开源权重语言模型的第三方适配器（adapter）通常以不透明的权重矩阵形式分发，接收方在不信任发布方、又不检查权重（而权重正是发布方的核心资产）的前提下，无法判断适配器是否被植入后门。论文聚焦其中一类特别棘手的情形：把载荷放进安全监控器在结构上「看不见」的子空间。作者论证这类隐蔽信道在检测层面是不可靠的：任何经由所声明监控器分解得到的检测器，在该盲子空间上都是不变的；而良性适配同样会使用该子空间，因此诚实适配器与后门适配器在所评估的每一个盲子空间统计量上都相互重叠，无法区分。基于此，作者不再尝试检测，而是让该信道在结构上「不存在」并给出可验证证明：发布方构造适配器，使其仅通过监控器覆盖的方向读取输入，并以零知识方式证明这一点，同时不泄露其所认证的「读取因子」。证书开销很低，因为最昂贵的部分——识别监控器的盲点——是公开基座模型的确定性函数，故只需证明一条线性恒等式；所服务的残差被限定为基座模型自身的公开下界，而不是证明方自选的容差。系统名为 ServeGuard，是一个供应链原语：发布方交付「携带证明的适配器」，消费者或监管方可无需获知读取因子、无需信任发布方，即可验证该适配器相对所声明监控器不携带此类隐藏信道；另设准入时类型守卫，将保证绑定到实际被接纳的适配器字节上。实验覆盖四个模型家族、最多 7B 的八个检查点，显示监控预算具有架构依赖性：在分组查询（GQA）检查点上所测边界饱和于 value-path 秩，而多头注意力检查点则不然；在 0.5B 模型上，良性适配的约束几乎零成本，因此监控器质量成为安全杠杆。