docs: correct feature-packet consumer boundary (#290)

Author: DeliciousBuding

AGENTS.md

@@ -28,7 +28,7 @@ Do not start from memory or old chat context. Re-anchor on repository files.
 
 ## Current Operating State
 
-- Active work: `Lane A metadata triage sync is the latest roadmap operating-system update. ReDiffuse SD bundle-root normalization remains the latest engineering fix. OPTML-Group/Diffusion-MU-Attack was checked as metadata only and closed as non-mainline safety-driven diffusion unlearning / adversarial-prompt robustness code, not a per-sample membership artifact; public GitHub/HF metadata checks exposed no new target/split/score/ROC/metric/verifier packet. Latest candidate verdict remains Identity-Focused Inference / Extraction: arXiv 2410.10177 is paper-source-only identity-level privacy evidence with no official code, checkpoint-bound identity/row/score/ROC/metric/verifier artifacts, no download, no GPU release, and no admitted Platform or Runtime row. active_gpu_question = none; next_gpu_candidate = none; CPU sidecar = none selected after Lane A metadata triage sync.`
+- Active work: `2026-05-25 feature-packet consumer-boundary correction is the latest roadmap operating-system update. The current Platform/Runtime admitted bundle remains admitted-only with exactly five rows: recon, PIA baseline, PIA defended, GSA, and DPDM W-1. Tracing the Roots remains positive Research-side gray-box feature-packet evidence (AUC = 0.815826, TPR@1%FPR = 0.134000) and a candidate consumer-boundary design item, but it is not admitted because the current bundle/export/tests/schema still exclude it and the public packet lacks raw target checkpoint identity, raw sample IDs, and image query/response artifacts. ReDiffuse OpenReview split manifests remain the clearest second-asset path, but no checkpoint/score packet is public and no GPU job is selected from this correction. active_gpu_question = none; next_gpu_candidate = none; CPU sidecar = none selected after feature-packet boundary correction.`
 - Next GPU candidate: none selected
 - Long-horizon control: follow `ROADMAP.md` section
   `Long-Horizon Research Task Board（2026-05-13 起）` before reopening any
@@ -265,8 +265,9 @@ Do not start from memory or old chat context. Re-anchor on repository files.
   feature-regeneration script. Do not download raw CIFAR/CelebA-HQ/FFHQ assets,
   target checkpoints, or generated images; do not expand timestep,
   feature-family, seed, classifier, optimizer, or regularization sweeps; do not
-  promote Tracing the Roots into Platform/Runtime admitted rows unless
-  DiffAudit explicitly opens a non-black-box feature-packet consumer lane.
+  promote Tracing the Roots into Platform/Runtime admitted rows unless a
+  reviewed feature-packet schema, machine-readable bundle, validator, tests,
+  and product-bridge handoff are added together.
 - FMIA / `Unveiling the Impact of Frequency Components on Membership Inference
   Attacks for Diffusion Models` is watch-plus only. The OpenReview supplement
   is small and ships frequency-filter DDIM/Stable Diffusion attack code plus

ROADMAP.md

@@ -1,6 +1,29 @@
 # DiffAudit Research Roadmap
 
-> Last updated: 2026-05-23
+> Last updated: 2026-05-25
+
+## 2026-05-25 Feature-Packet 消费边界修正
+
+最新决策：不把 Tracing the Roots 直接升级为现有 Platform/Runtime
+`admitted-evidence-bundle.json` 的第六行。原因不是信号弱，而是消费语义不同：
+该包是灰盒 feature tensor 级别证据，不是 raw checkpoint / image
+query-response / per-image identity 证据。现有 bundle、导出脚本、测试和产品桥接
+仍明确只支持五个准入行：`recon`、`PIA baseline`、`PIA defended`、`GSA`
+和 `DPDM W-1`。
+
+Tracing the Roots 保留为正面的 Research 候选和 feature-packet 消费方设计输入：
+`AUC = 0.815826`，`TPR@1%FPR = 0.134000`。它可以支撑"扩散轨迹特征携带成员信号"
+这一 Research 结论，但不得写成已准入 Platform 证据、Runtime 模式或逐图像成员身份判断。
+
+灰盒 feature-packet 通道当前状态为候选合约。若未来要准入，必须先建立独立于黑盒响应合约的
+schema、机器可读 bundle、验证脚本、测试和产品桥接交接，并显式写清权限假设、非逐图像身份边界
+和低 FPR 解释。
+
+ReDiffuse OpenReview split manifests 仍是第二资产路径的最清晰线索，但公开面仍缺
+target checkpoint、response/feature cache、score packet、ROC CSV 和 metric artifact。
+不从本次边界修正释放 GPU 训练或新下载。当前 slots：
+`active_gpu_question = none`，`next_gpu_candidate = none`，
+`CPU sidecar = none selected after feature-packet boundary correction`。
 
