不可轻信，必须验证：AI 验证技术的新兴架构
一场价值万亿美元的竞赛正在验证机器推理能力
本文信息来源：chainofthought
绝大多数 AI 模型仍依赖信任运行。
"我们保证这是 GPT-4.5 版本。"
“我们承诺确实使用了宣称的数据集进行训练。”
“我们承诺输出结果是真实的。”
但我们无从验证。模型是个黑箱，服务器也不透明。我们无法证明运行了什么、如何运行的，或者答案是否在过程中被篡改。
可验证 AI 正是针对这一空白提出的解决方案。它是一套不断发展的技术体系，包括数学证明、加密经济激励设计和安全硬件等，旨在用证据取代空口承诺。不仅是“我们做到了”，更要“这是我们的完成证明”。
若其可行，可验证性将成为高风险部署的基准线：公共基础设施、去中心化金融，任何输出具有实质影响的领域皆然。
但这条路荆棘密布。构建者们面临一个熟悉的困境，我称之为验证三难困境 。你只能选择优化以下其中一项：
-
密码学严谨性 ——采用零知识机器学习（zkML），虽能提供数学层面的保证，但需付出高昂的计算成本。
-
经济规模性 ——采用乐观验证方法。虽快速廉价，但前提是激励机制设置得当且监督者始终保持警觉。
-
实际速度通过可信执行环境(TEEs)实现。易于部署，但需要赌上芯片的完整性。
没有任何单一方案能同时满足所有三个维度。每种方案都有取舍，都存在某些方面的不足。
我们在此呈现的是一幅技术路线图。我们将逐一剖析每种方法：其工作原理、当前适用场景以及持续改进后可能带来的突破。这是我们尝试描绘可验证 AI 如何真正落地生产的路径。
为何验证至关重要：超越"请相信我们"的时代
区块链与 AI 在许多方面本质上是相悖的。
一种模式是确定性的、透明的，由分布在众多机器上的小型可重复计算构成。另一种则是概率性的、计算密集且不透明的，依赖大规模并行处理和 GPU 加速。
目前在每个区块链节点上运行 700 亿参数的 LLM 还无法实现。因此我们只能折中——模型在链下的中心化环境中运行，只有最终输出结果会返回链上。这就像一个黑箱。
但这个黑匣子引发了关键问题。 几个具体例子：
-
偷梁换柱： 你支付高价使用 GPT-4.5，但缺乏验证机制时，如何确定对方没有用更廉价的 GPT-4 模型来应付？
-
DeFi 交易代理： 链下交易代理能优化收益并执行交易，但缺乏可验证性意味着用户无法确认其是否遵循风险约束或策略。这些代理是否会暗中偏离预设逻辑，使用户暴露于未知风险？
当前 AI 服务依赖品牌声誉、法律合同和商业信誉。对于低风险应用场景，这通常足够。但加密技术提供了 AI 天生难以实现的特质： 去中心化的信任 。
当 AI 开始主导金融、医疗和公共治理等现实决策时，盲目信任的代价将急剧攀升。随着风险系数上升，对可审计的去中心化 AI 的需求将呈现爆发式增长。
"不要信任，要验证"必须趁系统仍具可塑性时，就深植于其底层架构。 一旦形成路径依赖，为时已晚。
验证技术的总可寻址市场
让我们也实际一点。为什么人们应该关心验证？市场对可验证的推理有真实需求吗？似乎没人对此建模，所以我们做了初步尝试。
简短回答：有。需求相当可观。
我们预估到 2030 年，可验证推理的年市场规模可能达到 1000 亿美元以上 ，到 2034 年将增长至超过 2120 亿美元 。
以下是粗略的逻辑推演：
-
我们假设其中 20%的开支将需要可验证性，例如在医疗保健、政府、金融和受监管的企业软件领域。
-
除此之外， 只有当推理可被验证时才会出现的新用例 。这包括 AI 预言机、内容溯源系统、机密 RAG，以及本报告后续将讨论的其他对信任敏感的应用场景。
第一部分：验证三难困境
可验证 AI 并无万全之策。每种设计方案都是密码学严谨性、经济可行性与实际可用性之间的权衡妥协。当前主要有三种实现路径。
1. 零知识机器学习（zkML）：密码学纯正之路
