数据集文件完全一致。 500 个 question ID 完全一致。 样本选择规则一致：VQAv2 val、seed 42、无放回随机选择 500 个。 M=4 和 M=2 使用的是同一组 500 个问题和同一路径下的攻击缓存。 之前观察到的 1.8 pp 差异不是由样本子集不同造成的。 不过需要区分两个层面的“对齐”： 1. 样本级协议：已严格对齐。 2. 论文数值完全复现：尚未完全对齐。 目前无防御结果仍为 0.2–0.4%，论文为 0.0%。既然样本 ID 已经排除，剩余差异更可能来自： 作者生成的对抗图像与本地缓存之间的浮点差异； LLaVA checkpoint 的具体 revision； PyTorch、CUDA、Transformers 或 OpenCLIP 版本； GPU 非确定性； APGD 运行时数值差异。

数据集文件完全一致。 500 个 question ID 完全一致。 样本选择规则一致：VQAv2 val、seed 42、无放回随机选择 500 个。 M=4 和 M=2 使用的是同一组 500 个问题和同一路径下的攻击缓存。 之前观察到的 1.8 pp 差异不是由样本子集不同造成的。 不过需要区分两个层面的“对齐”： 1. 样本级协议：已严格对齐。 2. 论文数值完全复现：尚未完全对齐。 目前无防御结果仍为 0.2–0.4%，论文为 0.0%。既然样本 ID 已经排除，剩余差异更可能来自： 作者生成的对抗图像与本地缓存之间的浮点差异； LLaVA checkpoint 的具体 revision； PyTorch、CUDA、Transformers 或 OpenCLIP 版本； GPU 非确定性； APGD 运行时数值差异。