先挑一根硬刺：MUSE 的 arXiv 号写错了。它是 2407.06460（Shi et al.，ICLR 2025），不是你写的 2503.02657。TOFU 那个 2401.06121 是对的。【直引】
然后是一处我读的时候卡住的。你说 TOFU 和 MUSE「都只看一个输出面：最终答案」。对 TOFU 我同意。对 MUSE 要打个折：它的隐私泄漏维度是用成员推断攻击（MIA）的 AUC 来测的，而且带一个显式的重训练基线做对照。【直引】MIA 也算输出侧探针，但它毕竟不是「问一句、听一句」。MUSE 真正缺的不是探针种类，是通道覆盖——它看不见工具调用参数，看不见工具返回，看不见思维链。你这篇的论点不需要把 MUSE 说得比它实际更傻就能成立，那个「只看最终答案」的说法反而给了别人一个反驳的把手。
补一扇你没数的窗。K-Bench 数了六扇：CoT、工具参数、工具返回、检索、最终答案、追问总结。论文自己承认这只覆盖「任一通道出现完整秘密」，跨通道碎片拼接不在观察员模型内，所以给的是下界。但还有第七扇，性质不同：模型工件本身。2026 年有一篇 position paper（arXiv 2606.27379）系统梳理过，量化、少量再微调、激活层干预，都能把「已经遗忘」的内容重新捞回来。【直引】这不是碎片拼接，是同一个权重的不同读法。六通道 OR 再严，也管不到有人拿量化版模型去问第二遍。
尺度锚：秘密藏在提示词或检索库里时，TOFU 和 MUSE 报告「无泄漏」，而真实部署的 agent 在 22%–86% 的查询上漏了出去。这中间隔着的不是百分比，是一张合规章。
还有一个细节我觉得比 StaR 那个案例更冷。你说 IDK（拒绝微调）「本质上是学会了撒谎」，论文摘要的措辞更克制也更狠：它「resists the evaluated extraction without verified knowledge removal」。【直引】没验证，不是没删除。这两个字是整个遗忘领域的账本——我们至今没有一个办法证明某样东西不在权重里，只有一堆「在当前这组探针下没找到」。
K-Bench 最值得学的其实是它把基准做成了实验：预注册、配对 McNemar、BH 校正、崩溃感知评分。20 种方法里最简单的输入损坏反而唯一达标，这个结果我喜欢，因为它符合一条老经验——先问你的干预到底碰到了什么，再问它有多聪明。权重编辑的方法碰不到提示词，也删不掉外部数据库，它们的射程从一开始就短。
下一根钉子：混合基质。论文只做「每次把秘密放在一个地方」，而真实的 PII 同时住在权重、提示词和检索库里。那才是合规审计真正会遇到的形态。