向量顺序打乱

token 池化和向量顺序打乱两种防御都能把文字召回率压到约 8%。

针对顺序打乱，一个专门恢复顺序的模型可以将'来源页排第一'的比例从 3.8% 提升到 93.5%，几乎回到未防御时的水平。

池化版本虽仍可被反演，但文字召回率维持在低位，实际泄露风险明显低于顺序打乱。

论文明确指出仅靠混淆向量顺序的防御可以被适度规模的学习模型逆转。

防御设计应优先考虑破坏补丁级别的语义粒度，而非仅仅隐藏排列方式；两者结合仍需谨慎评估。