 作训练、315 作验证，与评测数据不相交。优化目标是标准的下一词预测负对数似然，只在输出词上算损失。
\[\mathcal{L}_{\mathrm{rewrite}}(\theta)=-\sum_{(D,Y)\in\mathcal{T}}\sum_{t=1}^{|Y|}\log p_{\theta}(Y_{t}\mid D,Y_{\lt t}).\]该式输入是记录 D 与教师改写序列化 Y，T 为训练 split，theta 为适配器参数，目标是让学生在给定 D 与前缀下复现 Y。原文给出学生训练超参数与教师解码设置，但未报告梯度路径之外的更多实现细节，复述时不从模型名推定未写明的优化器行为。推理时不满足模式或数字字面量检查的输出会重生成，语义一致性在放行前另查。
除改写器外，捕获、映射、渲染模板、解析器按规则或现成模型调用，不在本文训练。数值映射每请求重建，随机数发生器在每次实验运行开始用种子 42 初始化 1 次，不为单个请求重置，这一点与可复现的偏移与采样有关。
在什么数据与模型条件下测？指标如何定义？
评测分内分布与外分布。内分布用 ChartQA 与 NMSQA 各 2000 个 held-out 数字答案样本，与蒸馏记录不相交；外分布用 ChartX 与 Spoken-MQA 各 2000 个。所有评测标识在执行前固定。证据模态分别为图像与音频，问题多为文本，Spoken-MQA 为音频题加文本指令。
远端求解器在所有远端设置中固定为同一模型，因此精度差异不归因于求解器选择。本地在单卡上顺序运行。
指标有三。任务精度是答案匹配率，图表与语音用相对容差加绝对下界的数值匹配，非数值别名用归一化精确匹配，可接受引用来自原答案与可信本地证据而非预测。标准化精度是方法精度除以远端原生精度的比值。源内容泄露是进入求解器的请求被固定语言模型法官标为泄露的比例，法官看语义、词汇、实体值对应、可链接四视图，通用推理结构不计泄露。总体值取 2 数据集算术均值，样本不按精度或泄露事后过滤。
基线分 3 层。端到端有远端原生看原媒体、本地小模型看原输入作为零泄露参照。阶段二把改写器换成未调优同底座、离线教师、以及两种文本匿名器。阶段三把媒体直接保护方法只报原生暴露诊断而不报问答精度，因为它们没有操作数恢复机制，无法在本文协议下端到端答题；另把重建换成两种智能体框架以隔离重建实现的影响。
主结果保留了多少远端能力？泄露降到多少？
先看核心对照：同一求解器下，保护流程相对直接看原媒体保留多少，以及相对本地直接答题提升多少，泄露指标方向越低越好。下表把论文正文连续句中的数字整理成可核对的形式，条件列写明数据集，指标列写明精度与归一化精度。
| 条件 | 指标 | 基线 | 本方法 | 比较对象 |
|---|---|---|---|---|
| ChartQA 图像 | 准确率 | 62.80% | 70.20% | 本地捕获模型 |
| ChartQA 图像 | 归一化精度 | 未报告 | 93.48% | 远端原生 |
| NMSQA 音频 | 准确率 | 46.30% | 80.00% | 本地通用模型 |
| NMSQA 音频 | 归一化精度 | 未报告 | 91.53% | 远端原生 |
| 总体 | 准确率 | 未报告 | 75.10% | 总体 |
| 总体 | 归一化精度 | 未报告 | 92.43% | 总体 |
| 总体 | 求解器侧泄露 | 未报告 | 7.95% | 总体 |
上表显示保护后仍明显高于本地直接答题，且保留 90% 以上远端原生精度，总体求解器侧泄露为个位数。论文同时报告 ChartQA 上 70.20% 比本地图表模型高 7.40 点，NMSQA 上 80.00% 比本地通用模型高 33.70 点。重提这些数字时要加新信息：领先主要来自把感知难的图表语音先转文本再改写重建，而不是本地模型本身变强；代价是仍有约 8% 的请求被法官标为泄露，不是零泄露。
标准化精度 × 源内容泄露率： 标准化精度负责衡量保护流程相对同一求解器直接看原媒体的效用保留，源内容泄露率负责衡量进入求解器的请求中仍可恢复源实体、数值对应或可链接回原样本的比例。前者看算对多少，后者看露了多少，两者并列才能判断保护是否有用且代价可接受。
