、某类缓存边界、某类时钟偏移。
当你每次都抽到同样题目，系统的“通过率”会非常漂亮。
漂亮到让人以为风险消失。
这就是仪式化的危险：
它把活的防御变成了静态合规。
江砚很清楚：
守望纪元最不能接受的不是失败，而是“看起来永远成功”。
永远成功只可能意味着：有人在决定题目。
---
五、江砚的判断：形变抽样必须像抽签一样抗投喂、可校验、且不可预测
他们曾经用抽签抗投喂协议守住见证随机性。
现在同样的逻辑必须扩展到形变抽样：
抽样的候选集合不能被悄悄缩小；
抽样权重不能被低风险补丁偷偷改；
抽样序列不能形成可推断周期；
抽样随机性必须可验证，但不能被预测；
且抽样的“题目多样性”本身必须纳入预算，像多样性预算那样被守望。
江砚提出一个新协议：形变随机性共识。
---
六、形变随机性共识：把“出题”也变成可验证的公共过程
校核码：surp-rand-01
名称：形变随机性共识协议
surp-rand-01a：多方承诺-揭示随机源（借鉴抽签）
由三方独立提交形变抽样的随机承诺（it）
在固定窗口揭示随机串（reveal）
抽样序列由三方随机串混合生成
任一方无法单独预测最终序列
surp-rand-01b：形变库快照哈希封存
每个批次形变库集合（形变类型、参数范围、形变类族）生成快照哈希
快照哈希对外可校验（不公开细节参数，避免给敌人地图），对内可审计
surp-rand-01c：形变熵预算
每批次必须达到最低多样性熵h
若熵不足，自动提升稀有形变权重，或扩大抽样范围
熵预算不足触发“意外保护”警报
surp-rand-01d：抽样序列反推断护栏
抽样时刻引入锁相抖动（不影响复现锚，但避免可推断时间窗）
序列周期性检测，检测到循环则强制重置随机串并触发审计
surp-rand-01e：对外只公开“形变随机性证明卡”
证明：本批次满足熵预算、承诺-揭示匹配、库快照哈希一致
不公开具体抽到哪些形变（否则等于发答案）
这套协议的关键点是：
让出题不可被操控，但也不可被提前知道。
你能验证它真随机，你却不能预测它会抽什么。
这就是守望纪元一贯的高难度平衡：
透明不等于曝光；
随机可校验，但不可预演。
---
七、意外保护警报：形变熵下降不是省资源，是风险信号
机要监之前的anl-surp-01就是预警雏形。
江砚把它制度化为“意外保护警报”：
校核码：surp-alrt-01
触发条件：
形变熵连续下降超过阈值且外压不降
抽样序列出现短周期重复
低成本形变占比异常上升
三实现一致通过率过于平滑（低波动异常）
触发动作：
强制提升稀有形变权重
冻结低风险抽样权重补丁，进入规约试验场
启动“抽样投喂调查链”
对外发布简明说明卡：这是保护意外，不是制造波动（附意图映射i1i2i3）
敌人最爱把“波动”说成不专业。
意外保护警报把波动变成制度：
适度波动不是坏事，是免疫在呼吸。
---
八、抽样投喂调查链：谁在把题目变简单
敌人可能通过三条路投喂形变抽样：
1）投喂形变库：让稀有形变看似存在但实际不可用（参数范围被压扁）；
2）投喂抽样权重：以性能优化为名把低成本形变权重抬高；
3）投喂时间窗：让抽样时刻可推断，从而预测序列。
抽样投喂调查链要追的是因果路径，不追人名：
校核码：surp-vest-01
g1：形变库快照对比（类型是否减少、参数范围是否收缩）
g2：权重变更追溯（是否有低风险补丁改变分布）
g3：时刻与序列周期检测（是否出现可推断周期）
g4：供应链关联（镜像站、构建链、规约补丁来源集中度）
输出：
若确认投喂：生成l2反例卡（不可做：形变权重不得以效率为名降低熵）
若是自然变化：调整熵预算并更新稀有形变权重策略
若是灰区：进入观察池并提高抽样审计频率
---
九、敌人的反击：他们说“不公开抽到什么就是黑箱”
题库署与涂墨团很快合流，抛出一个看似正义的质疑：
“你们说随机，但不公开抽到哪些形变，谁知道你们有没有避开困难题？”
“不公开抽样结果就是黑箱。”
这是典型的透明勒索：
逼你公开题目，逼你把答案表发给对手。
江砚的回应仍是“证明替代曝光”：
公开抽样证明卡与熵预算满足证明，公开库快照哈希，公开承诺-揭示匹配校验。
但不公开具体抽到什么。
同时引入“第三方密封抽检”：
随机见证抽签团在对内账可看到抽样结果，并签名证明“未避难题”，但对外只给签名摘要，不泄露题目。
校核码：surp-it-01
要点：
见证人只验证“抽样结果确实来自随机证明链”，不透露抽样内容
见证签名可外部校验
见证人护盾防靶子化
这样，公众能验证抽样不是自选题；本章未完，点击下一页继续阅读
