Mode A per-paper synthesis. 把 2606.05711 放到它所综述的"文本通信祖先 × KV-cache 系统基础设施 × 通道安全"三类邻居里定位。本篇断言的证据链全部回指各 entity 的 L2。
本篇是一篇把 18 种"潜在通信（latent communication）"方法编入 WHAT×WHICH×HOW
三轴框架的综述 [2606.05711]。编排给出的 8 个邻居不是随机采样，而是恰好
覆盖了这篇综述赖以成立、却自身没有收入 18 法语料的三条外部支柱：
A. 文本通信的祖先（本篇要取代的范式）。 综述的全部动机是"文本是 agent 间通信的
默认、也是低效的介质" [2606.05711]。这个"默认"正是
下面三篇奠定的：
传递条件化，不改参数 [2005.14165]。它确立了"agent 之间用文本 token
对话"这一表征选择的物理载体（decoder-only + 2048 token 窗口），也是本篇 §4.1.1 "每条消息
约 2× decode+prefill 成本"所测量的对象。
文本动作 $\hat A=A\cup L$ [2210.03629]。这是多 agent 推理"用文本做
中间态"的典范，也是本篇 §7.6 latent-CoT ↔ latent-comm 边界的直接前身（ReAct 的 thought
是 step→step 文本，本篇问的是能否换成 agent→agent 的连续态）。
"降低未来 token 损失"的准则过滤有用调用 [2302.04761]。它是"结构化信息
即文本"的极致表达，恰好是本篇 WHAT 轴"embedding"端的反面教材：Toolformer 坚持一切过
vocabulary，本篇主张绕开它。
B. KV-cache 系统基础设施（本篇的传输与相位机制来源）。 本篇把"潜在通信是否划算"
压成一条 break-even 不等式 $t_\text{saved} > t_\text{setup}+S/B+t_\text{align}+t_\text{inject}$
[2606.05711]，这条不等式的每一项都来自真实系统：
InfiniBand [2311.18677]，正是本篇 §6.1 "transport"段 $S/B$ 与
$t_\text{setup}$ 的工程原型；本篇把它列为边界案例（runtime，不定义新语义协议）。
（memory-bound），并用 chunked-prefill 榨 decode 的算力 slack
[2403.02310]。这就是本篇 Takeaway 2 "KV-cache 法集中在 prefill 相、
embedding/hidden-state 法集中在 decode 相"的物理根据。
按缓存内下标而非原文下标重排" [2309.17453]。这正是本篇 §6.3 四大
failure mode 之首"positional mismatch（RoPE 约定必须对齐）"的已解样本。
C. 通道安全（本篇 §7.2 的威胁模型外部化）。 本篇把潜在通道称为"opaque,
high-privilege interface"、并说文本级验证会漏掉被篡改的 KV
[2606.05711]。这两篇是该论断的文本界对照：
指标 sep(g)，并实测 9 个模型隔离度全线偏低、越大越差
让模型冲突时服从高特权指令 [2404.13208]，是"hybrid 协议须绑定可见
commitment + 身份"的现成蓝本。
Delta 1 — 把"通信介质"本身当成设计变量，而非固定为文本。 祖先三篇（GPT-3 / ReAct /
Toolformer）都默认 agent 间信息必须经过 vocabulary：GPT-3 的 demonstration 是文本
[2005.14165]，ReAct 的 thought 是文本动作
[2210.03629]，Toolformer 甚至刻意不扩词表、用 [/]/-> 既有 token 表达
调用 [2302.04761]。本篇的新意是把这个"过不过 vocabulary"从隐式默认
提升为显式的 WHAT 轴第一选择，并用信息论把代价量化为 ≈15 bits/token vs ≈40,000 bits/hidden
state 的 10³–10⁴ 压缩比 [2606.05711]。这是**范式
层面的 delta**，而非增量。
Delta 2 — 把分散的系统机制收敛成一条通用 break-even，但量化是借来的。 Splitwise 已经
证明"KV 传输开销 <7% prompt 计算、0.8% E2E"、并给出 serialized vs layer-wise 的分界
[2311.18677]；Sarathi 已经给出"1 个 decode token 的 linear
代价 ≈ 128 prefill token"的相位量化 [2403.02310]。本篇 Eq.3 是把这些
已有的、单系统的结论抽象成一条跨方法不等式——贡献是组织性而非实证性，本篇自己
也承认"组织而非经验" [2606.05711]。
Delta 3 — 继承了安全问题，却把它放到了一个更不可检的层。 2403.06833 能定义 sep(g) 正