zkML 旨在证明模型正确运行，同时不泄露其内部细节。不同于信任服务器声称运行了某个模型，zkML 允许证明者计算输出（例如 y = f(x)），并附加一个证明，证实 y 确实是通过将 f 应用于 x 而得到的。
验证者可在毫秒内核查该证明，即便模型运行耗时数分钟。输入、输出或模型权重均不会泄露。
这是最纯粹的信任形式。无需硬件假设，无需依赖第三方。仅靠数学即可实现。
这一特性使得零知识机器学习（zkML）在医疗健康、身份认证和金融等高风险领域极具吸引力——这些场景中，正确性和保密性都不可妥协。当人工智能决策需要接入智能合约时，仅输出结果并不足够，此时 zkML 同样能发挥作用——因为你需要的，是数学证明。
但现今的验证过程既缓慢又昂贵。
为大型 AI 模型的单个令牌生成零知识证明可能需要数分钟，成本比原始推理高出 1000 到 10000 倍。一个 130 亿参数的 LLM 可能需要长达 15 分钟 （尽管我们注意到这是在性能较低的 A100 芯片上运行）。若扩展到典型的 200 令牌响应，则意味着需要数天的证明生成时间。
来源：ZK:Larxiv
过去一年，zkML 的研究已突破技术边界，朝着支持数千万参数规模的实用化模型迈进。
已成功生成证明的模型包括 ResNet-101（4400 万参数，约 6.6 秒）、GPT-2（1.17 亿参数，约 287 秒）和 VGG-16（1500 万参数，约 88 秒），这些成果标志着重要进展。
诸如 EZKL、RISC Zero Bonsai 和 JOLT-X 等协议正致力于实现中小规模 zkML 的实用化。此外：
-
由 Lagrange Labs 开发的 DeepProve 宣称，通过 ASIC 后端可在 ResNet-50（2500 万参数）上实现 10 秒以内的证明生成 。
-
Mina 协议的 zkML 库已实现完全在链上运行小型可验证模型。
这些工具将参数不足 1 亿的中型 Transformer 模型推向了早期生产应用领域。
扩展验证规模依然困难重重。每当模型规模提升一个数量级，验证耗时和硬件需求就会急剧攀升。电路设计本身也存在脆弱性：手工构建的电路中若存在单一漏洞，就可能为错误结果生成看似有效的证明——这对链上系统而言将是灾难性故障。若草率实施可验证性，反而会成为攻击突破口。
一个常见的误解是 zkML 能提供完全的隐私保护。zkML 虽然隐藏了输入数据和权重参数，但通常会暴露模型架构。电路构建过程会揭示层数、运算类型和数据流向，这些都可能构成专有知识产权。目前一些团队通过在电路中添加伪装层来混淆布局，将模型拓扑结构变成一场猫捉老鼠的游戏。
还存在"谁来验证"的问题。如果由模型提供方生成验证证明，他们可能会看到敏感输入数据。若用户希望完全保护输入隐私，则需自行验证，这对大多数消费级硬件而言根本不现实。无论哪种方式，实现通用、轻量级的验证机制仍是理想目标。
解决这些问题的工作前景广阔。ZKPROV 等工具引入了电路私有 SNARK 技术来隐藏执行结构，尽管代价是更多的约束条件和复杂的设置。长远来看，实现大规模 LLMs 实时验证的愿景依赖于递归证明、更好的编译器以及专用硬件的突破。
💾 现场可编程门阵列
在硬件方面，FPGA 正成为首选的过渡方案。
这些可重新编程的芯片能跟上快速演进的证明系统，不像 ASIC 会将你锁定在固定架构且需要多年研发周期。基于 FPGA 的证明器已能实现比 CPU 快 10-1000 倍的速度，且每次证明的能耗降低多达 90%。
Polyhedra 的 GKR 引擎在 FPGA 上的部署就是一个例子，它能将证明时间降低多个数量级。专用集成电路（ASIC）的应用固然即将到来，但只有在零知识机器学习技术栈稳定后，它们的价值才能真正显现。
证明组合是另一项重要技术。诸如 Halo 和 Nova 这类递归 SNARK 方案，能够将众多中间步骤压缩成单个可快速验证的证明。这种方式无需逐项验证每个步骤，而是能一次性验证整个计算过程。结合批量验证技术（同时检查多个相似推理），这些方法可实现数百个证明的并行验证。