(2/3)
当你每次都抽到同样题目，系统的“通过率”会非常漂亮。
漂亮到让人以为风险消失。
这就是仪式化的危险：
它把活的防御变成了静态合规。
江砚很清楚：
守望纪元最不能接受的不是失败，而是“看起来永远成功”。
永远成功只可能意味着：有人在决定题目。
---
五、江砚的判断：形变抽样必须像抽签一样抗投喂、可校验、且不可预测
他们曾经用抽签抗投喂协议守住见证随机性。
现在同样的逻辑必须扩展到形变抽样：
抽样的候选集合不能被悄悄缩小；
抽样权重不能被低风险补丁偷偷改；
抽样序列不能形成可推断周期；
抽样随机性必须可验证，但不能被预测；
且抽样的“题目多样性”本身必须纳入预算，像多样性预算那样被守望。
江砚提出一个新协议：形变随机性共识。
---
六、形变随机性共识：把“出题”也变成可验证的公共过程
校核码：surp-rand-01
名称：形变随机性共识协议
surp-rand-01a：多方承诺-揭示随机源（借鉴抽签）
由三方独立提交形变抽样的随机承诺（it）
在固定窗口揭示随机串（reveal）
抽样序列由三方随机串混合生成
任一方无法单独预测最终序列
surp-rand-01b：形变库快照哈希封存
每个批次形变库集合（形变类型、参数范围、形变类族）生成快照哈希
快照哈希对外可校验（不公开细节参数，避免给敌人地图），对内可审计
surp-rand-01c：形变熵预算
每批次必须达到最低多样性熵h
若熵不足，自动提升稀有形变权重，或扩大抽样范围
熵预算不足触发“意外保护”警报
surp-rand-01d：抽样序列反推断护栏
抽样时刻引入锁相抖动（不影响复现锚，但避免可推断时间窗）
序列周期性检测，检测到循环则强制重置随机串并触发审计
surp-rand-01e：对外只公开“形变随机性证明卡”
证明：本批次满足熵预算、承诺-揭示匹配、库快照哈希一致
不公开具体抽到哪些形变（否则等于发答案）
这套协议的关键点是：
让出题不可被操控，但也不可被提前知道。
你能验证它真随机，你却不能预测它会抽什么。
这就是守望纪元一贯的高难度平衡：
透明不等于曝光；
随机可校验，但不可预演。
---
七、意外保护警报：形变熵下降不是省资源，是风险信号
机要监之前的anl-surp-01就是预警雏形。
江砚把它制度化为“意外保护警报”：
校核码：surp-alrt-01
触发条件：
形变熵连续下降超过阈值且外压不降
抽样序列出现短周期重复
低成本形变占比异常上升
三实现一致通过率过于平滑（低波动异常）
触发动作：
强制提升稀有形变权重
冻结低风险抽样权重补丁，进入规约试验场
启动“抽样投喂调查链”
对外发布简明说明卡：这是保护意外，不是制造波动（附意图映射i1i2i3）
敌人最爱把“波动”说成不专业。
意外保护警报把波动变成制度：
适度波动不是坏事，是免疫在呼吸。
---
八、抽样投喂调查链：谁在把题目变简单
敌人可能通过三条路投喂形变抽样：
1）投喂形变库：让稀有形变看似存在但实际不可用（参数范围被压扁）；
2）投喂抽样权重：以性能优化为名把低成本形变权重抬高；
3）投喂时间窗：让抽样时刻可推断，从而预测序列。
抽样投喂调查链要追的是因果路径，不追人名：
校核码：surp-vest-01
g1：形变库快照对比（类型是否减少、参数范围是否收缩）
g2：权重变更追溯（是否有低风险补丁改变分布）
g3：时刻与序列周期检测（是否出现可推断周期）
g4：供应链关联（镜像站、构建链、规约补丁来源集中度）
输出：
若确认投喂：生成l2反例卡（不可做：形变权重不得以效率为名降低熵）
若是自然变化：调整熵预算并更新稀有形变权重策略
若是灰区：进入观察池并提高抽样审计频率
---
九、敌人的反击：他们说“不公开抽到什么就是黑箱”
题库署与涂墨团很快合流，抛出一个看似正义的质疑：
“你们说随机，但不公开抽到哪些形变，谁知道你们有没有避开困难题？”
“不公开抽样结果就是黑箱。”
这是典型的透明勒索：
逼你公开题目，逼你把答案表发给对手。
江砚的回应仍是“证明替代曝光”：
公开抽样证明卡与熵预算满足证明，公开库快照哈希，公开承诺-揭示匹配校验。
但不公开具体抽到什么。
同时引入“第三方密封抽检”：
随机见证抽签团在对内账可看到抽样结果，并签名证明“未避难题”，但对外只给签名摘要，不泄露题目。
校核码：surp-it-01
要点：
见证人只验证“抽样结果确实来自随机证明链”，不透露抽样内容
见证签名可外部校验
见证人护盾防靶子化
这样，公众能验证抽样不是自选题；