AI Agent · 单位 U21（审计与可观测：引用溯源与不可伪造）

本段主题：审计与可观测——引用溯源（citation provenance）与不可伪造（tamper-evidence）：出处映射、哈希链、数值复算校验、证据链、签名/水印权衡。 单位结构：3 笔试 + 4 面试 + 2 逻辑概率 + 1 扩展延伸 = 10 题。

题目编号：TRACK-03-U21-Q01

• 题型：笔试 ｜ 考点：审计与可观测 / 引用标注完整性（出处映射） / 覆盖率与准确率数值
• 题干：一个 RAG Agent 对某条查询生成回答，共 8 个断言句（claim）：6 句带引用、2 句无引用；带引用的 6 句中，有 1 句所引出处文本并不支持该断言（错误引用）。定义：引用覆盖率 = 带引用断言数 / 总断言数；引用准确率 = 引用正确数 / 带引用断言数；有效引用率 = 引用正确数 / 总断言数。(1) 求覆盖率、准确率、有效引用率；(2) 在总断言仍为 8 句、且新补引用均正确的前提下，要把有效引用率提到 ≥ 0.8，最少还需为多少句无引用句补上正确引用？(3) 给出可复算的自检算式。
• 假设与边界：断言数固定为 8；"引用正确"定义为所引出处文本确实支持该断言；补引用不改变总断言数；不讨论引用的粒度层级（句子级/段落级）。
• 解析：(1) 覆盖率 = 6/8 = 0.75；准确率 = 5/6 ≈ 0.8333；有效引用率 = 5/8 = 0.625。(2) 需正确引用数 ≥ 0.8 × 8 = 6.4，即 ≥ 7 句；当前 5 句正确，差 2 句；而恰好还剩 2 句无引用，补上即得 5 + 2 = 7，满足 7/8 = 0.875 ≥ 0.8。故最少补 2 句。
• 参考答案：覆盖率 0.75；准确率 ≈ 0.8333；有效引用率 0.625；最少补 2 句正确引用。
• 验算/自检：另一种解法（逐次枚举）——补 1 句：6/8 = 0.75 < 0.8 ✗；补 2 句：7/8 = 0.875 ≥ 0.8 ✓。边界值复算：若同时把原有 1 句错误引用修正为正确、再补 1 句，则正确数 = 5 + 1 + 1 = 7 ⇒ 7/8 = 0.875（同样达到目标，但并非"最少补引用"的必要路径，因修正错误不增加"无引用句"的补全数）；若总断言改为 10 句，则 0.8 × 10 = 8，需 ≥ 8 句正确，约束随之变化。
• 常见错误：把"引用准确率"分母误写成总断言数（应为带引用断言数）；把"有效引用率"与"覆盖率"混为一谈；忽略"补引用不改变总断言数"这一约束而把分母写错。
• 评分要点：三个指标公式与数值正确；指出阈值 6.4 需向上取整到 7；给出"补 2 句"的最小性论证。
• 追问/变形/还能这样考：引入"引用粒度"（句子级 vs 段落级）后如何定义覆盖率；把"错误引用"细分为"过时引用/张冠李戴/夸大"三类分别计权；当无法判定某引用是否正确（需人工复核）时如何给出置信区间。