当与硬件加速相结合时，零知识机器学习（zkML）开始显得经济可行。
如果这些技术进展持续下去，我们很快就能将参数规模在1000万至1亿之间的模型投入实际应用，其验证成本仅比推理成本高出几倍。
我们已经看到了一些早期应用场景：
-
链上信誉评分
-
生物特征 KYC 验证（例如通过 Worldcoin 实现，我们近期曾撰文介绍过该项目）
-
游戏中的 AI 反作弊系统
那又如何？
zkML 无需依赖硬件或人类即可提供数学级别的保证。目前这些证明过程缓慢且成本高昂，因此初期应用将集中于参数规模低于 1 亿的高价值细分领域模型。
最后，以下是致力于零知识机器学习（zkML）的一些核心团队：
2. 乐观机器学习（OpML）：经济稳定之路
乐观验证方法能以延迟最终确定性为代价，将验证成本降低99%。当零知识机器学习追求数学确定性时，乐观机器学习采用更宽松的激励驱动机制。其借鉴了乐观汇总方案的核心思想：默认结果有效，除非遭遇挑战。
在典型设置中，节点运行模型后将输出结果发布到链上，并质押一定数量的代币作为保证金。若他人发现错误或操纵行为，可在预定义的争议窗口期内对结果提出质疑。这将触发一场交互式验证博弈 ，双方逐步核查计算过程以定位错误。若输出结果有效，则挑战方败诉；若存在错误，则没收保证金。
在固定种子和已知参数的情况下，可以确定性地验证特定输入产生了特定结果。来源是可验证的。
OpML 的承诺在于成本和速度。你无需预先证明每个结果，仅在有人提出质疑时才需支付验证费用。这使得 OpML 对长时间运行或批量计算极具吸引力。一个原型在以太坊上运行了 LLaMA-2 13B 验证 ，每次推理的验证成本降至几美分。
但权衡确实存在。
-
你至少需要一名诚实的验证者。 如果无人监督，或者挑战的回报低于所需付出的努力，无效输出就很容易蒙混过关。 加上机会成本，否则没人会去验证。
-
结果确认存在延迟。 所有输出结果必须经过悬置期才能最终确认。这对异步或归档任务尚可接受，但需要即时可信决策的应用场景则难以适用。
-
早期阶段脆弱性。 规模较小、新近部署的系统易受"蜜罐"攻击——验证者会趁无人及时质疑时混入错误输出。
某些设计方案试图缩短验证周期：采用随机抽查、预埋错误来检测怠慢节点，并对不当行为实施更严厉惩罚。任务执行速度越快，验证难度就越大。对300毫秒的推理过程进行抽查已属不易，围绕其构建激励层则更具挑战性。
OpML 目前暂居次要地位，现阶段仍像是加密经济容错机制的研究实验。其设计精妙，可能具备扩展潜力，但尚不足以作为生产级 AI 的信任基石。
那又如何？
OpML 通过仅在受到挑战时支付费用大幅降低验证成本，但其可靠性依赖于资金充足的监督者和可容忍的结算延迟。适用于批量分析，但在实时控制循环中存在缺陷。
3. 可信执行环境（TEEs）：实用性能之路
如果说 zkML 代表验证的黄金标准，那么 TEE 就是已在实践中使用的实用工具。
TEE（可信执行环境）是处理器内部的安全隔离区。代码在其中独立运行，甚至不受主机操作系统或云服务商的窥探。计算完成后，该隔离区会对消息进行签名：代码 X 在输入 Y 上运行并生成输出 Z。该验证声明既可在链下核验，也可写入链上。
实践中，可信执行环境让 AI 运行如常。无需重新编译模型或构建复杂电路。在无需脱离 PyTorch 或 TensorFlow 生态系统的前提下，即可获得快速推理、完整验证以及输入数据与权重参数的隐私保护。
基准测试显示， 机密 GPU 环境中 LLM 规模推理的开销不足 2%。Azure 演示显示，LLaMA-2 7B 模型在 300 毫秒内完成全验证运行。NEAR 团队近期发表的论文表明，即使采用端到端验证机制，系统开销仍保持在较低水平。
硬件支持迅速扩展：
-
NVIDIA H100 与 Blackwell GPU 现已支持安全飞地式隔离。仅需几行代码即可将 PyTorch 模型封装在安全飞地中。
-
