该论文研究的是「外包大模型推理的可验证性」问题：当用户把推理任务交给第三方服务（云厂商、推理市场）时，如何让服务方向验证者证明其确实执行了指定模型的指定计算，并且没有篡改输出，同时把审计成本压到服务方可承受的水平。作者提出 Sampled Layerwise Proofs（SLP）协议与原型：对一条推理轨迹中每个 chunk（分块）的边界激活值做承诺，先吸收全部承诺、再抽取挑战，随后只对验证者随机选中的一部分 chunk 以及绑定 prompt 与答案的 chunk 生成证明。这样审计覆盖率变成一个运行时可调参数，而承诺集合只需生成一次。在 TinyLlama-1.1B 轨迹上，证明 47 个 chunk 中的 7 个只需全量证明 22.0% 的时间与 6.8% 的证明体积。作者观察到证明开销主要由权重而非 token 数决定，于是把并发请求打包进同一条轨迹，用块对角因果掩码隔离，并把每个请求的 prompt 与答案绑定到对应槽位；12 个打包请求的证明耗时 181.9 秒，比按单次证明成本分别做 12 次节省 6.5 倍；模拟服务场景下 12 个请求达每请求 30.6 秒、每次验证仅 0.6 秒，并能拒绝对被篡改答案的证明。工程上，借助磁盘驻留的整数权重与流式多项式承诺，单次 Llama-2-70B 推理可在 2TB 内存 CPU 主机上完成：封存 163 个 chunk、证明其中 5 个，生成 4.34 MiB 证明耗时 1,259 秒，验证 46.3 秒且验证方无需持有权重。作者还指出被证明的对象是定点规范化模型，严重的保真度损失源自残差流位宽，并用「LLM 感知观察器」修复，在 WikiText-2 的 334,705 个测试位置上与浮点参考达成 84.8%–84.9% 的 argmax 一致率。论文明确列出局限：保证仅覆盖被证明的 chunk；70B 场景下某个固定的非法 chunk 只有 3/161 的概率被抽中；仅依赖清单的 Fiat-Shamir 调度可被以每次约 12.5 ms 的成本研磨，需要外部排序的挑战；所有测量均使用测试参考串。

本文研究基于再质押（restaking）协议的可验证大语言模型（LLM）推理安全问题。这类协议通过经济惩罚机制（slashing）取代了 zkML 的高昂证明成本或 TEE 的硬件信任假设，从而以较低成本实现推理的可验证性。现有安全性论证通常依赖单轮（one-round）条件：理性提供者在预期惩罚超过作弊成本节省时不会作弊。然而，本文指出当推理在相同质押下重复进行时，该条件会高估实际安全性。作者将可验证推理建模为折扣重复博弈（discounted repeated game），发现由比例削减（proportional slashing）导致的“重复博弈缺口”：(1) 被检测到的违规会降低未来的惩罚暴露，而 (2) 成本节省会在多次查询中不断累积。论文以闭式形式推导了这一缺口的大小，证明其在最小质押驱逐（minimum-stake ejection）机制下依然存在，并进一步扩展至覆盖实际部署的无记忆有界削减协议。为修复该缺口，作者提出一种可部署机制，结合历史相关挑战（history-dependent challenges）、声誉加权削减（reputation-weighted slashing）和质押归属（stake vesting），在无需逐查询密码学验证的情况下，于显式折扣因子阈值之上恢复无限时域子博弈完美激励相容性（subgame-perfect incentive compatibility），针对平稳混合策略偏离。实验评估覆盖九个从 0.5B 到 14B 参数的开源模型对，表明审计信号具有所需的凹可检测性响应。Stackelberg 审计预算分析显示，在折扣因子 0.95 时，改进的信号响应可将基线审计率降低 2.6 倍。针对已部署参数的校准表明，现有协议通过单轮激励相容性测试，但在折扣因子 0.92–0.98 之间允许重复博弈偏离，偏离利润占 1.5%–8%；而所提机制可将偏离利润降低 31%–54%，同时维持低延迟的经济验证。该研究适用于关注 LLM 推理经济安全、博弈论机制设计及去中心化基础设施的从业者与研究者。