 ## 2026-05-23 下一阶段研究综合
 
@@ -44,6 +67,8 @@ Target Identity → Split → Score → Metric → Provenance → Surface Delta
 
 **中期**：决定 Tracing the Roots feature-packet 通道。若是，设计消费合约并准入。
 若否，作为 Research 侧参考关闭。
+2026-05-25 修正：feature-packet 通道仅定义为候选合约，Tracing the Roots 不进入现有
+Platform/Runtime 五行 admitted bundle；晋升必须另建 schema、bundle、validator、tests 和产品桥接交接。
 
 **ReDiffuse STL-10 路径之外不启动新的 GPU 实验。**
 `active_gpu_question = ReDiffuse DDPM/STL-10 preflight`

docs/product-bridge/README.md

@@ -37,9 +37,11 @@ Platform 只应消费具有明确状态和清晰局限性的结果。Research 
 和
 [../evidence/clid-prompt-conditioning-boundary.md](../evidence/clid-prompt-conditioning-boundary.md)。
 
-当前 Tracing the Roots 状态：仅 Research 正面特征包证据。OpenReview 补充材料提供固定的 CIFAR10 扩散轨迹特征张量和重放代码，有界本地线性重放达到 `AUC = 0.815826`、`accuracy = 0.737500`、`TPR@1%FPR = 0.134000` 和 `TPR@0.1%FPR = 0.038000`。它不得作为准入 Platform 证据行或 Runtime 模式输入，因为公开包缺少原始目标检查点身份、原始成员/外部样本 ID 以及图像查询/响应工件。机器可读候选卡片仅为 Research/产品边界比较而存在；在非黑盒特征包消费方交接显式定义这些语义之前，它不得作为准入 Platform 证据或 Runtime 行出现。参见
+当前 Tracing the Roots 状态：仅 Research 正面特征包证据。OpenReview 补充材料提供固定的 CIFAR10 扩散轨迹特征张量和重放代码，有界本地线性重放达到 `AUC = 0.815826`、`accuracy = 0.737500`、`TPR@1%FPR = 0.134000` 和 `TPR@0.1%FPR = 0.038000`。它不得作为准入 Platform 证据行或 Runtime 模式输入，因为公开包缺少原始目标检查点身份、原始成员/外部样本 ID 以及图像查询/响应工件。机器可读候选卡片仅为 Research/产品边界比较而存在；灰盒 feature-packet 消费方当前只有候选合约，没有进入现有五行 `admitted-evidence-bundle.json`。参见
 [tracing-roots-candidate-evidence-card.md](tracing-roots-candidate-evidence-card.md)
 和
+[feature-packet-lane.md](feature-packet-lane.md)
+以及
 [../evidence/tracing-roots-feature-packet-mia-20260515.md](../evidence/tracing-roots-feature-packet-mia-20260515.md)。
 
 当前 ReproMIA 状态：仅 Research 已撤回论文源观察。当前 arXiv 记录已被撤回，历史 v1 源仅为 TeX 加图，尽管报告了 DDPM 和 Stable Diffusion 表格度量。它没有官方公开代码、目标检查点、精确划分清单、评分数组、ROC CSV 或度量 JSON。它不得作为准入 Platform 证据、Runtime 模式输入或活跃 GPU/CPU 工作出现。参见
@@ -105,6 +107,7 @@ Platform 只应消费具有明确状态和清晰局限性的结果。Research 
 | [admitted-evidence-bundle.md](admitted-evidence-bundle.md) | 完整准入 Platform/Runtime 消费方集合的机器可读捆绑包。 |
 | [clid-candidate-evidence-card.md](clid-candidate-evidence-card.md) | 官方 CLiD CPU 评分包重放及身份阻断项的机器可读仅候选卡片。 |
 | [tracing-roots-candidate-evidence-card.md](tracing-roots-candidate-evidence-card.md) | Tracing Roots 正面特征包重放及原始溯源阻断项的机器可读仅候选卡片。 |
+| [feature-packet-lane.md](feature-packet-lane.md) | 灰盒 feature-packet 候选消费者线路；尚未进入现有 Platform/Runtime admitted bundle。 |
 | [h2-simple-distance-product-bridge-comparison.md](h2-simple-distance-product-bridge-comparison.md) | simple-distance 为何仍为 Research 证据以及产品消费前必须满足的条件。 |
 | [../evidence/admitted-consumer-drift-audit-20260515.md](../evidence/admitted-consumer-drift-audit-20260515.md) | 准入 Platform/Runtime 消费方边界的最新无漂移审计。 |
 | [../evidence/admitted-consumer-drift-audit-20260512.md](../evidence/admitted-consumer-drift-audit-20260512.md) | 准入 Platform/Runtime 消费方边界的前一次无漂移审计。 |

docs/product-bridge/feature-packet-lane.md

@@ -1,14 +1,15 @@
-# 灰盒 Feature-Packet 消费者线路
+# 灰盒 Feature-Packet 候选消费者线路
 
-> 状态：已开放（2026-05-23） | 首个 admitted entry：Tracing the Roots
+> 状态：候选合约 / 未准入（2026-05-25 修订） | 当前正面候选：Tracing the Roots
 