Azure 机密 GPU 实例在统一认证方案下保护计算、内存和 I/O 安全。
-
英特尔 TDX 消除了 SGX 的内存限制并支持多插槽配置，这对大模型推理至关重要。
但存在一个重大隐患。 你实际上是在信任芯片本身。 整个 TEE 模型都建立在相信英特尔、AMD 或英伟达不会犯错的基础上。一旦它们出错，隔离机制就会失效。历史不断提醒我们这一点：
-
预兆和 SGX.fail 通过旁路攻击攻破英特尔 SGX 并泄露敏感数据
-
AMD 的 SEV 同样遭遇了诸如 CounterSEVeillance 这类攻击，证明没有厂商能幸免
虽然这些漏洞最终会被修补，但模式显而易见：一个硬件缺陷就足以摧毁整个安全模型。对于旨在最小化信任的系统而言，这构成了根本性矛盾。
因此我们认为可信执行环境是务实的基石，而非终极目标。
哪些因素能加速采用？首先，如果 AWS、Azure 和 GCP 能以接近标准实例的价格提供机密 GPU 实例，使用量将迅速攀升。其次，若能持续一段时间（例如一年）不出现新的侧信道攻击漏洞，将有助于恢复对硬件本身的信任。
与此同时，两大趋势正在显现：
-
混合系统： 类似 RISC Zero 的 zkAttest 等项目将用于执行的 TEE 与用于批量验证的零知识证明相结合。TEE 实现快速执行，轻量级零知识证明则对结果批次进行验证。二者共同弥合了性能与可审计性之间的鸿沟。
-
开放硬件： 该领域正在等待其"Linux 时刻"。RISC-V 等架构上的开放飞地终将取代当前困扰 TEE 技术的单一供应商信任瓶颈。虽然尚处早期，但发展势头正盛。
确实，可信执行环境（TEE）速度很快。没错，它们能与现有机器学习工作流无缝集成。而且，它们已经投入实际生产应用。但其中的"T"依然代表"可信"。而在对抗性环境中，这种信任要求可能过高了。
那又如何？
可信执行环境（TEE）已能为生产级 AI 系统提供可验证性和隐私保护，且性能损耗低于 2%，但所有保障都依赖于芯片的物理完整性。这是当前最快的实现路径，但并非终极解决方案。
其他验证设计方案
除 OpML 外，若干基于密码学的设计方案试图通过经济激励而非形式化证明来实现可验证计算。
一种方法依赖于基于抽样的验证 。多个节点独立执行相同任务，随机选取的子集对结果进行核查。若输出结果一致，则任务被接受；若出现差异，协议可通过罚没质押保证金的方式惩罚不诚实的一方。
Atoma 探索了一种名为"采样共识"的模型，该模型基于这些理念构建。但与该领域的其他团队一样，他们最终转向了可信执行环境（TEEs），选择优先考虑性能和生产就绪性，而非概率性保证。
然后是 Ambient。
Ambient 正在构建一个兼容 Solana SVM 的 L1 链，其运行基于定制的工作量证明方案：逻辑证明（PoL）。矿工不再挖掘无意义的哈希值，而是运行一个冻结的 6000 亿参数基础模型。他们发布模型中间逻辑值的哈希值，验证者仅需 0.1%的开销即可审计这些哈希。每个哈希就像密码学指纹，将输出与特定的权重集和输入绑定在一起。
Ambient 将 PoL 定位为 zkML 数学确定性与乐观方案经济实用主义之间的折中点：该网络通过牺牲通用性（仅支持单一规范模型）来实现无需专用硬件的毫秒级验证。
《不要信任，要验证：AI 验证的新兴技术栈》
当前可行性：验证方法评级
并非所有验证策略都同等成熟。未来几年内，我们预计采用曲线将呈现如下态势：
可信执行环境(TEE) > 零知识机器学习(zkML，小型模型) > 乐观机器学习(OpML)
可信执行环境已投入实际应用。它支持快速、隐私且可验证的推理，无需重写模型或切换框架。短期内，大多数需要可验证 AI 的系统都将依赖可信执行环境基础设施。
零知识机器学习（zkML）拥有最纯粹的信任模型，无需依赖硬件供应商或中心化平台的诚信。它能提供密码学证明，确保模型运行过程真实可信。但目前该技术仍存在速度慢、成本高且仅适用于小型模型的局限。
