已签名但可被操纵：离线 RAG 中的文本-向量完整性缺口

论文 Signed but Steerable: Measuring and Closing the Text-Vector Integrity Gap in Offline Retrieval-Augmented Generation（G. Feretzakis, A. Papaspyridis, securagen.ai）的代码、数据与结果。

已归档于 Zenodo：10.5281/zenodo.23945569（所有版本；发布版 v1.0.2，论文中引用：10.5281/zenodo.23948839）。论文的 arXiv 标识符将在可用时补充。

内容概览

ragtrust/ 共享库，包括 codeverify.py，即用于所有代码验证结果的参考代码级验证器（歧义仅由验证器的重新计算决定；仅邻居接受；规范化）。
desktop/ 在桌面端运行的实验：弃权评分（E1）及其 MS MARCO 检查、向量失步攻击与边际定律（E7）、BEIR 边际、向量数据库暴露面、FAISS 演示、代码级验证以及浮点流水线的确定性。
device/ 在 Raspberry Pi 5 CPU 上运行的实验：上下文剪枝（E2）、语言模型旁验证的成本（E4）、设备端嵌入与 INT8 保真度（E5）、端到端攻击（E7）以及包更新（E8）。
analysis/ 分析、精度与单位检查，以及 make_figures.py，用于重新生成图表。
data/ 由 SQuAD 派生的语料、窗口、问题与向量；results/ 各实验输出； tests/ 单元测试；remote/ 用于从桌面端驱动 Pi 的辅助脚本（请调整主机名）。
PROTOCOL.md 数据收集前固定的假设，以及偏差与探索性分析的日志。实验编号遵循协议；E3 和 E6 不属于本发布版本。
pins.json 模型与工具的固定修订版本。

快速开始

测试：python tests/test_codeverify.py。
桌面环境：bash desktop/setup_desktop.sh；图表：python analysis/make_figures.py。
设备实验：一台 Raspberry Pi 5、装有 device/requirements_device.txt 的 Python，以及 pins.json 中指定提交的 llama.cpp。

运行设备实验

在 Raspberry Pi 上，执行 cp device/config.env.example device/config.env（调整路径）并将 device/requirements_device.txt 安装到 venv_device 后：

E2 和 E7 生成：bash device/inner_generate.sh 启动 llama-server 并运行 k3_full（前 60 个问题，可复现性检查）、k5_ce3、k10_ce3、k10_ce5、k5_bi3、带在线 INT8 选择器的 k5_ce3，以及 E7 配置；仅 CPU-INT8 端到端配置：bash device/run_e7_cpu_int8.sh。变体 k5_ce3w、k3_ce3 和 k3_ce3w 在 llama-server 运行时通过 python device/e2_generate.py --config <name> 运行（启动方式同 device/inner_generate.sh）。当 results/e2/status_<name>.json 存在时，该配置会被跳过；将这些文件移走即可重新生成已发布的结果。
E4：python device/e4_contention.py；E5：python device/e5_reindex.py --backends ort-fp32,ort-int8 --batch 32（已发布结果所用的批大小：动态 INT8 依赖批大小，批大小为 64 时会产生不同的向量）； E8：python device/e8_device_verify.py --vector-backend ort-fp32。
从桌面端，remote/pi_sync.sh 将仓库复制到 Pi，remote/pi_fetch.sh 获取结果。

论文中数字所在位置

SQuAD 上的 margin law（表 2）：results/e7/margin_law_squad.json；其他语料库与图 1：results/e7/beir_margins.json 和 results/e7/margins/；CPU-INT8 参考阈值下的暴露情况：results/e7/cpu_int8_exposure.json；数值精度与单位检查：results/e7/margin_precision_check.json；INT8 参考阈值的校准（精确分位数、其下的诚实窗口、batch 32 下逐位重新编码）： results/e5/int8_calibration_check.json（analysis/e5_int8_calibration_check.py）。
压缩存储：results/e7/vecdb_quant.json；FAISS 审计与已执行的攻击：results/e7/faiss_integrity.json；残差预算：results/e7/guard_budget.json。
设备上的端到端测试：results/e7/analysis.json（正确答案与拒答）和 results/e7/e2e_checks.json （相同问题、角度预算、payload 位于 top-3 上下文中）。
上下文剪枝（E2）：results/e2/decomposition.json；语言模型旁的开销（E4）：results/e4/。
图：results/figures/fig_margin_law.pdf（图 1）和 results/figures/fig_vdb.pdf（图 2），由 analysis/make_figures.py 重新生成。

未包含内容

模型权重与导出的 ONNX 图（许可证）：由脚本在固定修订版本下下载并重建。
BEIR 与 MS MARCO 数据及派生向量（许可证）：由脚本下载。
大型向量文件与缓存，由脚本重新生成：results/e7/squad_question_vectors.npz （analysis/margin_law_squad.py）和 results/e7/proxy_vectors.npz（analysis/margin_law.py）。
由脚本重新生成或下载的中间输入：results/e7/vecs/（由 desktop/beir_margins.py 写入）、results/e7/scale_*.npy（由代码验证脚本写入）、 data/beir/ 和 artifacts/models/（由 desktop/export_onnx.py 写入）。
运行日志。

部分分析脚本会加载它们自己用 numpy.load(..., allow_pickle=True) 创建的缓存；请仅从你自己的运行中加载此类文件，切勿从不受信任的来源加载。

第三方资源

模型、数据集及其许可证列于 DATA_LICENSES.md。使用相应部分时，请同时引用 SQuAD 2.0（Rajpurkar et al., 2018）、 BEIR（Thakur et al., 2021）、MS MARCO（Bajaj et al., 2016）、BGE-M3（Chen et al., 2024）和 Sentence-BERT（Reimers and Gurevych, 2019）。

说明

FAISS 全程按设计运行：它提供存储格式和搜索，而非完整性审计。威胁模型是存储向量的发布者或写入者被攻陷，而非任何库或产品的缺陷。
这是研究代码，按原样提供，不附带任何担保（见 LICENSE）。
Raspberry Pi 是 Raspberry Pi Ltd 的商标。其他产品名称是其各自所有者的商标。

signed-but-steerable

最受欢迎