题目编号：TRACK-03-U21-Q02

• 题型：笔试 ｜ 考点：审计与可观测 / 哈希链篡改定位 / 首个失配锚点区间与重算成本
• 题干：审计日志用哈希链 r_i：h_i = H(h_{i−1} ‖ r_i)，h_0 为固定初始值，链长 N = 10^6。外部锚点每 m = 1000 条记录存一次（共 1000 个锚点，独立于日志存储）。现核验发现第 500 个锚点不匹配、第 499 个锚点匹配。(1) 篡改发生的记录下标区间；(2) 仅重算该区间以确认篡改，最多需多少次哈希运算？相比全链重算节省多少倍？(3) 若日志尾部（最后一个锚点之后的记录）被篡改，该方案能否检出？为什么？
• 假设与边界：哈希函数抗碰撞（不讨论碰撞）；锚点存储不可被攻击者篡改（在受信介质中）；记录按时间顺序追加，无删除/重排；"第 k 个锚点"覆盖第 k×1000 条记录。
• 解析：(1) 锚点 499 匹配说明前 499000 条未变，锚点 500 失配说明前 500000 条整体哈希已变，故篡改落在第 499001–500000 条，即区间 (499000, 500000]。(2) 重算该窗口最多 1000 次哈希；全链重算 10^6 次，节省 10^6 / 10^3 = 1000 倍。(3) 不能——尾部记录之后没有锚点覆盖，其哈希变化不影响任何已存锚点；需"定期对链尾做外部锚定"或强制"最后一个锚点 = 链尾哈希"。
• 参考答案：(1) (499000, 500000]，即第 499001–500000 条；(2) 最多 1000 次哈希，节省 1000 倍；(3) 不能检出，因尾部无后续锚点覆盖，需对链尾单独锚定。
• 验算/自检：边界复算——若 m = 1（每条锚定），可直接定位到单条，成本 1 次哈希；若 m = N（仅首尾锚点），只能判定"整条链被改过"，区间退化为 [1, N]；本题 m = 1000 给出 1000 的定位分辨率。另一解法（二分定位）——先在 1000 个锚点上二分，⌈log2 1000⌉ = 10 次锚点哈希比较定位到 1000 条窗口，再线性扫 1000 条，共约 1010 次哈希，与"直接重算该窗口"同阶；节省倍数核算：10^6 / 1000 = 1000 ✔。
• 常见错误：把区间写成 [499000, 500000)（漏掉端点，方向错）；声称尾部篡改也能被检出（忽略覆盖盲区）；把"锚点数"与"锚点间隔"混淆导致分辨率算成 500000。
• 评分要点：正确给出 (499000, 500000]；给出"最多 1000 次哈希 / 节省 1000 倍"的量级；指出尾部盲区及补救（链尾锚定）。
• 追问/变形/还能这样考：改用 Merkle 树（叶哈希 + 路径）把定位成本降到 O(log N)；锚点间隔 m 与存储/定位成本的权衡（m 小则精度高、锚点存储大）；如何防"整链替换"（用外部时间戳/公证锚定）。

题目编号：TRACK-03-U21-Q03

• 题型：笔试 ｜ 考点：审计与可观测 / 数值溯源复算校验 / 口径不一致定位
• 题干：一个 Agent 从三份文本抽取"净利润同比增长率"并合成结论：文本 A 给出净利润 12.0 亿、上年 10.0 亿；文本 B（标注口径为"归母"）给出 11.4 亿、上年 10.0 亿；文本 C 是一份研究摘要，直接写"同比增长约 15%"。Agent 输出的结论写"同比增长约 20%"。(1) 分别按 A、B 口径复算同比增长率；(2) 判断 Agent 的 20% 与哪个出处一致、与哪个不一致，并给出相对偏差；(3) 若要让结论最大程度可复现，应把哪一项作为"引用锚"，为什么。
• 假设与边界：增长率 = (本期 − 上年) / 上年；B 的口径（归母）与 A 不同，二者不可直接互换；C 为二手结论性数字（可能是四舍五入）；不判断哪个口径"更正确"，只做溯源一致性校验。
• 解析：(1) A 口径：(12.0 − 10.0)/10.0 = 20.0%；B 口径：(11.4 − 10.0)/10.0 = 14.0%。(2) Agent 的 20% 与 A 完全一致，与 B（14%）不一致，与 C（15%）也不一致；对 B 的相对偏差 = (20 − 14)/14 ≈ 42.9%，说明若业务口径应为"归母"，则 Agent 结论错误。(3) 引用锚应选 B 的原始两期数字（更细口径、可复算、可追溯到原文），并显式标注口径标签；不应直接引用 C 的结论性数字（二手、不可复算、无口径）。
• 参考答案：(1) A = 20.0%，B = 14.0%；(2) 20% 与 A 一致、与 B 不一致（相对偏差 ≈ 42.9%）、与 C 也不一致；(3) 以 B 的原始数字（含口径标签）为锚，因可复算且可追溯，避免引用二手结论数字。
• 验算/自检：另一种解法（反推）——若真值应取 B 口径 14%，则 Agent 绝对值误差 20 − 14 = 6 个百分点，相对误差 6/14 ≈ 0.4286 ✔。边界复算：若 A、B 上年数字都取 10.0，则两口径差异全部来自本期增量（A 增 12.0−10.0=2.0、B 增 11.4−10.0=1.4），故增长率之比 = 2.0/1.4 = 20/14 ≈ 1.4286；若上年不同（如 B 上年 10.5），B = (11.4 − 10.5)/10.5 ≈ 8.57%，说明"上年口径"同样影响结果，进一步支持"必须锚定两期原始数字"。
• 常见错误：把 A 与 B 的数字直接混用（口径串台）；用 C 的 15% 当"真值"去判定（C 本身不可复算）；只记结论不记数值与口径，导致无法复现。
• 评分要点：两个口径的百分数正确；指出 20% 与 A 一致、与 B 偏差约 42.9%；说明"锚定原始数字 + 口径标签"的可复现理由。
• 追问/变形/还能这样考：设计一个"数值溯源自动校验器"（从引用原文抽数复算并比对）；当原文只给结论不给明细时如何标注"不可复算出处"；多期间（同比 + 环比）同时校验的冲突处理。