乐观机器学习（OpML）理论设计精妙但实践脆弱。其运行依赖经济激励、诚实参与和及时质疑机制。若缺乏精细的激励设计和主动监控，整个系统就会崩溃。当前极少应用场景能容忍这种脆弱性。
我们可以从两个维度评估这些方案： 成本与安全保障：
在低风险领域 （例如广告定向投放或用户体验个性化），验证的边际效用微乎其微。如果最坏结果不过是条糟糕的推荐，大多数团队会选择依赖日志记录而非验证证明——额外的成本与延迟根本不值得。
但当风险升级时，权衡就完全不同了。
在医疗健康、政务管理以及 DeFi 等对抗性环境中，错误推断绝不能姑息。误诊和资产损失会带来真实后果。这类场景下，可验证性变得至关重要。
有两件事能快速推动技术落地：
-
更优的工具支持 ：当可验证性成为 PyTorch 或 TensorFlow 中简单的复选框功能时，更多团队将会采用它。数据科学家可以照常使用 Keras 或 HuggingFace 等库，然后对模型进行快照以生成零知识证明。
-
公开的失败案例。 一起高调的 AI 错误，尤其是在关键领域，可能一夜之间改变公众预期。"默认可验证"可能成为监管底线。
目前大多数推理过程仍未经验证运行。但基础设施正在其下方悄然成形。这是好事，因为当需求爆发时，将没有时间从零开始构建。
第二部分：可验证 AI 带来的突破
除了在当前 AI 应用场景中增加可验证性之外，最令我们振奋的是验证技术所开启的全新设计空间 。可验证 AI 将催生一类新型系统：默认具备智能性、自主性和可组合性。
1. AI 预言机与数据源
当今的预言机仅提供单一事实，需要开发者自行解读这些事实的含义。
可验证 AI 改变了这一现状。若能证明模型在特定输入下运行并产生特定输出，你就能开始信任决策本身，而不仅仅是数据。
现在我们能够获得真正具备推理能力的预言机。
想象一个 DeFi 协议能根据用户的链上行为/ 信用评分动态调整贷款条款。或是一个基于波动率预测触发的智能合约。
这将释放可组合性。合约调用 AI 模型就像现在查询价格数据一样简单。但问题不再是"ETH/USD 当前价格多少？"，而变成了"这个地址是否属于高风险借款人 ？"、"这张图片是否违反内容政策？"或是"这个 DAO 提案是否被错误分类 ？"
由于每次推理都附带证明，其他合约可以像现在消费价格数据那样组合使用它。信任边界从人工操作者转移到了机器可验证的证据上。
2. 带强制约束的自主代理
下一代链上代理将是具备策略级权限的 AI 驱动系统：它们能执行交易路由、提出分配方案，并在复杂环境中管理风险。
这种权力需要约束机制。
可验证性将这些限制转化为可执行的约束。例如，可以要求交易代理提交证明，证实其策略始终处于批准的风险参数范围内。一旦出现偏离，系统将拒绝执行该操作。
在 DAO 组织中，一个自主运行的资金管理代理可能会提出资金分配方案。但它必须证明该提案遵守社区定义的规则，例如营销支出不得超过 20%。
当代理代表系统行动时，其决策过程必须可验证。不仅是可解释的，更要是可证明的。这能确保代理行为可追责，且输出结果受约束。约束执行机制将决定自主代理究竟会成为有用的基础设施，还是...难以预测的负担。
3. 去中心化模型市场
在我们先前关于去中心化训练的文章中曾提出一个简单观点：AI 模型正在成为商业资产。
"去中心化训练提供了一种无需依赖企业支持就能构建模型的方式，并通过共享激励机制为这项高度资本密集型的工作筹集资金。
这些训练完成的模型可以表现为链上代币。参与者通过贡献算力、提供数据或验证结果来获得相应份额。"
但若模型成为资产，无需信任的基础设施便成了瓶颈。多数用户既不愿下载原始权重，也不愿盲目信任不透明的 API 接口。他们渴望一种中间态——无需托管即可获得可信度。无需信任提供方，就能信赖其输出结果。
这一切始于溯源。当你查询一个模型时，得到的不应只是一串文本。你应当获得一份经签名的声明：该特定模型在这些条件下，使用此输入数据生成了此输出结果。基于可信执行环境（TEE）或零知识机器学习（zkML）构建的系统使之成为可能。