因为输出是文本、见证词可子串检测 [2403.06833]；2404.13208
能建立特权层级正因为"来源类型"在文本协议里可标注 [2404.13208]。本篇把
消息换成连续张量后，这两套防御的可观测前提直接消失——本篇诚实地把这列为 open problem
[2606.05711]，但没有指出这是严格退化：
文本界尚且隔离度 13–73%，去掉文本这个唯一检查面只会更糟。这是本篇相对两篇安全论文的
负向 delta（见 §3）。
Delta 4 — 把 StreamingLLM 的"已解"误记为"未解"。 本篇 §6.3 把 positional mismatch
列为潜在通信的 failure mode，但 StreamingLLM 的核心壁垒恰恰是"按缓存内位置重排 + RoPE
缓存后施加"这一已验证的解法 [2309.17453]。本篇把它当"开放工程风险"，
是综述颗粒度（cross-paper map）与单论文深度之间的落差。
攻击点 1 — "≈2× decode-encode 成本"在 overlap 体制下被祖先系统自己驳倒。 本篇用
2× 成本论证文本通信昂贵 [2606.05711]。但 Splitwise 证明
KV 传输可以 layer-wise 异步 overlap 到计算后面、E2E 开销仅 0.8%
[2311.18677]；Sarathi 证明 decode 相有算力 slack，塞上百
prefill token "几乎免费" [2403.02310]。
矛盾根源：本篇把"decode + prefill"当作串行叠加（$\approx 2\times$），而 Splitwise/Sarathi
在系统层把 prefill 与通信藏进了本就要做的计算里。两者各自在其范围内都对——本篇算的是
朴素串行上界，系统论文算的是overlap 后实测——但本篇用上界论证普适动机，表述过强。
攻击点 2 — Eq.3 break-even 不是新发现，是 Splitwise 结论的改写。 本篇把 Eq.3 当作
"最难复制的 conditional 洞见" [2606.05711]。但 Splitwise 的 §IX 早已明确
"10× 更慢的链路仍然划算，取决于 overlap" [2311.18677]——即
transfer-vs-compute 的符号翻转。本篇贡献是把它写成
不等式并泛化到非 KV 的 WHAT，但"洞见"的原创性可攻击。
攻击点 3 — 15 bits vs 40,000 bits 混淆了信道容量与可用任务信息。 本篇用这个三到四个
数量级的差距作为"值得综述整个设计空间"的核心论据 [2606.05711]。
但 ReAct 的实证恰恰相反：把推理压成低带宽文本并接地到外部世界，反而把 HotpotQA 幻觉率
从 CoT 的 56% 压到 0% [2210.03629]。
矛盾根源：本篇度量的是"每步传了多少 bit"，ReAct 度量的是"传的 bit 里有多少是对的"。
高带宽的 hidden state 若携带的是未接地的内部猜测，信息量大但可错。本篇 §7.4 自己承认
"须区分 channel capacity 与 usable task information" [2606.05711]
——这等于自曝 Fig.2 的核心数字论据尚未扣到任务效用上。
攻击点 4 — 安全被降格为"缺 benchmark"，实为"拆掉了唯一防线"。 本篇把安全写成"未来
benchmark 应区分 transport integrity / semantic consistency / ..."的待办
[2606.05711]。但 2403.06833 证明**即便在
可检的文本界**，9 个模型隔离度最好也只有 73.2%、且规模越大越差
[2403.06833]；2404.13208 的特权层级也以 over-refusal 回归为代价
[2404.13208]。把消息换成不可子串检测的 KV 张量，等于移除 sep(g) 赖以
成立的观测面——这不是"需要新 benchmark"，而是"现有最佳防御原理上不再适用"。本篇对这一
退化的严重性显著 under-sell。
攻击点 5 — "13/18 训练无关"被 Toolformer / 安全两条线共同反证为误导。 本篇承认
"parameter-free ≠ assumption-free" [2606.05711]，但仍把
training-free 当卖点。Toolformer 证明"真正通用的工具/信息注入"需要一次自监督微调才能内化
[2302.04761]；2404.13208 证明"把行为烘焙进权重"远胜提示词
[2404.13208]。即训练无关的潜在注入在跨模型、抗对抗两个最有价值的
维度上很可能恰恰需要训练——training-free 的多数票是在"同模型、良性"这个最容易的格子里取得的。
范式定位：一条逆着"文本接口不断标准化"大势的系统优化支流。 过去六年的主线是把 agent
通信往文本收敛：GPT-3 让任务可被 prompt 文本描述 [2005.14165] → ReAct 让
推理成为可读可编辑的文本动作 [2210.03629] → Toolformer 让工具调用成为文本
