先封卷，后亮题：大模型评测里的“数字信封”
现在的大模型排行榜，有点像一场全世界围观的考试。
每家公司都把自己的模型送进考场，数学多少分，代码多少分，推理多少分，最后汇成一张榜。用户看榜选模型，投资人看榜判断技术实力，媒体看榜写标题。一个模型只要在某个重要benchmark上超过前一名，哪怕只高出一点点，也可能马上变成“新王登基”的故事。
可这场考试有一个麻烦：谁也不太确定，模型以前有没有见过题。
如果一个学生考试前刷到过原题，他考满分当然也可以很吓人，但这份成绩到底说明他会做题，还是说明他记性好，就没那么容易说清楚。大模型也是一样。很多公开测试集长期挂在互联网上，而现代大模型的训练语料又常常来自大规模网页、代码库和公开数据集。于是，一个尴尬的问题出现了：模型到底是在现场推理，还是早就在训练时把题目和答案见过一遍？
2024年，AI社区对这个问题的讨论明显变多。LiveBench推出时就强调，要使用持续更新、污染受限的测试题，尽量减少模型提前在训练语料里见过考题的可能[1]。CONDA 2024的相关报告也把这类问题称为数据污染：测试数据进入训练语料后，会让评测结果看起来更好，却不再真实反映模型能力[2]。代码生成任务里也有类似麻烦。有研究专门检查HumanEval等代码生成评测数据是否泄露到公开语料或模型训练环境中，说明“模型是不是见过题”并不是一个抽象担忧[3]。
这个问题和上一篇讲OPRF时的直觉有一点微妙的相似。
OPRF关心的是：服务器能不能帮你查密码有没有泄露，却不看见你的密码。这里的问题换了一种形状：评测方能不能证明题目早就固定好了，却不提前把题目公开给模型；模型方能不能证明自己提交的是某个固定版本，而不是看完题之后偷偷调过。也就是说，有些信息不是永远不能公开，而是不能太早公开；有些东西不是没人能知道，而是要等到正确的时间再打开。
承诺方案要解决的，就是这种“先固定，后公开”的信任问题。
图1 承诺方案的基本流程：先固定，后公开
可以把它想成一个数字世界里的密封信封。第一步，你先把某个答案、某个版本、某个随机数，装进信封里，封好，然后把信封交出去。别人能看到你确实交了一个信封，但看不到里面写了什么。第二步，等到规定时间到了，你再把信封打开，并把打开方式也交给大家检查。大家要确认两件事：这是不是当初那只信封，里面的内容是不是你现在声称的那个内容。
这听起来很简单，但它其实抓住了很多数字系统里的关键矛盾：提交时不能暴露，打开时不能抵赖。
一个合格的承诺方案至少要同时满足两件事。第一是隐藏性，也就是在打开之前，别人不能从承诺值里看出你到底承诺了什么。第二是绑定性，也就是你一旦提交了承诺，后面就不能随便把它解释成另一个答案[4]。
只有隐藏性、没有绑定性，就像你交了一只魔术盒，最后想打开成什么就打开成什么。别人虽然提前看不见，但你也没有被真正约束。只有绑定性、没有隐藏性，就像你把答案写在透明盒子里，确实改不了，但别人早就看光了。真正有用的承诺，是“现在看不见，以后改不了”。
很多人第一次听到这里，会觉得这不就是哈希吗？
比如评测方先把测试题文件做一次哈希，把哈希值公布出来。等评测结束后，再公开测试题文件。所有人重新算一遍哈希，如果和之前公布的一样，就说明题目没有被换过。这个思路确实很接近承诺方案，也经常出现在实际系统里。
但如果只哈希答案本身，问题很快就会出现。假设你承诺的不是一整套复杂文件，而是“是或否”“A或B”“1到1000之间的某个分数”。这些答案空间太小，别人完全可以把所有可能答案都哈希一遍，再拿结果去对照。你以为自己交出去的是一串看不懂的字符，对方可能已经把整本答案字典翻完了。
所以，更稳妥的做法通常是加入随机数。你不是只承诺“答案A”，而是承诺“答案A加上一串只有你知道的随机盐”。这样，同样是答案A，每次生成的承诺也不一样。别人不知道随机数，就很难提前反查；等你要打开时，再把答案和随机数一起公布，大家就能重新计算并验证你当初锁进去的到底是不是这个[5]。
回到大模型评测的故事里，承诺方案可以帮我们理解一种更克制的信任秩序。
图2 承诺机制在大模型评测中的应用
评测方不一定要在一开始就公开全部测试题。它可以先对题集做承诺，证明“这套题在某个时间点已经固定”。等模型提交完成、评测结束后，再公开题目或必要的验证材料，让外界检查：题集是不是后来换过，评测方有没有根据某个模型的表现临时调整问题。模型方也可以对自己提交的模型版本、参数摘要或输出结果做承诺，证明“我交上来的就是这一版”，而不是等看到别人的结果后再悄悄换一个更有利的版本。
这里真正重要的，不是把所有东西都藏起来。相反，承诺方案里的很多秘密最后就是要被打开的。它保护的是打开之前那段时间的公平性，也保护打开之后的可验证性。