这为新型人工智能市场奠定了基础。在这个市场中，用户按输出付费，供应商能保护其知识产权，而计算网络则通过验证正确执行来获得收益。模型、数据和计算都建立在可验证性的共享基础之上。
对于建设者而言，可验证性正为越来越多高价值应用场景带来立竿见影的效益：
-
生物识别与 KYC 验证。 监管压力与日俱增。World（前身为 Worldcoin） 已采用零知识证明技术，在不泄露身份信息的前提下验证用户唯一性。ZK-KYC 技术允许用户证明自身属性（如国籍和年龄），而无需暴露原始数据。在注重隐私的领域，这类选择性披露机制很可能成为默认标准。
-
内容真实性与模型溯源。 欧盟《人工智能法案》和美国 NIST 框架虽强调可解释性与可追溯性，但尚未要求密码学验证。这一现状正在改变。数字水印工具可为生成内容嵌入来源标识，可验证推理则能证明产出过程 。前者标记输出结果，后者验证处理流程。二者结合为密码学基础溯源提供了实现路径。
-
机密分析与检索增强生成（RAG）。 企业希望在不暴露原始数据（如医疗记录或财务报告）的前提下查询敏感内部数据。配备远程认证的可信执行环境（TEE）正为此类场景试点，实现对私有向量数据库的安全搜索与推理。资金已开始涌入该领域。
前路展望：几点思考
1. 融入工作流程，否则出局
要让可验证性真正发挥作用，它必须无形融入流程。导出经过验证的推理模型应该像保存为 TorchScript 或 ONNX 格式一样自然。我们尚未完全实现这一目标，但界限已开始模糊。
诸如 ezkl 这样的工具能让开发者将 ONNX 模型转换为零知识电路。RISC Zero 的 Bonsai 提供了云端运行时环境，可执行 Rust 或 TorchScript 模型并返回计算正确的密码学证明。这些虽是早期尝试，却预示着未来方向。
当"verify=True"能作为单行代码实现时，普及将迅速跟进。
2. 经济引力
只有当有人愿意检查并为之付费时，验证机制才能发挥作用。
去中心化 AI 推理的经济模型尚未成型。证明验证不会自动运行，如果缺乏经济激励，整个系统就会停滞。早期设计通过混合求解者费用、MEV 式小费和质押机制，来确保证明者诚实、验证者警觉。激励协调是关键：缺乏这一点，正确性就只是可选的附加成本。
一种新兴模式是去中心化证明市场 。Bonsai 构想了一个证明任务公告板：用户发布带悬赏的推理任务，证明者竞相解决。这相当于零知识证明领域的自由职业市场。甚至已经出现了类似 MEV 的行为迹象（抢标、延迟博弈和经济套利）。
另一种方案借鉴了预言机机制。Dragonfly Research 提出多方证明方案，参与者需抵押保证金。若输出结果不一致，作恶节点将受到罚没惩罚。
它们都认同一个核心观点：验证必须具有经济意义。
3. 可验证性 ≠ 伦理性
"即便模型存在错误行为，其加密证明依然成立。"
模型可能带有偏见、危害性或操纵性，却仍能生成完美无瑕的证明。这个事实令人不安。
当今大多数验证工具都针对单次推理设计。它们仅能证明特定模型在给定输入下产生了特定输出。但真正的信任不取决于单次输出，而在于长期行为 。交易智能体是否在万次决策中始终守界？AI 助手是否持续遵守用户规范？
实现这一目标需要新的基础构件。不仅仅是输出证明 ，更需要行为证明 。能够验证轨迹、策略和有限推理的系统。
准确性是另一个缺失环节。证明可以展示模型做了什么 ，但无法证明其正确性。像 Mira 这样的初创公司正在攻克这些难题，他们将输出分解为更小的主张，并通过集成验证逐一检查。
某些任务永远无法进行确定性检验。政策建议、谈判、写作这些开放领域不存在标准的"正确"输出。即使过程真实可信，结果仍可能具有误导性、操纵性或存在微妙偏差。任务越主观，可验证性对应然结果的判断力就越弱
结论
盲目信任的代价正变得难以承受。AI 代理将支配资金流动、分配资源并影响决策。区块链教会我们验证交易，如今我们需要验证推理过程。
