加载失败
论文断言在数值层面（某些隐层激活或下一个 token 的概率分布）上，transformer 型语言模型对于不同提示几乎是单射的，并提出了一个算法声称可以从中间隐层重构输入提示。评论主要围绕三个背景假设争论：一是实验方法能否代表高维连续空间（如 GPT‑2 的 768 维空间和所用的 l2<10^-6 碰撞阈值）；二是要区分“分布/隐层可逆”与用户端看到的离散抽样输出，后者通常受 temperature 与采样策略影响；三是这种可逆性在有模型/隐层访问权限时会带来真实的隐私风险，已有文献与攻防工作也在探讨相应防御（随机旋转、拆分计算等）。
多名评论者指出论文用“数十亿次碰撞测试无碰撞”来支持单射结论在数学上并不令人信服：作者在某些模型（例如 GPT-2）上把碰撞阈值定义为 l2 距离小于 10^-6，而输出又被归一化，这相当于单位球面上极小的补丁，随机向量在高维下几乎正交，碰撞概率天文级地小，因此用“几十亿次”实验去证明无碰撞并不能覆盖整个连续高维空间。讨论中有人指出维度（如 768）与“测度集中”（concentration of measure）现象会让内积靠近 0、|a-b|^2 ≈ 2，从而使随机向量看起来几乎不相同；也有人强调生日悖论在极大的连续或指数级空间中并非直接适用，理论估算需要用到平方根尺度（sqrt）等更精确的概率量化。总体论点是：实证样本规模与高维连续空间的基数相比严重不足，需更严谨的理论或概率界来支撑“几乎单射”的普适性结论。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9] [来源10]
多个评论澄清论文并不是声称“给定一个抽样后的离散输出就能恢复提示”，而是关于模型在数值层面（即某层隐层激活或下一个 token 的概率分布）上的映射是单射（almost surely injective）。这意味着结论依赖于对完整的连续分布或隐层状态的访问和在确定性设置下（例如 temperature=0）观察分布本身，而不是对通过抽样策略获得的单次字符串输出。作者在社交媒体上也做出澄清：普通用户看到的随机化抽样结果、系统提示（system prompt）或不同采样策略会破坏这种可逆性，因此日常接口下并不等同于“直接能还原原始提示”。评论中还指出模型定义与采样策略的边界非常重要——把“模型”定义为仅输出分布才成立。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8]
有人把这篇论文与早先的“Text embeddings reveal almost as much as text”联系起来，指出 embedding vectors（嵌入向量）或隐层激活并非像哈希那样难以反推，反而可能保留诸如日期、名字、密码等细节信息，不能把向量当成安全的替代存储方式。评论中给出的简单防护建议是对嵌入做随机旋转（rotation）以打乱可解释性但保留距离属性，或者在系统架构上拆分计算以避免单机持有连续片段。还有人描述了一个实际可行的攻击思路：对每个位置穷举词汇表并做前向传递以寻找独特状态，从而逐步重构输入序列，表明在有模型访问权限时隐私暴露具有现实性。
若要对“几乎单射”下更强的安全或隐私结论负责，评论者认为必需严格的理论证明或概率界限，而非仅靠大规模实验。有人引用了现有分析工作（例如讨论向量相似度失效的论文）和近期针对隐层信息泄露/反混淆的攻防研究来说明并非所有线性或相似性假设都成立；另有学者观点认为 transformer 的“in‑context learning”更像是投影与存储而非传统的学习，暗示这些现象应有更精确的数学刻画。总体上，讨论呼吁把“almost surely”量化成关于碰撞概率随提示数量增长的函数或给出反例情形以限定结论适用范围。
多条评论强调该方法在现实场景下的可操作性受到严格限制：要成功逆向通常需要访问完整模型权重或中间隐层激活、知道精确的采样策略与温度（temperature），以及系统级的 prompt（system prompt）配置。基础设施层面的随机化、采样噪声或对输出做过编辑（即便只改一个词）都会让基于分布的逆向方法失效，因此不能直接用于监测抄袭或法证除非能保证确定性执行。作为防御方向，有工作提出将提示序列拆分并分发给多台机器以避免单点持有足够连续隐层状态，这也是评论中被多次讨论的实际工程化对策。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6]
许多评论认为论文标题或摘要在面向大众时容易被误读为“可以还原任何输出到原始提示”，而实际上结论局限于数值级别的单射（distribution/hidden state），因此被批评为具有 clickbait 特征。有人指出论文在技术上可成立但措辞和作者贡献声明引发笑谈，作者后来也在公开渠道做出澄清以修正公众误解。评论总体认为把科学结果的严谨性和面向非专业读者的传播语境区分开来非常重要，否则容易导致不必要的恐慌或错误应用。
injective（单射）: 一种映射性质，指不同输入映射到不同输出（one‑to‑one），论文讨论的是提示到隐层或概率分布是否为单射。
invertible（可逆 / 可逆映射）: 可逆通常指存在方法从输出恢复唯一输入；在这里通常意味着在映射的像上存在左逆，即输出能唯一确定原始提示（在满足前提下）。
hidden activations（隐层激活）: 模型中间层的连续数值向量，表示在某一层神经元的激活状态，是论文声称可用于重构输入的信息载体。
embedding vectors（嵌入向量）: 把文本或 token 映射为连续向量的表示，常用于检索和相似性计算，但也可能保留可被逆向的细节信息。
concentration of measure（测度集中）: 高维空间的现象：随机单位向量的内积和距离在维度增长时会高度集中（例如内积趋近 0），影响碰撞与相似性直觉。
birthday paradox（生日悖论）: 概率学原理：样本数与碰撞概率的增长遵循平方根尺度，原文讨论中有人警告该原理在离散、低基数情形外不能直接类比到连续高维空间。
context window（上下文窗口）: 模型一次性能接受的最大 token 数量，决定输入宇宙的上界与可逆性讨论中输入空间规模的计算。
temperature（采样温度）: 控制采样随机性的参数：temperature 越低输出越确定性（接近 argmax），论文有关可逆性的讨论在 temperature=0 等确定性设定下更有意义。