[Bug] Compaction mints phantom user quotes and cross-generation refs, then re-injects the summary as user input #5911

中文标题：压缩/折叠会产生不存在的「用户原话」引用与跨世代 ref，并把摘要回流成用户输入
目标：billion-context（ACP / 上下文压缩内核，本机 0.1.212）
关联：DSH core 0.2.1-rc.5（提供会话与 ref 世代，但无请求体取证，见另一 issue）
起草：2026-11-07，C 线（只读包源码 + 只读会话日志；未改包、未重启、未向其它会话发消息）

摘要（3 行）

1. 跨世代（切换模型 / 上游重启 / 恢复）后，模型上下文里出现本世代不存在的 ref 与非本会话用户消息，模型把它当作“用户最后一条消息”引用并写进 compress 的 summary；内核只对 summary 做长度检查与代理对清洗（scrubLoneSurrogates），不校验被引用消息是否真实存在。
2. 同一用例中 compress 对越界 ref 报 ... stale artifact from an earlier generation ...，但报错发生在模型已写出伪引用之后，且只在 compress 调用时触发——推理阶段无任何提示渠道。
3. 折叠块注入模型侧时只有 [Compressed conversation section] — <topic> + 摘要正文，不带 blockId / generation / ref-span，下游无法区分“原始用户输入”与“上一世代模型摘要”，伪引用因此二次传播。

Summary (EN)

1. After a generation change (model switch / upstream restart / resume), the model context contains refs that do not exist in the current generation, and the model cites them as "the user's last message" inside a compress summary; the kernel only length-checks and surrogate-scrubs summaries (scrubLoneSurrogates) and never verifies that a quoted user message exists.
2. In the same run, compress rejects the out-of-range refs with ... stale artifact from an earlier generation ..., but only after the model already wrote the phantom quote, and only at compress time — reasoning gets no warning channel.
3. Folded blocks are injected as [Compressed conversation section] — <topic> + summary text with no blockId / generation / ref-span, so downstream cannot tell a summary from real user input — phantom quotes propagate.

环境

• billion-context 0.1.212（D:\DeepSeek Harness\.dsh\profiles\core-021\node_modules\billion-context\package.json:3；dist/index.js 5,863,132 bytes，2026-11-03 15:05）
• DSH core 0.2.1-rc.5；Node v24.19.0；Windows (win32/x64)；profile core-021
• 事故会话：session-34d5b146-d21b-41ff-8385-c8a101975d74，首次异常记录 seq 10436 @ 2026-11-07T12:57:19Z
• 会话日志：session.v4.jsonl.zstd（多帧 zstd；本次取证用副本解帧，原日志只读）

复现步骤

1. 在一个已触发过 ACP 压缩的长会话中，进行“切换模型 / 上游重启 / 恢复会话”之一（ref 世代重置）。
2. 继续对话，使模型在 reasoning 中引用早先消息；当其引用到越界 ref（大于本世代已分配上限）或不存在的 user 消息时，记下该 ref。
3. 随即调用 compress，把该 ref 作为 startRef/endRef 或写进 summary。
4. 观察：compress 该批被拒并返回含 stale artifact from an earlier generation 的错误；但第 2 步的伪引用已经在模型上下文中，且可被后续摘要继承。
5. 检查模型侧上下文中的折叠段形态：只有 [Compressed conversation section] — <topic> 与摘要正文，无来源块元数据（本会话观察）。

说明：受限于没有 provider 请求体 dump（见 DSH issue），无法给出 100% 稳定的最小用例；但触发判据与失败现象确定，且本会话已实际发生一次（seq 10436）。

证据（文件:行 + 日志片段）

(1) 伪用户消息已被引用 — 本会话 seq 10436（2026-11-07T12:57:19.416Z）assistant reasoning 中把 user m08516 当作“用户最后一条消息”引用。核实：该窗口内真实用户消息 4 条（role=user 且正文无 [会话信箱] 前缀），均不含此 ref/此句；m08516 在本世代不存在。

(2) 越界 ref 与报错原文 — 同批 compress 引用了 m08424–m08538，而本 session 已分配上限为 m08328。内核错误文案（billion-context/dist/index.js:129，逐字）：

An unknown ref is usually a stale artifact from an earlier generation (switching model or upstream mid-conversation starts a fresh session whose refs restart at m00001, and a native-compaction rebase resets them the same way) or a typo — but a number at or below the highest allocated ref may also simply be an unallocated gap: the ref space is sparse.

