Actions with Receipts：引用是真的、日志是真的，结论照样可能是假的

有一种 agent 故障，大多数审计工具根本看不见。引用是真的，执行日志也是真的，可展示给用户的那句结论，既不出自这次执行，也没有被那条引用支撑。Miaobo Hu、Yina Sa 等人的 Actions with Receipts 管这叫「移植」：格式完好的引用和格式完好的执行轨迹，被挪到别的结论、别的动作、别的运行、别的来源版本上。每一块单独查都没问题，出问题的是它们之间的对应关系，从来没人查过。

解法是给每条结论开一张「收据」，论文叫以结论为锚的执行契约。它把四样东西绑死：输出的那句结论本身；带偏移量、哈希和原文引语的精确来源片段；产生这句结论的有序执行前缀；以及那次执行实际看到的来源版本和访问状态。一个确定性的完整性校验器先把这些绑定重建出来，再去做任何语义判断。结构合法性和「来源到底支不支持这句话」放在两个平面上分开查，所以一张干净的收据不会被当成一句真话。

数字很硬。1280 次跨对象替换攻击里，联合契约抓到 1275 次，检出率 0.9961。七个属性里去掉任何一个，它负责的那类攻击检出率就掉到 0.0156 到 0.0625，说明每一项绑定都在干活。在另行人工裁定的 384 对数据上，支持性判断的 F1 是 0.8865，误放行率 7.29%；换到没见过的故障类型上，F1 仍有 0.8679。

这是轨迹完整性这条线第一次拿到一份工程规格书。读轨迹的监控器默认轨迹属于这个答案，收据让这个默认可以被核验，而成本只是哈希和偏移量，不用多调一次模型。

链接：arxiv.org/abs/2610.00327