题目编号：TRACK-03-U21-Q04

• 题型：面试 ｜ 考点：审计与可观测 / RAG 引用溯源设计 / 引用粒度与策略
• 题干：请为一个"用研报知识库回答投研问题"的 RAG Agent 设计引用溯源机制：说明引用应到多细的粒度、答案与出处如何绑定、以及当多个出处冲突时如何呈现。（本类为思路题，无唯一答案，考察思路。）
• 假设与边界：面向研究辅助，不涉具体交易信号；知识库可能包含互相冲突或过时的文档；不讨论具体向量库选型。
• 解析：粒度选择——句子级引用（每句标注出处 chunk + 字符/段落 offset）比文档级更可审计，但成本高；折中：'结论句必须句子级引用，背景句可段落级'。绑定方式——生成时携带出处 id 列表，回答文本插入引用标记 [n]，并把 [n] → (doc_id, chunk_id, offset, 版本时间) 存进结构化 trace；引用不得由模型自由编造，必须从"本轮检索命中的候选池"中选取（受限生成）。冲突处理——并列呈现并标注时间/出处可信度，而非强行合并；给出"出处分歧"提示。
• 参考答案：核心设计：① 引用出处受限于检索候选池（不允许凭空造引用）；② 引用粒度按断言重要性分层（关键结论句 = 句子级 + offset，其余可粗）；③ 答案与出处通过稳定 id 绑定并写入不可随意修改的 trace；④ 冲突出处并列呈现 + 时间/可信度标注；⑤ 引用正确性纳入自动化校验（见 Q01 的覆盖率/准确率指标）。
• 验算/自检：自检清单——随机抽 50 条输出，检查每句引用能否在原文按 offset 定位（可定位率应 ≈ 100%）；检查引用是否都在候选池内（越界率应为 0）；对"多出处冲突"样例检查是否并列而非合并。边界：出处极短（一两句）时句子级引用退化为整段引用；跨语言出处时 offset 对齐需额外处理。
• 常见错误：让模型生成引用编号而不校验其存在性；只做文档级引用（无法定位到句，审计价值低）；冲突出处强行取并集/均值，掩盖分歧。
• 评分要点：给出引用粒度权衡；强调"引用受限于候选池"这一防伪造要点；给出冲突呈现与可自动校验的设计。
• 追问/变形/还能这样考：引用与被引文本"语义支持度"如何自动打分；如何处理检索召回不足时的"应拒答"（与拒答机制联动）；引用版本随时间更新后如何标记"已过期引用"。