这和前面几篇文章里的工具各有分工。盲签名关心的是：签名者能不能在看不见内容的情况下盖章。PSI关心的是：两份名单能不能只暴露交集。OPRF关心的是：服务器能不能在看不见输入的情况下帮你打标。承诺方案关心的则是时间顺序：我现在先把某个东西锁住，暂时不告诉你；等以后打开时，你还能确认我没有中途换牌。
当然，承诺方案不是万能的。它能证明某个值被固定过，但不能自动证明这个值本身是正确的。它能防止你事后改口，但不能强迫你一定按时打开。如果有人提交了承诺，后来发现结果对自己不利，干脆拒绝揭示，系统还需要押金、惩罚、超时处理或其他规则配合。它也不能消除所有外部泄露。谁在什么时候提交了承诺，提交频率如何，文件大小有没有异常，这些元数据仍然可能透露线索。
所以，承诺方案真正有意思的地方，不是它让秘密永远消失，而是它把“知道”的时间重新安排了一下。
在现实世界里，我们用密封档案、考试封卷、时间戳、公证处来维持类似秩序。数字世界的问题是，文件太容易复制，版本太容易替换，时间太容易被事后讲成另一个故事。承诺方案做的，就是给这个故事钉上一枚钉子：你可以晚点公开，但你不能假装自己当时承诺的是另一件事。
很多隐私技术追求的是“少知道一点”。承诺方案追求的则是“晚知道一点，但到时候必须说得清楚”。这份克制看起来很小，却很关键。因为在很多系统里，公平并不取决于秘密能不能永远藏住，而取决于它有没有在正确的时间之前被藏住，又能不能在正确的时间之后被验证。
参考文献：
[1]. White C, Dooley S, Roberts M, et al. LiveBench: A Challenging, Contamination-Limited LLM Benchmark[EB/OL]. arXiv:2406.19314, 2024.
[2]. Sainz O, García-Ferrero I, Jacovi A, et al. Data Contamination Report from the 2024 CONDA Shared Task[C]//Proceedings of the 1st Workshop on Data Contamination (CONDA). Bangkok, Thailand: Association for Computational Linguistics, 2024: 41-56.
[3]. Matton A, Sherborne T, Aumiller D, et al. On Leakage of Code Generation Evaluation Datasets[EB/OL]. arXiv:2407.07565, 2024.
[4]. Naor M. Bit Commitment Using Pseudorandomness[J]. Journal of Cryptology, 1991, 4: 151-158.
[5]. Halevi S, Micali S. Practical and Provably-Secure Commitment Schemes from Collision-Free Hashing[C]//Advances in Cryptology - CRYPTO ’96. Berlin, Heidelberg: Springer, 1996: 201-215.
//关于我们//
杭州量安科技有限公司是由浙江大学和之江实验室联合孵化，核心创始团队汇聚中国工程院院士、国家特聘专家、国家重点研发计划首席科学家等多位顶尖人才。公司专注于人工智能赋能量子安全的研发，聚焦抗量子密码、高性能国密改造及智能安全三大核心领域，为电力、能源、政务、金融、军工、医疗等关键行业，提供新一代密码及安全产品与服务。公司发展势头强劲，已完成 B 轮融资，2024年入选杭州市准独角兽企业，2025年跻身浙江省未来独角兽企业 TOP 100，2026年入选中国未来独角兽企业。技术研发成果显著，牵头主持国家重点研发计划1项，获批浙江省领军型创新创业团队，深度参与国家重点研发计划、国家自然科学基金重点项目、浙江省尖兵领雁研发攻关计划等项目6项；核心知识产权成果丰硕，授权发明专利17项，受理发明专利42项，登记软件著作权40项；资质认证完备，获批国家高新技术企业、浙江省企业研究院、浙江省专精特新中小企业、浙江省科技型中小企业，担任华东江苏大数据交易中心理事长单位。公司产品竞争力突出，斩获多项重要荣誉：2025 年日内瓦国际发明展金奖、2025 中国科技产业化促进会科技创新一等奖、2022 年首届全球数字贸易博览会先锋奖年度最高奖、第三届中国数字经济科技大会年度最具竞争力产品创新奖及数据安全金盾奖等。相关产品已通过国家密码管理局商用密码产品认证、工信部信通院专业评测，具备成熟的市场化应用基础。
