本文研究了密码学模型认证（CMC）协议中的安全假设与实际部署之间的差距。隐私保护的机器学习审计协议允许审计员评估模型的准确性或公平性，而无需暴露模型内部或训练数据，因此特别适用于医疗、金融等敏感领域。然而，现有安全定义通常仅保证模型在固定审计数据集上的行为，未能确保这些保证推广到同一分布的其他数据集。作者展示了这一漏洞允许模型提供者通过精心设计训练数据来攻击基于零知识证明（ZKP）的CMC方案：可以生成一个在审计时表现正常（如准确率>99%），但在实际部署中表现异常（如准确率<30%）的模型。为了弥补这一差距，作者形式化了针对CMC框架的严格密码学安全概念，提出了一个通用协议模板，并证明了其满足这些要求。实验结果表明现有方法存在隐患，并为设计安全的隐私保护机器学习审计协议提供了指导。