题目编号：TRACK-03-U21-Q05

• 题型：面试 ｜ 考点：审计与可观测 / 出处可信度分级与加权 / 出处分级方案
• 题干：投研 Agent 的检索出处既有官方公告、券商研报、新闻媒体，也有论坛帖。请设计一套出处可信度分级与加权方案，说明分级维度、权重如何生效（影响检索排序还是影响答案措辞），以及如何避免"高等级出处盲信"。（本类为思路题，无唯一答案，考察思路。）
• 假设与边界：面向研究辅助；不评价任何具体机构；等级仅用于排序/提示，不用于自动生成交易决策。
• 解析：分级维度——① 权威性（原始披露 > 二手摘要）；② 可复算性（有明细数字 > 只有结论）；③ 时效性（发布时间近 > 远）；④ 可核验性（有出处链接/编号 > 无）。加权生效点有两种选择：影响检索排序（通过 rerank 分数）或影响呈现（答案标注"出处等级"）。合规上通常两者都做但"呈现"更透明。
• 参考答案：建议分级（示例）：L1 原始披露/官方文件；L2 专业机构研究；L3 一般媒体；L4 用户生成内容。加权：检索 rerank 分数 × 等级系数（如 1.0/0.8/0.6/0.4），但"等级"只调排序、不删出处，保证可审计；答案层显式标注出处等级与时间，冲突时按"高等级 + 新时间"优先但并列展示低等级出处。避免盲信：高等级出处若与低等级出处冲突，仍要标记分歧；对高等级出处也做可复算校验（见 Q03）。
• 验算/自检：自检——构造"高等级但过时" vs "低等级但最新"的冲突样例，检查系统是否并列呈现而非静默取高等级；用 A/B 对比"仅排序加权" vs "排序 + 呈现标注"对用户判断的影响（离线评测）。边界：等级系数过大会压掉少数但正确的新出处；过小则退化为不排序。
• 常见错误：把可信度当"真值标签"直接采信；加权时直接过滤掉低等级出处（破坏可审计与可回溯）；忽略时效性维度。
• 评分要点：至少给出 3 个分级维度；说明权重生效点（排序 vs 呈现）并给出可审计取向；提出"防高等级盲信"的具体机制。
• 追问/变形/还能这样考：如何自动估计维度权重（离线标注 + 回归）；出处等级本身被质疑时如何审计其定级依据；把"出处等级"用于答案置信度区间而非单一数字。

题目编号：TRACK-03-U21-Q06

• 题型：面试 ｜ 考点：审计与可观测 / 多跳证据链与责任归属 / 证据链图谱
• 题干：Agent 通过多跳检索（先查 A，再据 A 引出 B，再据 B 得出结论 C）回答了一个投研问题，但结论 C 是错的。请说明如何构建"证据链"以定位错误发生在哪一跳，并讨论当多个 Agent/工具协作时如何做责任归属。（本类为思路题，无唯一答案，考察思路。）
• 假设与边界：多跳链路可能含检索、抽取、计算、LLM 推理多种节点；不假设有 ground truth，只用内部一致性 + 局部可复算定位。
• 解析：证据链构建——把每一步记录为节点（输入、工具、输出、出处 id、时间、置信度），边表示"这一步的输入来自哪些上游输出"，形成 DAG；节点保留原始产物与哈希，支持重放。定位错误——从结论 C 反查：若 C 的输入 B 复算正确且 B→C 的推理步骤可复现，则错误在该步推理；若 B 本身错误，继续回溯到 A→B。归因——当多个 Agent 协作，责任 = 沿 DAG 找"首个引入错误且其下游无法自愈"的节点（first divergence）；若下游有不同的正确出处可纠正却未纠正，则下游也有责任（未做冲突检测）。
• 参考答案：要点：① 每跳留可重放的输入/输出/出处 id（支撑"复现"而非"回忆"）；② 用 DAG 表示依赖，支持反向溯源；③ 定义"首个分歧节点"为责任点；④ 多 Agent 协作时，若下游未触发冲突检测而放行错误，属"未尽责"，需一并记录；⑤ 关键结论要求"链上每一跳都可复算"。
• 验算/自检：自检——对已定位的历史错误做"回放"实验：篡改某一跳输入，检查系统是否能自动定位到该跳（定位准确率）；检查 DAG 是否存在环（不应有）。边界：某跳为不可复算的 LLM 自由推理时，只能标注"高风险不可复算节点"并给置信度。
• 常见错误：只记录最终答案不记录中间产物（无法定位）；把"最后一个 Agent"当唯一责任点；忽略下游冲突检测缺失的连带责任。
• 评分要点：提出 DAG/证据链记录方式；给出"反向溯源 + 首个分歧节点"的定位方法；讨论多 Agent 责任归属（含下游未尽责）。
• 追问/变形/还能这样考：证据链的存储成本与压缩（只存关键节点）；如何对"不可复算节点"做风险加权；把证据链用于自动生成"审计报告"。