阶段二的蒸馏效应需要单独看。未蒸馏底座总体精度 68.70% 而泄露 39.75%，蒸馏后精度 75.10% 而泄露 7.95%，教师为 75.65% 而泄露 3.20%。也就是说蒸馏带来 6.40 点精度提升并把泄露从约四成压到个位数，与教师差距仅 0.55 点。两种通用文本匿名器在同一文本记录上的泄露分别高达八成与 90% 以上，说明只做通用匿名而不联合换域换值，源内容大多还在。
换掉哪一段会怎样？重建实现与输入路径的对照
第一个问题是重建实现是否重要。固定同一批保护记录，比较两种外部智能体框架与本文重建智能体，指标方向为精度越高越好。下表直接选用原文结果矩阵，行是重建实现，列是数据集与总体。
| Reconstruction | ChartQA | NMSQA | Overall |
|---|---|---|---|
| Codex CLI harness | 52.00 | 78.00 | 65.00 |
| DeepSeek Harness (DSH) | 60.90 | 80.50 | 70.70 |
| ReCast agent (Ours) | 70.20 | 80.00 | 75.10 |
表后解释要同时讲收益与反例。本文智能体总体 75.10%，比外部两框架分别高 10.10 点与 4.40 点，优势主要来自 ChartQA 图像，领先分别达 18.20 点与 9.30 点；但在 NMSQA 音频上，第二种外部框架反而高 0.50 点，说明重建优势不跨模态均匀成立。语音合成相对保护文本直发在 NMSQA 低约 3.90 点，表明合成引入了可测的效用损失，但波形接口下仍需重建才能端到端推理。
第二个问题是文本匿名器的覆盖与泄露。固定同一五字段记录，比较两种匿名器的接受率与泄露率，泄露越低越好。下表同样直接选用原文矩阵。
| Rewriter | ChartQA coverage | ChartQA leakage | NMSQA coverage | NMSQA leakage |
|---|---|---|---|---|
| RLAA-Qwen3-4B | 100.00 | 86.80 | 100.00 | 73.70 |
| Eternis-Anonymizer-4B | 100.00 | 96.70 | 100.00 | 93.20 |
表后解释是两者覆盖均为 100%，但泄露分别在 ChartQA 高达 86.80% 与 96.70%，在 NMSQA 为 73.70% 与 93.20%，比本文 7.95% 高一个数量级。这支持联合换实体主题的必要性，代价是本文多了数值映射与重建校验链路。未胜出项在这里是两种匿名器，它们不是端到端可恢复策略，不能替代本文的可部署收益。
解耦成文本中间表示是否必要？保护文本直发会更好吗？
第三个问题是阶段一是否需要先转统一文本再改写。同一多模态模型下比较直接联合输入改写与先转文本再改写的解耦路径，精度越高越好。下表为原文输入路径消融。
| Input path | Image acc. | Audio acc. | Overall acc. |
|---|---|---|---|
| Joint input | 46.00 | 43.20 | 44.60 |
| Decoupled input | 65.90 | 65.80 | 65.85 |
表后解释是解耦把总体从 44.60% 提到 65.85%，提升 21.25 点，图像与音频分别提升约 19.90 点与 22.60 点。这支持显式中间接口让内容可检查、可替换插件。但要注意该对照是共享模型配置下的路径消融，不是完整 ReCast 复现，数字不能直接与主结果 75.10% 对比因果。