 ## 背景
 
 DiffAudit 当前 Platform/Runtime 仅消费黑盒响应合约证据（查询图像 → 生成响应 → 逐样本评分）。
 但扩散模型成员推断的研究面不仅限于黑盒——灰盒和白盒场景下，内部特征（梯度、轨迹、激活）
 同样携带成员信号。
 
-灰盒 feature-packet 消费者线路为这类证据提供 Platform/Runtime 消费通道。
+灰盒 feature-packet 候选消费者线路用于定义未来的 Platform/Runtime 消费边界。
+截至 2026-05-25，它还不是已准入消费通道。
 
 ## 与黑盒响应合约的区别
 
@@ -20,17 +21,17 @@ DiffAudit 当前 Platform/Runtime 仅消费黑盒响应合约证据（查询图
 | 产品声明 | "此图像在训练集中" | "扩散轨迹特征携带可检测的成员信号" |
 | 身份绑定 | 逐图像可验证 | Feature 级别，非图像身份级别 |
 
-## 准入合约
+## 候选准入合约
 
-Feature-packet 证据必须满足：
+Feature-packet 证据若要从 Research 候选晋升为 Platform/Runtime 准入结果，必须满足：
 
 1. **固定数据包**：Feature tensor 已公开，SHA-256 hash 可验证，不可变
 2. **可回放指标**：AUC/ASR/TPR@1%FPR/TPR@0.1%FPR 可从 feature tensor 和分类器重新计算
 3. **来源清晰**：论文/补充材料/supplement 来源明确，checksum 可验证
 4. **声明边界**：产品 copy 必须显式标注"feature-packet 证据，非逐图像身份证据"
 5. **独立 schema**：不混用黑盒响应合约的 Platform/Runtime schema
 
-## Tracing the Roots — 首个 Admitted Entry
+## Tracing the Roots — 当前正面候选
 
 ### 证据摘要
 
@@ -70,16 +71,27 @@ Feature-packet 证据必须满足：
 - 任何特定 CIFAR-10 图像的成员身份
 - 黑盒条件下可检测的成员信号
 - 可推广到其他模型/数据集的结论（无特征再生脚本）
+- 已经进入现有 Platform/Runtime `admitted-evidence-bundle.json`
 
 ## Platform/Runtime 影响
 
-- **Research**：`admitted-evidence-bundle.json` 新增 `tracing-roots` entry
-- **Runtime**：无需新增 runner——feature-packet 不需要逐样本运行时评分
-- **Platform**：新增 `feature-packet` 结果类型，展示 feature-packet 语义而非逐图像结果
-- **产品 copy**：标注"灰盒轨迹特征证据——展示扩散模型内部特征携带成员信号"
+- **Research**：保留 `tracing-roots` candidate card 和 feature-packet metric artifact；不改现有 admitted bundle
+- **Runtime**：当前无需新增 runner；若未来准入，应作为固定 feature-packet 结果类型，而不是逐样本运行时评分
+- **Platform**：当前不新增 `feature-packet` 展示类型；若未来准入，必须先有独立 schema 和产品桥接交接
+- **产品 copy**：当前不得写成已准入审计证据；只能在 Research / future-work 语境中标注为"灰盒轨迹特征候选证据"
+
+## 晋升前置条件
+
+Tracing the Roots 或其他 feature-packet 证据若要进入 Platform/Runtime，至少需要：
+
+1. 独立于黑盒响应合约的 schema 和机器可读 bundle，不复用现有五行 `admitted-evidence-bundle.json`。
+2. 对 `feature-packet` 权限假设、非逐图像身份边界、低 FPR 解释和产品 copy 的 reviewed handoff。
+3. `scripts/validate_attack_defense_table.py`、bundle export、测试和产品桥接文档同步更新。
+4. 明确说明它是灰盒 feature-level 信号，不是 raw checkpoint / image query-response / per-image identity proof。
 
 ## 修订历史
 
 | 日期 | 变更 |
 |------|------|
-| 2026-05-23 | 初始版本，开放灰盒 feature-packet 线路，Tracing the Roots 首个 admitted |
+| 2026-05-23 | 初始版本，提出灰盒 feature-packet 线路和 Tracing the Roots 候选 |
+| 2026-05-25 | 修正消费者边界：该线路为候选合约，Tracing the Roots 尚未进入 Platform/Runtime admitted bundle |