《Electronics》：VCT: A Verifiable Transcript System for Large Language Model Conversations
编辑推荐：
大语言模型（Large Language Model，LLM）交互记录正日益被用作数字取证与合规审查的证据。然而，传统的线性防篡改日志无法捕捉复杂的非线性对话演化过程，例如提示词编辑、响应重新生成、会话删除、多设备并发以及选择性共享等操作。本研究提出可验证对话
大语言模型（Large Language Model，LLM）交互记录正日益被用作数字取证与合规审查的证据。然而，传统的线性防篡改日志无法捕捉复杂的非线性对话演化过程，例如提示词编辑、响应重新生成、会话删除、多设备并发以及选择性共享等操作。本研究提出可验证对话记录（Verifiable Conversation Transcript，VCT）系统，将上述操作建模为经过认证的账户级状态转换，并构建于三层密码学结构之上：问答对构成分支哈希链，分支尾部哈希聚合为会话级Merkle根，会话级根进一步聚合为账户级Merkle根，该根由用户与服务器双方联合签名认证。VCT还引入了序列化删除协议、保留并发非删除更新的确定性合并协议、基于gossip的分叉检测机制（可产生不可否认的法证证据），以及可验证共享协议（在被披露节点之上构建独立的双重签名共享哈希链）。基于标准密码学假设，VCT保证了账户级对话记录的完整性、一致性、共享可验证性及不可否认性。一个Python原型在最小状态与短合成载荷条件下实现了亚毫秒级平均延迟。在每节点21 KB载荷条件下，所测账户规模上的元数据与内容之比约为0.9%。这些结果支持了该原型在所测条件下的计算可行性，并为可验证LLM对话系统的工程设计及优化提供了实践指导。
论文解读文章
一、研究背景与问题
大语言模型（Large Language Model，LLM）正日益融入高专业性工作流程，其交互记录作为评估意图与责任的重要记录和法律证据，其重要性日益凸显。近年来多个司法案件（如United States v. Rinderknecht、Garcia v. Character Technologies、Raine v. OpenAI）均体现了这一趋势。然而，当前对这些记录的可接受性依赖于脆弱的、非密码学的假设，如设备扣押、未经验证的服务器日志或事后承认。
这种脆弱性源于缺乏可靠的机制来验证生成内容、上下文和时间戳。与传统数字证据不同，LLM记录因截图易于伪造、链接可变、文本可静默编辑而缺乏基础真实性。此外，提示词编辑、响应重新生成、会话删除等动态功能为交互历史引入了根本性的歧义。集中式基础设施赋予服务提供商排他性控制权，导致严重的证据不对称——对立各方无法独立验证记录是否真实、完整或存在选择性构造。
现有验证研究未能完全解决这些挑战：防篡改安全日志局限于线性追加序列，无法处理对话分支或会话删除；Merkle树和认证数据结构（Authenticated Data Structures，ADSs）提供集合承诺但不包含LLM特定的状态转换语义；透明日志要求公开审计，与隐私边界冲突；安全消息协议保证会话机密性而非不可否认的第三方证明；可验证推理系统依赖记录完整性但本身不提供记录认证。因此，在动态演化的对话状态上建立可验证且隐私受限的密码学断言这一问题仍悬而未决。
二、研究内容与结论
针对上述挑战，研究人员提出了可验证对话记录（Verifiable Conversation Transcript，VCT）系统，为LLM交互记录提供完整性、一致性、可验证共享和不可否认性保障。VCT通过新颖的三层认证数据结构精确捕捉LLM独特的交互语义，包括问答原子性、提示词编辑与响应重新生成产生的分支、多会话聚合、多设备并发、会话删除和部分共享。在此架构基础上，研究人员开发了专门的安全协议以管理复杂现实场景：提供无冲突的安全多设备并发机制，并支持可验证的选择性共享，使用户能够向第三方审计者部分披露对话分支。
该研究的贡献包括三个方面：第一，提出了用于分支LLM对话的三层认证数据结构，确保密码学认证的账户级对话状态；第二，创建了可问责的同步协议，允许确定性的多设备状态合并、序列化删除、延迟更新拒绝以及基于gossip的分叉检测，即使服务器不可信也能工作；第三，设计了可验证共享协议，为选择性记录披露实现独立可验证的对话快照。