技术栈虽尚处早期，但方向已然明朗。正如 HTTPS 使安全通信成为标配，可验证的推理机制将让机器决策天然具备可追责性。
当验证过程变得快速且廉价时，黑箱终将被打开。我们将知晓运行了何种模型、输入数据内容及约束条件。这使得 AI 不仅可事后审计，更能在行动瞬间接受检验。
最终目标是一个能自我解释、证明步骤并经受审查的 AI 层。我们正在为人工智能时代构建可问责性基础架构。
干杯，
滕岩
本文仅供教育用途，不构成财务建议。文中内容不代表对买卖资产或做出财务决策的认可。投资前请务必自行研究并谨慎行事。
滕岩是 Ambient 的投资人。
附录 A：Web3 领域从事可信执行环境(TEE)开发的初创公司及团队
Phala 运营着规模最大的去中心化 TEE 云之一。2025 年，Phala 推出 2.0 版本，将安全的 TEE 计算直接引入以太坊，并新增支持 GPU 的 TEE 功能以实现硬件级 AI 安全。其在波卡生态拥有超过 22,000 个节点及集成应用。
阿托玛网络通过安全的 GPU-TEE 安全飞地技术，在不暴露数据或模型权重的情况下运行模型，实现私有化、可验证的人工智能。加密的"存储桶"保存多智能体协作的状态数据，每次推理都通过代币激励机制记录在链上。计划 2025 年正式运营，将推出测试网并与 Sui 等项目合作实现 AI 集成。该技术支持私有化 DeFi 分析和协作型 AI 智能体等应用场景。
Arcium 构建了一个去中心化的机密计算网络，结合多方计算（MPC）和可信执行环境（TEE）技术，为 Web3 应用提供安全私密的执行环境。该网络能在不暴露敏感数据的前提下处理 AI 智能体和去中心化应用的运算需求，尤其擅长 DeFi 风险评估和协作式 AI 开发。通过混合验证模型，Arcium 实现了链下计算的链上验证，并对硬件缺陷具备弹性防御能力。
作为基于 Cosmos-SDK 开发的区块链，秘密网络的每个验证节点都在英特尔 SGX 安全飞地中运行。该网络支持"秘密合约"——这种特殊合约能对加密的输入数据、状态和输出结果进行处理，并通过远程认证确保计算正确性。其落地应用包括防抢先交易 DEX、隐私 NFT 以及链上机器学习。社区治理机制与 Axelar 的跨链集成推动了该网络的广泛应用。
Oasis 将共识与执行分离，其机密 ParaTimes 运行在 SGX 安全飞地内，支持隐私信用评分和模型托管等应用。证明被中继至基础层，与 io.net 的合作将 TEE 计算能力扩展至去中心化 AI 工作负载。该架构提升了可扩展性，使其成为 DeFi、医疗保健和协作 AI 领域隐私保护的理想选择。
Automata 提供"TEE 协处理器"——一个与 EigenLayer 集成的多证明者系统作为 AVS。隔离的安全飞地处理抗 MEV 订单匹配或智能体推理等任务，并向 Linea、Scroll 和 Worldcoin 等 rollup 提交硬件验证证明。2025 年，其主网 AVS 上线及与 Scroll 的集成推动了机密 AI 的发展。
Inco Network 作为 EVM 链的通用隐私层，融合全同态加密与可信执行环境技术，为智能合约实现隐私状态保护。该网络支持零知识应用在 DeFi、游戏和身份管理领域进行可验证的加密执行，并通过代币经济模型激励验证者维护机密计算。
Super Protocol 为 Web3 提供基于可信执行环境的机密云服务，通过与 Phala 等网络集成来保障 AI 与 DeFi 业务的安全执行。开发者可在隔离飞地中运行 LLMs 和智能体，远程验证机制全程守护数据与模型安全。其特性包括容器化工作负载、节点代币激励以及面向链上存证的区块链集成方案。
iExec 提供了一个融合区块链与可信执行环境（TEE）的机密 AI 平台，使开发者能够构建具备数据所有权和变现能力的隐私保护型 AI 应用。该平台支持在非可信基础设施上安全执行，是 Web3 智能代理和 DeFi 应用的理想选择。