token [2302.04761]，一路通向 MCP / agent 协议这类以文本为公共契约的
生态。本篇代表的 latent-comm 是反方向的：为了省掉 decode-encode，把契约从"人可读文本"退回
"模型内部张量"。它的生态位因此是窄而深的系统层——只在"紧耦合、同构、中间态不需人看、
延迟是硬约束"四条件同时成立时才赢 [2606.05711]。
采纳证据分裂：传输层已落地，语义层尚无人用。 本篇依赖的基础设施早已进入生产——
Splitwise 的 KV 传输是公开 vLLM PR [2311.18677]，Sarathi 的
chunked-prefill 已上游到 vLLM [2403.02310]，StreamingLLM 已被
TensorRT-LLM / HF / MLC 采纳 [2309.17453]。但这些采纳
的是"避免重算"的工程，不是"agent 间交换语义潜在消息"的协议。本篇自己在 §2.2/§8.4 把
TokenDance、AAFLOW+ 这类 runtime 划为边界案例，正说明：18 法里真正定义新语义协议的多为
2025–2026 的 arXiv 预印，无一有本篇基础设施那种生产采纳。
结论：本篇是一张地图，不是一场运动。 它的 niche 是"在 KV 工程已成熟、而语义潜在消息尚
未成气候的窗口期，给后来者一个可检索的坐标系"。相较 GPT-3/ReAct/Toolformer 那种"改变了
所有人怎么写 agent"的范式级采纳，本篇的影响力目前是编目式的——其 §9 主动拒绝做数字
leaderboard、拒绝宣称 latent 普遍胜过 text [2606.05711]，正是这种"测绘而非
布道"的自觉。
方向 1 — 相位感知的自适应 WHAT 选择（融合 Sarathi × Splitwise × Takeaway 2）。 本篇
Takeaway 2 指出 KV 法吃 prefill、hidden-state 法吃 decode，但停在观察。把 Sarathi 的
token-budget 调度器 [2403.02310] 与 Splitwise 的 overlap 传输
[2311.18677] 合起来，可做一个**按当前瓶颈（TTFT vs ITL）在线切换传什么
潜在对象**的调度器——瓶颈在 prefill 就传 KV 跳过重算，瓶颈在 decode 就传 hidden state。本篇
把 WHAT 当静态设计选择，这里让它随 Eq.3 的各项实时翻转。
方向 2 — 给潜在通道装一个 sep(g) 的张量版（扩展 2403.06833）。 2403.06833 的隔离度靠
"见证词子串检测" [2403.06833]，在 KV 注入场景失效。未
探索但技术可做：构造"被注入 KV 应执行 / 被当数据 KV 不应执行"的探针对，用接收端输出端的
见证词检测反推潜在通道的隔离度——把一个纯文本安全指标迁移成**潜在通道的首个可量化安全
基准**，直接填本篇 §7.2 的空白。
方向 3 — 潜在版指令特权（把 2404.13208 的层级绑到张量上）。 本篇说 hybrid 协议应"绑定
可见 commitment + 模型身份 + session + payload digest"
[2606.05711]，但没给机制。2404.13208 的
System>User>Tool 层级 + context-ignorance 数据原语 [2404.13208] 提供了
现成配方：给每个潜在 payload 附一个特权标签、训练接收端对"低特权来源的 KV"执行 context
ignorance。这是把文本界已验证的防御提升一层到潜在界的最短路径。
方向 4 — 工具调用的潜在化（Toolformer 的下一步）。 Toolformer 在"每样本至多一次调用、
独立采样"的限制下学不到链式调用 [2302.04761]。若工具的返回以 KV/hidden
state 形式直接注入发起方（而非文本 ->r 插回），既省一次 encode，又可能让链式调用在潜在
空间里自然展开——把本篇 WHAT 轴的"KV 注入"与 Toolformer 的自监督有用性过滤
$L_i^- - L_i^+ \ge \tau_f$ 合并，是一条具体 hybrid。
方向 5 — attention-sink 作为 KV payload 的压缩先验（StreamingLLM → §7.3）。 本篇 §7.3
呼吁"task utility per transmitted byte"的压缩度量。StreamingLLM 证明**只保留 4 个 sink
token + 滚动窗口**即可稳住注意力分布 [2309.17453]——这天然是一个"传哪些
KV 最省"的结构先验：潜在通信只需传 sink 段 + 近窗段，而非全 cache。本篇把 StreamingLLM 当
失败模式来源（positional mismatch），这里把它翻成压缩机会，是未被本篇串起来的正向连接。
[2302.04761]（Toolformer）
（Sarathi-Serve）·[2309.17453]（StreamingLLM）
[2404.13208]（instruction hierarchy）