一台被攻陷的推理服务器，可能把模型权重——训练得到、也是模型核心资产的大量参数——编码进看似正常的选词里，像每次寄出一小片拼图。单次回答未必露馅，而且 GPU 的正常计算误差也会造成选词差异，报警太敏感反而会误伤正常服务。
这项工作让可信服务器用相同提示和采样种子重新生成回答，再把两份结果的偏差按回答汇总。关键是 e-process：一种随新数据持续更新的证据量。每次只有一点可疑也没关系，异常若反复出现，证据会逐步累积；同时，无论监控多久、何时决定报警，误报概率都受预设上限约束。
论文在四个模型的实验中称，面对不知道采样种子的攻击者，该方法对所有重采样攻击流都报警，中位报警时间为 6 至 14 次回答，匹配的正常流没有报警。对照的逐词硬阈值方法则漏掉这些攻击，并在正常流上频繁报警。不过，这套保证依赖“校准迁移”：实际流量的提示分布、模型和运行环境须与可信校准阶段足够一致；系统变化较大时需要重新校准。