Multiverse Computing 於 Hugging Face 官方網誌發表論文介紹，提出 ProvenanceGuard：針對以 Model Context Protocol（MCP）呼叫多個工具的大型語言模型代理，在答案產出後保留工具與來源識別，逐項核證「事實是否成立」以及「答案是否把事實歸給正確來源」。來源真實性已驗證：本文核對自 Hugging Face 官方網誌與 arXiv 論文摘要及正文公開數據，並確認相關官方頁面可成功讀取。重點在於新失敗模式「交叉來源混淆」——索賠在證據池某處為真，但被歸錯來源；來源盲核證器可能放行，來源感知核證則應攔截。
企業正在把客服、合規與臨床輔助做成「會呼叫搜尋、資料庫、病歷與政策文件」的代理。標準 RAG 忠實度分數往往只問：把所有工具輸出混在一起後，這句話有沒有被支持。ProvenanceGuard 指出，這對 MCP 代理不夠：答案還帶有明確或隱含的來源歸屬，錯歸屬在敏感資料場景可以與錯事實同樣危險。
一、核心事件：來源盲核證擋不住「真事實、錯出處」
技術細節
據 Hugging Face 網誌與 arXiv:2606.18037，ProvenanceGuard 是黑盒 MCP 代理之上的事後核證層：讀取已擷取的 MCP 軌跡（工具輸出與穩定來源 ID），不把證據塌縮成匿名上下文。流程依序為：把答案拆成原子索賠、為每項索賠路由最相關來源、以自然語言推論（NLI）與對齊訊號檢查該來源是否支持索賠、再把答案所點名或暗示的來源與路由結果比對，最後輸出逐索賠來源裁決與整份答案的允許／封鎖決定。
論文把該失敗模式稱為交叉來源混淆（cross-source conflation）。網誌舉例：客服代理寫「根據帳戶紀錄，本方案有三十日退款期」——退款期可能真實存在於政策文件，但若不在帳戶紀錄，來源盲分數仍可能判定「有支持」，來源感知核證則應因歸屬錯誤而攔截。
作者團隊以醫學 MCP 代理作為實證平台（非框架本身的限制）：病人紀錄、類 FHIR 資源、文獻搜尋與中繼資料等工具並行。凍結語料含二百八十一條真實醫學軌跡；其中二百六十六條經索賠標註，留出四十條軌跡、三百六十一項索賠由人類專家覆核。應被擋下的一百三十九項索賠中，ProvenanceGuard 擋下一百三十八項、放行一項；來源可評分的二百六十項索賠上，來源正確率約零點八五八。Reject／block F1 為零點八零二，高於同批來源盲基線 MiniCheck（零點七八三）、RAGAS Faithfulness（零點七五八）、AlignScore（零點六六二）與 SummaC-ZS（零點四三六），且只有 ProvenanceGuard 輸出索賠對來源 ID。
在五十次刻意注入「來源對調」的對照探測中，系統攔截全部五十次錯誤歸屬。封鎖後可接 RARR 風格修復再核證：全軌跡實驗中一百七十三份被封鎖答案皆獲處理，其中一百四十四份以不含需工具證據之陳述的後備文字收結，體現偏保守的 fail-closed 策略。
二、技術原理深度解析
ProvenanceGuard 的關鍵設計是「來源身分貫穿全程」。軌跡中每段證據帶 tool_id、source_id 與原文；路由以嵌入（實驗配置使用 all-MiniLM-L6-v2）對來源質心做餘弦相似度；支持檢查使用 DeBERTa-v3 NLI，並對數字、日期、識別碼等受保護字面值做嚴格比對——來源未出現的字面值不能僅因語句通順而過關。校準層以隨機森林把路由分數、NLI 標籤與對齊特徵合成支持機率，驗證集選取閾值零點六五；歸屬檢查與支持檢查分開，避免「某處為真」被誤讀成「所引來源為真」。
較難的多來源基準顯示：Reject F1 仍可達約零點八四六，但精確指認來源正確率降至約零點五零三，來源加關係正確率約零點二二九——語意相近的干擾來源仍是難題。論文亦強調醫學場景只是測試床；凡 MCP 軌跡保留工具與來源 ID 的領域都可套用同一介面。
Hugging Face 網誌並提到，NVIDIA NVFlow 金融代理可選的 grounding 核證階段採用了來源感知思路，對 SEC 摘錄做完成後核證且不改動原 rollout。ProvenanceGuard 亦曾於加州大學柏克萊 Agentic AI Summit 2026 以海報形式發表。
三、日常應用場景
1. 開發者與技術團隊
為既有 MCP 代理加一層事後閘門：在回覆上線前產生可審計的「索賠→來源」裁決，而無需重訓代理本體。適合客服、內部知識庫與合規問答等已能輸出工具軌跡的系統。
2. 企業與隱私敏感行業
金融、醫療與政府場景常同時呼叫帳戶／病歷與政策／文獻。交叉來源混淆可能構成合規與信任風險；偏保守的封鎖與後備回覆，較適合資料敏感、可接受人工覆核負擔的流程。
3. 一般用戶
一般聊天產品若只顯示一句「根據官方資料」，使用者難以分辨出處。來源感知核證把「有無支持」與「歸誰」拆開，有助減少看起來有引用、實際張冠李戴的回答。
4. 香港與亞洲市場視角
香港金融、醫療與專業服務機構正加速導入可呼叫內部系統的代理。在地部署時，軌跡與核證可留在可控環境（論文實驗亦強調本地模型配置），並與私有模型、零信任網絡一併規劃。對需數據不出境、又要工具鏈可審計的團隊，來源感知閘門是實務缺口的一環。
四、專業評價與潛在考量
優勢
- 明確定義並量測交叉來源混淆，補上來源盲忠實度分數的盲點。
- 在留出集上達到與強基線相當或更高的封鎖 F1，並額外提供索賠對來源審計軌跡。
- 可接修復迴圈，封鎖後仍有修訂或安全後備路徑。
需要留意的地方
- 主要實證來自單一醫學代理堆疊與較小留出集（四十條軌跡），區間較寬；外推到其他產業需自行重標與校準。
- 多來源語意相近時，精確指認來源仍困難；分解品質與受保護字面值保存仍有誤差。
- 偏保守策略會把部分本可支持的索賠送去覆核，增加營運成本；延遲約每答案半秒量級（論文所述本地配置），適合離線或準即時閘門多於極低延遲聊天。
結語
當代理從「單段檢索」走向「多工具 MCP」時，事實核證必須同時回答兩個問題：有沒有支持，以及是不是答對了出處。ProvenanceGuard 把來源 ID 留在核證鏈上，用可檢查的允許／封鎖決策對應企業對審計與合規的要求。若香港企業正把內部知識、客戶紀錄與政策文件接到私有或混合代理，可一併檢視事後來源感知閘門與資料主權部署；YSK Limited 的企業私有 LLM 全託管（https://ysk.hk/services/ai-automation）可作為 Dataset → QLoRA／LoRA → 私有 API、數據不出境的配套參考。
參考來源
- Multiverse Computing on Hugging Face Blog — Getting the Source Right, Not Just the Fact: Source-Aware Verification for MCP Agents（2026-09-29）：https://huggingface.co/blog/MultiverseComputingCAI/getting-the-source-right-not-just-the-fact-source
- Alvarez et al. — ProvenanceGuard: Source-Aware Factuality Verification for MCP-Based LLM Agents（arXiv:2606.18037）：https://arxiv.org/abs/2606.18037
- arXiv PDF：https://arxiv.org/pdf/2606.18037