题目编号：TRACK-03-U21-Q07

• 题型：面试 ｜ 考点：审计与可观测 / 不可伪造签名与水印工程权衡 / 签名方案与开销
• 题干：为了让 Agent 的输出具备"不可伪造、可追责"性质，团队提出三种方案：(a) 服务端对输出做数字签名；(b) 在文本中嵌入不可见水印；(c) 只记录哈希链日志。请比较三者的抗篡改能力、开销、以及对下游使用的侵入性，并给出组合建议。（本类为思路题，无唯一答案，考察思路。）
• 假设与边界：讨论密码学与工程层面，不含具体密钥管理合规细节；不假设攻击者能攻破哈希/签名算法本身。
• 解析：(a) 签名：对输出摘要用私钥签名，任何改动都会被验签发现；强抗篡改，开销小（一次摘要 + 一次签名，与输出长度线性）；但需要密钥管理与分发，且"删掉签名直接转发"仍会丢失可追溯性（需下游强制验签）。(b) 水印：把可检测信号嵌入文本，用于"判断是否本系统生成"，但通常只能用于被动检测、抗篡改弱（可被改写洗掉），且可能影响质量。(c) 哈希链日志：保证"日志历史不可悄然修改"，但只对"持有日志的审计方"生效，无法直接保护对外输出。
• 参考答案：组合建议——对外输出用"签名 + 可验签元数据"（抗伪造）；日志用哈希链 + 外部锚点（防历史篡改，见 Q02）；水印作为"出处识别"的辅助（非抗篡改主力）。关键：任何方案都必须配套"下游验签/验水印"的强制流程，否则形同虚设。开销上签名是 O(输出长度) 的哈希 + 一次非对称运算，相对 LLM 推理成本可忽略。
• 验算/自检：自检——构造"篡改输出后验签"用例，验证必失败；构造"删除签名"用例，验证下游是否拒绝（若接受则方案失效）；对水印做"改写/翻译/摘要"攻击，评估存活率（通常很低）。边界：输出很长时签名仅作用于摘要，摘要碰撞概率可忽略（256 bit）；水印在极短文本上容量不足。
• 常见错误：把水印当抗篡改手段；只做签名不做下游强制验签；只做哈希链日志却用于对外输出防伪。
• 评分要点：三者能力/开销/侵入性对比清晰；指出"必须下游验签"这一关键前提；给出"签名 + 哈希链 + 水印辅助"的组合。
• 追问/变形/还能这样考：如何把"模型版本 + 输入哈希 + 输出签名"打包成一条可验证凭证；签名与隐私的冲突（输出含敏感数据时能否签名）；多方协作链上的联合签名。