附录 B：致力于 zkML 的初创公司与团队
ezkl 是一个开源工具包，可将 ONNX 训练的神经网络转换为基于 Halo2 的 SNARK 电路。开发者可从 PyTorch 或 TensorFlow 导出模型，生成不暴露输入数据或权重的设备端推理证明，并支持链上验证。该技术已应用于生物识别 KYC、内容审核和反作弊领域，其 2025 年更新计划包括 iOS 系统集成与功能增强。
Lagrange Labs 的 DeepProve 是一款基于 GKR 协议、针对 GPU/ASIC 优化的 zkML 框架，其证明生成速度较前代提升高达 1000 倍。该框架支持神经网络的可扩展验证推理，在 ResNet50 等模型上可实现 10 秒内的证明生成，适用于 DeFi 风险引擎和 AI 预言机。2025 年发布的 v1 版本通过与 NVIDIA 合作，在 EigenLayer 上推进了其证明器网络建设。Lagrange 的 ZK 协处理器为数据密集型 Web3 应用提供支持，在无需链上开销的前提下确保可验证性。
RISC Zero 的 Bonsai 是面向 Rust 和 TorchScript 的高性能 zkVM，通过云 API 提供基于 STARK 证明的并行证明与递归功能。它能验证 AI 生成的游戏逻辑、DAO 投票或链上机密计算。2025 年发布的 R0VM 2.0 版本包含基准测试及 Boundless 等 ZK 执行集成方案。Bonsai 简化了 zkML 部署流程，为 Web3 场景提供可扩展的验证能力。
Mina 的轻量级 zkML 库支持完全在链上进行 ONNX 模型推理与证明生成，生成的证明体积小于 1MB。该技术可为健康筛查或验证码场景提供隐私保护评分，并通过 Mina 基于 SNARK 的账本进行验证。2025 年开发网版本将集成 ONNX 增强功能并升级主网。Mina 简洁的区块链设计使 zkML 具有超高效率，特别适合资源受限的环境。
Giza 是 Starknet 上的 zkML 平台，通过将 ONNX 模型转换为 ZK 电路实现可验证的机器学习工作流，支持链上验证。该平台能保护输入数据和权重参数的隐私性，适用于 DeFi 预言机和 AI 智能体场景。开发者工具支持 PyTorch 导出和递归运算，可为复杂模型快速生成证明。
Ritual 采用 zkML 技术在链上验证模型、输入和输出。其 Infernet 系统协调链下计算并通过零知识证明确保完整性，特别适合无需信任的智能代理和预言机。Ritual 计划 2025 年上线主网，将为计算提供者设置代币激励。该项目重塑了 AI 与区块链的融合范式，支持可验证内容及 DeFi 反欺诈应用。
基于 JOLT zkVM 构建的 JOLT‑X 通过查找表优化实现机器学习推理，可在数分钟内完成约 7000 万参数 Transformer 模型的验证。该技术主要面向 Layer2 扩容方案，支持可验证内容审核与欺诈检测。2025 年发布的 v1 版本新增递归功能，速度较竞品提升 2 倍。
硬件加速
Cysic 致力于为 zkML 打造 ZK 硬件加速器，通过 ASIC 和 GPU 芯片优化机器学习模型的证明生成。该技术显著降低延迟与成本，并与 Succinct 的 SP1、JOLT 协议集成，服务于 L2 扩容方案和 DeFi 领域。Cysic 计划 2025 年推出的芯片将实现预言机和智能代理的实时 zkML 运算。
Fabric Cryptography 专为 ZK 证明开发定制化芯片，通过其可验证处理单元(VPU)加速 Web3 领域的 zkML 应用。该技术针对 ezkl 和 RISC Zero 等框架优化 SNARK/STARK 证明生成，支持可验证 NFT 估值及 DeFi 模型。2025 年获得融资的 Fabric 旨在为去中心化 AI 提供更快速、更低成本的证明方案。