本文研究一个交叉性问题: 当 AI 系统基于机密数据产生输出时(论文举的两个例子是: 依据医疗记录给出适岗/履职能力评估, 以及依据分子的秘密结构预测候选药物的性质), 我们既希望验证这些输出是否计算正确, 又不希望泄露底层敏感数据。已有的一类工作研究如何通过交互式证明(interactive proofs)与辩论式监督(debate)来验证「带 oracle 的计算」(oracle-aided computation), 这里的 oracle 可以是人类判断、物理实验或互联网检索, 即计算正确性本身依赖于外部 oracle 的回答。这些工作的关注点是让验证者的运行时间远快于被验证的计算本身, 但对一般的带 oracle 计算, 这种高效验证被证明是不可能的, 因此它们必须引入额外假设。本文把关注点从「省时」转向「隐私」: 允许验证者运行与计算同阶的多项式时间, 进而追问——针对带 oracle 计算的交互式论证能否做到零知识, 使验证者除了「输出是正确的」之外学不到关于机密数据的任何信息。作者给出了否定性的主要结论: 一般而言不能。在随机预言机模型下, 不存在能覆盖所有带 oracle 计算的零知识证明, 即便证明者与验证者被允许运行远长于被验证计算的时间; 这一不可能性结果还延伸到 debate 模型, 而 debate 是可扩展监督(scalable oversight)的典型范式。在正面方向上, 作者证明: 如果 oracle 对它的每一个回答都附上密码学签名, 那么任何带 oracle 的计算都能以零知识方式被验证, 且证明者与验证者都是高效的, 所需假设仅为抗碰撞哈希函数。除隐私之外, 该结果还提供了一条可扩展监督的替代路径: 它既不像 debate 那样依赖存在一个诚实的对手方, 也不像以往单证明者协议那样依赖计算本身的鲁棒性。整体上, 论文用不可能性与构造性结果划出了「AI 监督能否零知识」的边界条件——关键在于 oracle 的回答是否可被密码学认证。

该论文研究了异构大语言模型（LLM）在多智能体辩论中面对恶意的对手时的表现。核心问题是：异构的同伴在传递纠正信息的同时也可能传递对抗性影响，哪一方占主导？作者通过跟踪诚实代理（defender）的修订行为来测量：他们改变答案的频率，以及改变是纠正性的还是有害的。实验比较了同质基线（全诚实）、诚实混合（诚实+诚实异构）和恶意混合（诚实+恶意异构）三种面板，以及受污染面板（已有恶意同族peer）的情况。使用四个模型家族（如Llama-3.1-70B、GPT-4等）和三个推理基准（如MATH-hard）。主要发现：（1）诚实的异构peer显著降低有害修订率（对于Llama-3.1-70B在MATH-hard上，从同质面板的89%降至35%），而恶意的异构peer将其推高至90%。（2）条件概率率对弱defender隐藏伤害，但辩论结束时的翻转率暴露了实际损害。（3）该模式在模型家族和基准上符号一致，幅度随defender-benchmark组合变化。（4）当已有恶意同族peer时，加入诚实的异构peer能降低有害修订率，并能降低初始正确答案的丢失率（翻转率从31%降至6%）。结论：LLM的异构性不仅是一个攻击面，在已有对手时也可以成为一种防御机制。该工作为多智能体系统中的鲁棒性设计提供了新视角。