题目编号：TRACK-03-U21-Q08

• 题型：逻辑概率 ｜ 考点：审计与可观测 / 抽样审计检出概率 / 至少检出 1 条的概率
• 题干：一批 1000 条 Agent 输出中有 20 条存在"未标注引用"（违规）。审计员随机抽 50 条逐条检查。(1) 求至少检出 1 条违规的概率。(2) 若把抽样量提到 100 条，概率变为多少？(3) 若要 ≥ 0.95，需要抽多少条（只需定性说明量级）。
• 假设与边界：声明——违规条数固定为 20（不是随机）；抽样为"无放回简单随机抽样"，每条被抽中概率相等且相互不独立；抽查中的违规条数 X 服从超几何分布 Hypergeom(N=1000, K=20, n)。审计判定无误差。
• 解析：P(至少 1) = 1 − C(980, 50)/C(1000, 50)。计算 C(980,50)/C(1000,50) = ∏_{i=0}^{49} (980−i)/(1000−i) ≈ 0.3549，故 P(至少 1) ≈ 1 − 0.3549 = 0.6451。(2) n = 100：P(至少 1) = 1 − C(980,100)/C(1000,100) ≈ 1 − 0.1190 = 0.8810。(3) 定性：随 n 增大，P(至少 1) 单调升；n = 50 → 0.645，n = 100 → 0.881，到 0.95 需 n 百余条量级（精确值见 Q09）。
• 参考答案：(1) ≈ 0.6451；(2) ≈ 0.881；(3) 需百余条量级（精确最小 n 由 Q09 给出 138 条）。
• 验算/自检：另一种解法（互补事件近似）——违规比例 p = 20/1000 = 0.02，把无放回近似为有放回二项：P(至少 1) ≈ 1 − (1 − 0.02)^50 = 1 − 0.98^50 = 1 − 0.3642 = 0.6358，与超几何精确值 0.6451 接近（无放回使"抽不到"概率略低，因为每抽走一条后就少一条，稀释效应减弱，故精确值略高）✔。边界复算：n = 1 时 P = 20/1000 = 0.02；n = 1000 时 P = 1（全查必检出）✔，单调性成立。
• 常见错误：用 (20/1000)×50 = 1 当作"期望检出数"去回答"至少 1 条的概率"（期望≠概率）；把无放回当有放回而忽略稀释效应；把违规条数当成随机变量。
• 评分要点：正确写出互补事件与超几何表达；给出 ≈ 0.645 与 ≈ 0.881；说明 n 增大的单调性与量级。
• 追问/变形/还能这样考：给出"至少检出 k 条"的概率；把违规条数改为服从二项分布的随机变量；在成本约束下求最优 n（检出概率 vs 审计成本）。

题目编号：TRACK-03-U21-Q09

• 题型：逻辑概率 ｜ 考点：审计与可观测 / 超几何抽样所需样本量 / 最小样本量 n
• 题干：同上一批数据：1000 条中 20 条违规，无放回抽样 n 条。(1) 求使"至少检出 1 条"的概率 ≥ 0.95 的最小样本量 n。(2) 若违规数增到 40 条，最小 n 变为多少？(3) 说明为什么用无放回（超几何）比用有放回（二项）算出的 n 更小。
• 假设与边界：声明——违规数固定；无放回简单随机抽样；X ~ Hypergeom(1000, K, n)；判定无误差；允许对小数使用近似公式，但要给精确核算。
• 解析：需 1 − C(1000−K, n)/C(1000, n) ≥ 0.95，即 C(980, n)/C(1000, n) ≤ 0.05。精确枚举得：n = 137 时 ≈ 0.0509 > 0.05（不足），n = 138 时 ≈ 0.0497 ≤ 0.05，故最小 n = 138。(2) K = 40：需 C(960,n)/C(1000,n) ≤ 0.05，精确枚举得 n = 70 时 ≈ 0.0516 > 0.05（不足）、n = 71 时 ≈ 0.0494 ≤ 0.05，故最小 n = 71。
• 参考答案：(1) n = 138；(2) n = 71；(3) 无放回时抽样会逐渐"稀释"违规占比，使"全部抽到合规"的概率比有放回更低，故达到同一检出概率所需 n 更小。
• 验算/自检：另一种解法（近似）——p_no ≈ e^{−K(H_N − H_{N−n})}，N = 1000、K = 20：n = 138 时 H_1000 − H_862 ≈ ln(1000/862) ≈ 0.14842，指数 ≈ −20×0.14842 = −2.9685，加二阶 −0.5·Σ(20/j)² ≈ −0.032，合计 ≈ −3.0005 ⇒ p_no ≈ 0.0498 ≤ 0.05 ✔；n = 137 时指数 ≈ −0.0324−2.9446 = −2.9770 ⇒ p_no ≈ 0.0509 > 0.05 ✔（与精确枚举一致，最小 n = 138）。K = 40 复核：n = 71 时指数 ≈ −40×ln(1000/929) − 0.061 ≈ −2.946 − 0.061 = −3.007 ⇒ p_no ≈ 0.0494 ≤ 0.05 ✔；n = 70 ⇒ ≈ 0.0516 > 0.05 ✔（最小 n = 71）。注意"一阶近似 e^{−K·n/N}"会高估所需 n（K=40 时给 ~75，精确 71），须用调和差或枚举校正。边界复算：n = N = 1000 时 p_no = 0（必检出）；n = 0 时 p_no = 1 ✔。
• 常见错误：把"期望检出数 nK/N ≥ 1"当作充分条件（应求概率）；直接用一阶近似 e^{−Kn/N} 而未做二阶/枚举校正（会把 71 高估成 75）；把有放回公式误用于无放回场景，得出偏大的 n（有放回检出概率更低，需更多样本才能达到同一阈值）。
• 评分要点：正确写出超几何阈值不等式；给出最小 n = 138（K=20）与 n = 71（K=40），并指出 137/70 不足；说明无放回 vs 有放回的方向。
• 追问/变形/还能这样考：要求"检出至少 k 条"的最小 n；给审计成本与漏检代价做期望最优 n；分层抽样下各层 n 的分配（见 TRACK-03-U24）。