实验结果表明，VCT正确实现了三层状态断言、多设备合并、gossip分叉检测和可验证共享等预期机制，所有与完整性、一致性、不可否认性和共享可验证性相关的测试用例均成功通过。性能分析显示系统开销主要由账户规模增长和合并路径复杂度驱动，而非底层密码学原语。在最小状态下，所有隔离协议原语均在亚毫秒范围内运行；当会话数达到100时，基本更新的端到端延迟增至12.09–12.13 ms；在21 KB每节点载荷下，元数据与内容之比约为0.9%。队列模拟进一步为容量规划提供了指导。
三、关键技术方法
研究人员采用了以下核心关键技术方法：其一，三层认证数据结构，将问答对组织为分支哈希链，分支尾部聚合为会话级Merkle树，会话根进一步聚合为账户级Merkle树，账户根由用户与服务器双重签名；其二，确定性密钥派生机制，通过根密钥和口令经密钥派生函数（Key Derivation Function，KDF）派生用户签名密钥对，实现多设备一致性；其三，统一的状态更新协议，涵盖新会话创建、消息追加、分支创建和会话删除四种操作，采用服务器生成证明、用户验证后双重签名的流程；其四，多设备并发合并与可问责同步协议，包括删除序列化屏障、确定性合并函数、延迟更新拒绝机制和基于gossip的分叉检测；其五，可验证共享协议，将被披露节点重组为独立共享哈希链并双重签名，使接收方无需信任服务器即可独立验证。实验平台为Intel Core i5-1240P处理器，采用SHA-256哈希、Ed25519签名和PBKDF2-HMAC-SHA256密钥派生。
四、研究结果
最小状态开销。 在最小状态下，所有隔离协议原语均在亚毫秒范围内运行。NewSession、AppendMessage、BranchMessage、DeleteSession、Merge和Gossip的平均延迟保持在0.29–0.41 ms之间，ShareGenerate和ShareVerify分别需要0.07 ms和0.18 ms。组件分解显示Ed25519操作主导密码学成本，而Merkle证明生成和验证相对廉价。
跨规模评估。 当会话数达到100时，基本更新的端到端延迟增至12.09–12.13 ms。Merge过程增长最为显著，在Medium规模达到4.60 ms，在Large规模达到19.63 ms，原因是需要处理多个会话、生成多个证明路径并完成双重签名确认。Gossip保持稳定在0.33–0.37 ms，共享操作延迟曲线近乎平坦，因为独立共享链将验证与主账户树解耦。
实际规模载荷性能。 使用约21 KB每节点（4 KB提示词、16 KB响应、512 B元数据）的合成内容评估时，在Medium和Large规模下安全元数据分别为20,896 B和94,080 B，元数据与载荷之比从299%和313%降至约0.89%和0.93%。Merge延迟在5、20和100会话下分别达到19.9、63.5和276.4 ms。
网络与并发敏感性。 通过泊松到达的排队模拟，在四个理想工作线程下70%利用率时，5、20和100会话规模的估计p95延迟分别为147、230和634 ms，对应到达率分别为112.62、40.88和9.95次Merge请求/秒。在100会话下将利用率提升至95%会使p95延迟升至2.31 s，表明保持容量余量的重要性。
五、讨论与结论
讨论部分指出，VCT提供可验证的真实性、完整性和问责性，但不评估事实正确性、推理有效性或语义质量，应被理解为对话记录验证框架而非可验证推理框架。在多设备设置中，VCT遵循最终一致性语义。局限性包括：安全元数据随会话数和提交频率增长，长寿命账户可能需要检查点或剪枝；当前原型省略了分支尾部缓存、增量合并索引和服务器端增量Merkle维护；安全分析不涵盖恶意合谋、侧信道攻击或可用性威胁。设计权衡方面，VCT优先考虑可审计性而非并发性和吞吐量，体现在序列化会话删除、双重签名确认和分层Merkle结构三个选择上。未来方向包括可验证历史压缩、增量状态维护、与可验证推理框架集成以及生产规模评估。
研究结论指出，与常规日志系统、透明日志或安全消息协议不同，VCT在动态演化的对话历史上建立了独立可验证的账户级认证状态。设计明确支持LLM特定的交互语义，包括对话分支、响应重新生成、提示词编辑、会话删除、多设备并发和选择性共享。在标准密码学假设下，VCT实现了节点完整性、对话完整性、账户一致性、共享可验证性和操作不可否认性。原型评估展示了低最小状态计算成本和适度的元数据开销。总体而言，VCT为可审计和可问责的LLM交互记录提供了密码学基础，使对话真实性和完整性的独立验证无需完全信任平台服务器即可实现。