同段（dist/index.js:138）还输出 refGateDiagnostics(...) 并给出：

Do not probe for valid numbers. Run acp_status, then call the compress tool again using only the refs it reports.

即：诊断已存在，但只在 compress 被拒时出现，不内联最近合法 ref，也不会在伪引用进入上下文前拦截。

(3) summary 不校验引用真实性 — 同一 applyCompression 入口（dist/index.js:138）对 summary 只做：

if (spec.summary) spec.summary = scrubLoneSurrogates(spec.summary)

紧接着的长度校验 validateSummaryLength 只检查空/最短/最长（同文件）。没有任何“摘要中引用的 user ref 是否存在于被折叠区间”的检查；summary 是模型自由文本，伪引用可原样入库。

(4) 文案在多份产物中重复 — stale artifact from an earlier generation 同时出现在 dist/index.js:129/138、dist/agent/pi-native.js:250/259、dist/agent/opencode-native.js:128/137（同一 kernel 打包三份）。修一处需同步三份产物，否则不同宿主行为不一致。

(5) 二次污染 — 据 ⓪ 审计结论-S0.md §三，该伪引用随后被写进折叠摘要；在本会话上下文中，折叠段呈现为 [Compressed conversation section] — 任务简报与首批取证 + 摘要正文，不带 blockId / generation / ref 范围，因此后续 turn 无法把它与原始用户消息区分（具体 block 与摘要原文见附件 3，行号待核实）。

期望行为

1. 折叠/压缩时，若 summary 中出现 user m\d+、“用户说/用户原话”类引用，校验该 ref 真实存在于本次被折叠源区间；不存在则①拒绝该 range，或②在摘要中显式改写为 [unverified quote: <ref>] 并从上下文剔除该句。
2. 越界/跨世代 ref 在拼上下文阶段就告警（本 turn 的 notice/system 提示），而不是等 compress 报错；报错时附最近 N 个合法 ref（可直接用），而非只指向 acp_status。
3. 折叠块注入时固定带 source-block 元数据（blockId、generation、startRef..endRef、createdAt），渲染为“摘要”而非 user 消息，并禁止下游把摘要内文当原始用户输入。

影响面

• 正确性：模型把上一世代的伪引用当成用户指令/事实（本会话已出现一次），后续回答与摘要被污染，形成“伪记忆”。
• 可审计性：日志里没有这条 user 消息，但模型确实“见过”它；没有请求体 dump 就无法证明，只能靠 ref 越界间接推断。
• 跨宿主：三份 native 产物文案重复，说明这是内核行为而非某个适配器 bug，影响所有使用 ACP 压缩的 host。
• 与 DSH 缺陷叠加：信箱投递已能伪造 user 轮次（另一 issue），压缩摘要又能伪造 user 引用 → 两条链路都可让“非用户内容”变成“用户说的话”。

建议修法

附件清单（本地证据，按需脱敏后附）

1. _交付\202610\2026-11-07-消息来源审计\⓪ 审计结论-S0.md §二/§三 —— seq 10436、窗口内 4 条 user/message、ref 越界范围。
2. 同目录 ⑥ rc5兼容性与处置建议.md §4 —— 缺陷 B 证据与建议。
3. 会话日志副本（_dev\ 下解帧）seq 10436 及其附近的相关记录（reasoning 引用、compress 调用、错误返回；具体 seq 待核实）。
4. billion-context/dist/index.js 第 129、138 行截取；dist/agent/pi-native.js:250/259、dist/agent/opencode-native.js:128/137。
5. billion-context/package.json（name/version 两行）。

说明：本 issue 只引用本机 0.1.212 的实际产物与已核实日志；未运行代码、未改包、未重启。seq/ref 数字以会话副本为准；标注「待核实」处为仅见二手叙述、未逐字复核的项。