题目编号：TRACK-03-U21-Q10

• 题型：扩展延伸 ｜ 考点：审计与可观测 / 溯源审计平台设计 / 容量估算与失败模式
• 题干：设计一个支撑"引用溯源 + 不可伪造"的 Agent 审计平台，要求给出：(1) 数据模型（记录哪些字段、如何绑定出处与输出）；(2) 一个可复算的容量估算（每日写量、保留期、副本与索引开销）；(3) 两类失败模式及其权衡。
• 假设与边界：不涉真实策略/参数；平台服务投研辅助场景；规模假设为"日 200 万次请求、平均每次 8 KB 留痕"；面向工程讨论。
• 解析：(1) 数据模型：每次请求一条 trace，含 request_id、model_version、prompt_hash、输入数据快照 id、检索候选池 id 列表、输出文本引用标记 [n]、映射 [n]→(doc_id, chunk_id, offset, 版本时间)、工具调用序列、token 用量；trace 与输出各自哈希，二者用哈希链串联并周期外部锚定（见 Q02）。(2) 容量：2×10^6 × 8 KB = 1.6×10^7 KB = 16 GB/日；保留 180 天 ⇒ 2.88 TB；3 副本 × 1.3 索引开销 = ×3.9 ⇒ ≈ 11.2 TB。(3) 失败模式：① 写入放大/延迟——同步写全量留痕拖慢在线路径，权衡"异步写 + 短时缓冲"（有丢日志风险）；② 锚点/密钥管理故障——锚点或签名密钥不可用会导致"无法验真"，权衡"降级为只写日志（牺牲抗篡改）仍可服务"。
• 参考答案：(1) 字段与绑定方式如上，核心是"引用受限于候选池 + 输出与出处稳定 id 绑定 + 哈希链留痕"；(2) 16 GB/日、180 天 2.88 TB、含副本与索引 ≈ 11.2 TB；(3) 失败模式：在写入延迟与抗篡改之间权衡、在可用性与可验证性之间权衡（降级策略须显式记录"本条未签名/未锚定"）。
• 验算/自检：容量复算——2×10^6 × 8 KB = 1.6×10^10 B = 16 GB ✔；×180 = 2.88×10^3 GB = 2.88 TB ✔；×3.9 = 11.232 TB ≈ 11.2 TB ✔。若只对 10% 请求留全量、其余留 1 KB 摘要：均值 = 0.1×8 + 0.9×1 = 1.7 KB ⇒ 3.4 GB/日、180 天 612 GB、×3.9 ≈ 2.39 TB，代价是 90% 请求无法完整重放（可复现性下降）✔。边界：若日均请求翻倍到 400 万，容量翻倍至 ≈ 22.5 TB，需评估热/冷分层与压缩。
• 常见错误：只记答案不记中间产物（无法溯源）；忽略副本与索引开销导致低估 4 倍；未给出"降级路径"和"降级时的显式标记"。
• 评分要点：数据模型覆盖"出处绑定 + 引用校验 + 留痕"；容量估算给中间步骤且量级正确；两类失败模式各含权衡与缓解。
• 追问/变形/还能这样考：冷热分层与压缩对成本的影响；跨区域/合规要求对存储位置的影响（与 TRACK-03-U24 联动）；用 Merkle 树把"单条校验"成本降到 O(log N)。