第四个问题是阶段三重建是否损失效用。固定保护记录，比较释放重建媒体与直接释放保护文本。总体保护文本 76.85% 比重建媒体 75.10% 高 1.75 点，主要来自 NMSQA 高 3.90 点；但在 ChartQA 重建图像反而比保护文本高 0.40 点。这说明图像重建在该设置下能保留下游效用并满足图像接口，而音频重建有适度损失。论文未评测的边界是接口不接受文本时的必选性，以及重建失败走表格回退或扣留请求的频率，主实验中所有样本最终都产生了求解器请求。
哪些结论不能推广？法官与诊断口径的限制
首先是泄露口径。主泄露率是模型法官对求解器请求的判断，不是字符串匹配。论文用人标校准：在 400 对八格样本上，法官与人类多数的一致率为 91.50%，对应 kappa 为 0.83，加权回全量后人类标泄露约 8.70% 而法官为 7.95%。这表明法官是可靠代理但有误差，不能把 7.95% 读成精确真值。校准覆盖了内分布三改写条件与外分布 2 个数据集，且保留 0 到 15 整数恒等规则未发现归因于该规则的误判，但未测量延迟与成本，不得承诺这些量改善。
其次是跨方法可比性。媒体直接保护方法的 0.00、28.20、0.60 等是各自原生暴露诊断，不是本文求解器侧泄露率，不能直接比大小。论文明确它们无操作数恢复，无法在本文协议下端到端答题。跨数据集的泄露与精度变化也只能描述性报告，因为数据集不同，ChartX 图像精度 drop 7.80 点而 Spoken-MQA 音频仅 drop 0.60 点，图像对图表分布偏移更敏感，但这不是蒸馏效应的度量。
最后是保证范围。放行检查是操作性检查，不提供语义正确性证明或形式隐私保证。数值映射只保段内序与组内年份间隔，不保一般差值比值与跨类比较，依赖未保留关系的判断需推迟到恢复后执行，否则可能不可迁移。重建用的远端代码与视觉模型、语音合成服务只收保护内容，但论文的泄露审计不覆盖全部重建输入，部署时需另加契约与访问控制。
复现先做什么？数据、组件与日志如何对齐？
先固定评测标识与划分。内分布各 2000、外分布各 2000，蒸馏训练 15480 加验证 315，与评测不相交，洗牌种子与映射随机种子按附录记录对齐。答案匹配用相对容差加绝对下界，图表的百万十亿单位与百分比比例形式有特定宽容，年份与结构计数不展开，比较时要求样本标识跨方法一致。
再按 3 段装组件。图表捕获用本地视觉模型加问句感知提示，语音用本地识别加确定性解析，改写用本地 4B 加蒸馏适配器，数值映射用分段保序加年份分组偏移，图表规格生成与审核用远端模型、渲染用本地固定模板、语音用远端合成，远端求解固定同一模型并要求返回单程序且标记保护操作数，本地在独立进程限时执行。教师生成、规格生成审核与合成的解码预算与重试上限按附录设置，不要从模型名推定未写明的实现。
日志是可核对的关键。每个求解器请求在发送前记录消息、模型标识、解码设置、端点与媒体，重试与格式修复用独立事件标识并链父节点，泄露审计聚合每样本全部求解器事件；重建边界另记保护记录、规格候选、审核输入与合成段落。原输入与逆映射不出本地，法官只在评测流内可见原输入。资源状态方面，本次未发现来源绑定且完成验证的公开资源，不得声称代码模型或数据已公开，复现应以论文附录的构造与超参数为准，缺项明确记为未报告而不是自行补实现。
何时值得尝试？还需补哪项验证？
当远端图表或语音接口只收固定媒体、本地模型感知与算术又不够，而任务是数值问答且能接受程序加本地执行的形态时，这条路线值得尝试。它的可复述动作是：本地转统一记录、联合换域保关系、按请求换值留逆映射、按接口重建成替身、远端写程序本地换值执行。预期是保留大部分远端效用并把求解器侧源暴露压到个位数，代价是多段流水线与语音合成损失。
不值得照搬的情形是只需换音色、只需文本脱敏、或需要形式化隐私保证的场景。本文检查不提供证明，泄露度量依赖法官代理，跨方法诊断口径不一。若要用于敏感部署，除复现精度与泄露外，还需补三项验证：重建失败与扣留率及其对有效精度的折损、端到端延迟与成本分段测量、以及在自有图表语音分布上的小规模人审校准。先跑通保护文本直发与重建媒体的对照，再接入真实接口，才能把接口兼容性与效用损失分开归因。
📎 论文与评分元数据
排名：前50% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses