Zero-Knowledge Machine Learning(zkML)是什么？零知识机器学习解析

什么是Zero-Knowledge Machine Learning（zkML）？简单说，它把零知识密码学和机器学习焊在了一起，让一方可以在不泄露AI模型权重、用户输入或中间计算过程的前提下，证明模型运行无误。而验证者拿到一个紧凑的证明，几毫秒就能确认结果，完全不需要重新跑一遍模型。

2025年到2026年间，这个领域跨过了一道关键门槛。证明开销从原来的接近一百万倍降到了一万倍左右——Lagrange验证了超过三百万次推理后，把DeepProve完全开源了；zkPyTorch更是把一个拥有1.38亿参数的视觉模型，在2.2秒内完成了证明。

什么是Zero-Knowledge Machine Learning (zkML)？

零知识机器学习本质上是一种密码学技术，它允许一方证明AI模型正确执行了计算并产生了特定输出，同时不泄露模型的权重、输入数据，甚至任何中间计算步骤。本质上，它把“正确性声明”转化成了一个任何人都可以验证的数学对象。

它解决的是结构性的信任问题。当你向一个托管模型发起查询时，你把数据发到服务器，收到结果，但完全无法确认背后运行的到底是哪个模型、输出有没有被篡改，或者提供商是不是偷偷换了个更便宜的模型。你只能信任它。而当输出结果涉及财务、医疗或法律决策时，这种信任就站不住脚了。

zkML用验证取代了信任。模型操作者在每次推理时都会生成一个简洁的加密证明，证明某个特定的已提交模型，处理了特定的输入，产生了特定的输出。这个证明不包含任何秘密，但任何第三方——包括智能合约——都能在几毫秒内完成验证。

正是这种不对称性让它变得可行。计算可以很昂贵，但验证必须保持廉价：证明者可能消耗GPU小时级别的资源来生成证明，但核验方在不到1秒内就能完成检查。这个不平衡恰恰是区块链需要的——链上资源非常稀缺，而消费一个链下AI输出，如果不依赖密码学证明，就只能信任一个预言机。

zkML 如何运作？

zkML的核心思路，是把神经网络的前向传播过程转化为一个算术约束系统，然后证明这些约束存在一个有效的赋值。

• 训练：
  开发者使用专有数据和技术，在链下以传统方式训练模型。zkML不改变训练过程本身，生成的权重仍然是私有知识产权。

• 导出：
  训练完成的模型被导出为标准交换格式，通常是ONNX或GGUF。证明框架可以解析这些格式，把它们看作由层和操作组成的计算图。

• 量化：
  ZK电路运行在有限域上，而不是IEEE 754浮点算术。因此，浮点权重需要近似为定点整数。这一步会损失少量精度，但不可避免。

• 编译：
  框架将计算图算术化，把矩阵乘法、卷积和非线性激活函数，转换成证明系统可以处理的电路或约束系统。

• 证明：
  证明者执行推理，同时生成一个简洁的证明，表明输出确实源自已提交的模型和给定的输入。常用的系统包括Halo2、GKR或基于查找的论证方案。

• 验证：
  任何验证者——无论是智能合约、审计员还是用户设备——都可以根据模型哈希这样的公开承诺，检查零知识证明，确认正确性，同时不暴露权重或原始数据。

量化这一步值得特别关注，因为它把密码学的严谨性与机器学习的现实结合在了一起。将实值算术转换为模整数算术，在基准任务上通常会引入大约0.5%到2%的精度损失。但大多数应用场景，为了获得可证明性，愿意接受这种权衡。

为什么证明如此昂贵

成本问题本质上是算术性的，而不是偶然的。把神经网络中的每一次乘法和激活函数编码成约束，会大幅增加工作量。这就是为什么早期的zkVM方法，会带来10万到100万倍于原生推理的开销。

这个数字已经大幅下降了。专用的证明者、GPU加速和更智能的证明系统，已经把开销降到了一万倍左右。专业框架现在能在几秒内证明中型模型，而不是几个小时。决定这个领域投资价值的，是它的发展轨迹，而不是当前的绝对成本。

非线性操作仍然是顽固的瓶颈。像ReLU和softmax这样的激活函数，以及Transformer里的注意力机制，在浮点硬件中成本很低，但算术化之后代价高昂。这就是为什么视觉模型比语言模型更早实现了可证明性。

2026年的zkML框架和工具

工具层已经整合到了少数几个重要的框架中，每个框架在证明系统和目标工作负载上做了不同的选择。以下是当前定义技术水平的几个关键项目：

• DeepProve：
  Lagrange基于GKR的库，2026年6月完全开源。在证明生成上比EZKL快54到158倍，验证速度更是快出671倍。

• EZKL：
  长期以来备受推崇的开源主力，基于Halo2构建，接收ONNX模型并生成EVM兼容的验证者。对于没有密码学背景的开发者来说，这是默认的入门选择。

• zkPyTorch：
  Polyhedra在2025年3月发布的编译器，直接集成到PyTorch堆栈中，自动处理量化，大约2.2秒内就能证明一个1.38亿参数的VGG-16模型。

• JOLT Atlas：
  来自a16z的以查找为中心的方法，针对机器学习操作做了优化，优先考虑简单的电路构建，即使在应用GPU加速之前，也能实现显著的加速。

• ZKTorch：
  一款研究型编译器，使用并行证明累积。据报道，在相同硬件上，证明GPT-2的速度比早期通用zkML系统快大约六倍。

• zkVerify：
  一个验证即服务层，支持多种证明系统。允许AI管道卸载证明检查，而不需要为每个模型部署定制的验证者合约。

改变预期的基准

Lagrange在2025年7月达成的里程碑，重新定义了什么是现实。该团队完成了GPT-2的完整推理——这是一个拥有1.24亿参数的Transformer模型——使其成为首个端到端证明整个语言模型的生产就绪加密系统。

随后，这个系统从演示阶段转向了部署。Lagrange在2026年6月开源了DeepProve，披露已生成超过1200万个密码学证明，超过300万次AI推理实现了端到端验证。同时，他们与IBM、NVIDIA、Qualcomm、Oracle、Intel和AWS建立了合作关系。

然而，前沿差距仍然巨大，没有人能令人信服地声称情况并非如此。GPT-2比当今领先的模型小了四个数量级。证明一个现代前沿系统，不仅昂贵，在经济上甚至显得有些荒谬。Lagrange声明的下一个目标是Llama和Gemma级别的开源模型，而不是排行榜顶端的那些巨无霸。

真正改变的是曲线的斜率，而不是当前的上限。跨证明者集群的并行证明、GPU原生算法重新设计，以及可重用的查找表，是最有可能实现下一个数量级突破的杠杆。它们会逐步把中型开源模型带入可证明的范围。

zkML 在加密领域的用例

zkML最重要的应用场景，集中在AI输出具有财务后果且各方无法相互信任的领域。这些应用目前已经上线或即将投入生产：

• 可验证袋里：
  进行交易或管理资金库的自主AI袋里，可以证明每个决策都遵循了公开的模型，而不是秘密替换的模型。这弥合了委托-袋里之间的信任鸿沟。

• 私人信用评分：
  借贷协议可以确认借款人的评分达到了某个阈值，而无需查看余额、交易历史或身份信息。证明可以证实模型运行正确。

• 模型溯源性：
  API提供商可以证明哪个模型实际处理了请求。这能防止在按昂贵模型计费时，悄悄替换为廉价模型的情况。

• 去中心化推理：
  支付节点运行模型的网络，使用zkML来验证矿工是否真实执行了所声称的计算。用密码学结算取代了声誉机制。

• 生物识别身份：
  像World这样的系统，可以让用户证明新的生物识别模板来源于有效的注册，而无需中心化再验证或暴露底层扫描数据。

• 内容真实性：
  媒体管道可以附加证明，显示资产通过了已披露的检测模型。为监管机构提供可审计的追踪记录，而无需暴露专有分类器。

• 预言机完整性：
  机器学习驱动的数据源可以证明聚合逻辑按照跨源指定的方式执行。强化了链下智能与链上结算之间的桥梁。

新兴DeFi应用

去中心化金融是天然的首选市场，因为它本身就基于对抗性假设和开源验证运行。风险引擎、永续合约交易所和借贷市场，越来越需要AI驱动的参数，同时又不希望用户信任一个黑箱。

这种模式是“附加证明的自动化”。一个AI模型优化抵押率、清算阈值或动态费用，随附的证明让协议的合约能够验证，这些参数来自经过审计的模型，而不是操作员的自由裁量。

DAO治理是第二个前沿领域。基于机器学习的投票权重或提案模拟，可以得到验证，而不暴露个人持仓。统一的逻辑是：自动化只有在自身可被检查的情况下，才被无需信任的系统接受。

zkML市场与关键项目

资本和基础设施已经集中在少数几个构建可验证AI堆栈的参与者手中。了解各方职责，有助于看清这个领域的实际活动所在：

• Lagrange Labs：
  运营一个证明网络，运营商通过质押来竞标证明生成。拥有一级运营商阵容，并以DeepProve作为其用于AI推理的旗舰zkML库。

• Inference Labs：
  从包括Delphi和Mechanism在内的投资者那里筹集了630万美元，用于构建Proof of Inference——一个通过密码学验证来保护AI袋里的协议。

• Bittensor Subnet 2：
  最大的去中心化zkML证明集群，已生成超过1.6亿个零知识证明，同时激励电路设计和证明者优化。

• Polyhedra：
  提供zkPyTorch编译器和Expander证明后端，推动可用性前沿，使机器学习工程师无需密码学专业知识即可生成证明。

• Giza：
  专注于在链上部署可验证模型并赋能自主袋里，优先考虑开发者可访问性，而非原始证明吞吐量。

• EZKL：
  维护着最广泛采用的开源工具包，经过Trail of Bits审计，并作为新证明者进行基准测试的基线。

商业前景比多头或空头承认的更为复杂。可验证AI代币价格遭受了重创，多个代币交易价格接近历史低点。然而，仅DeepProve就已验证了超过300万次推理，并吸引了包括Anduril、Lockheed Martin和IBM在内的国防和企业合作伙伴。即使公开市场对这个领域持悲观态度，实际使用量仍在累积。

监管与 zkML 的合规案例

监管压力是支持可验证AI最有力的非加密论据。欧盟AI法案对高风险系统施加了文档、可追溯性和人工监督的义务。而密码学证明提供了一种方法：在不将专有模型提交给审计师的情况下，证明正确性。

时间表在2026年发生了实质性变化。欧盟立法者于2026年5月7日达成整治协议，推迟了最严苛的高风险义务。信用评分和招聘等附件三系统推迟到2027年12月，产品嵌入式系统推迟到2028年8月。透明度义务仍将于2026年实施。

这种推迟对zkML而言具有两面性。它消除了供应商所依赖的近期合规紧迫性，但也为技术成熟争取了时间，使其能在截止日期到来之前发展。毕竟，目前真正高风险模型的证明成本仍然高得令人不安。

更深层次的观点是，监管更看重证据而非断言。无论实施日期是2026年还是2028年，组织最终都需要证明部署的模型按文档所述运行。数学证明，是比政策证明更强的凭证。

zkML、数字身份与年龄验证浪潮

零知识密码学最大的实际部署，根本没有发生在加密领域。它正在数字身份领域发生，由在欧洲、英国及其他地区推广的年龄验证强制要求驱动。

这对zkML很重要，因为它建立了可验证AI最终将依赖的凭证轨道、钱&包基础设施和公众熟悉度——尽管这两种技术解决的是不同的问题。

全球 ZK 身份推广

欧盟委员会于2026年4月15日推出了一款免费的开源年龄验证应用程序，基于零知识证明密码学构建。用户可以证明自己达到年龄门槛，而无需透露出生日期或身份。包括法国、意大利和西班牙在内的七个成员国承诺将其整合。

其底层基础设施规模更大。修订后的eIDAS法规要求每个欧盟成员国在2026年底前提供数字身份钱&包，并明确鼓励隐私增强密码学。英国的《在线安全法》和《数字服务法》则提供了执法压力，使采用成为强制性。

私营行业也在同步行动。Google将零知识年龄验证集成到Google Wallet中，并与Bumble作为启动合作伙伴，开源了其ZKP库。同时，Microsoft Research发布了Vega，其自己的用于数字身份凭证的零知识系统。

zkML 的实际应用场景

有一个重要的区别值得明确指出，因为它经常被模糊。从签署的政府凭证证明你已年满十八岁，不涉及神经网络。因此，它是零知识密码学，但不是zkML。两者共享数学原理，而非机械设备。

真正的重叠在于年龄估算。面临验证强制要求的平台，必须在基于AI的估算（保护隐私但可能误判人群）和文档上传（准确但将每项服务都变成了政府身份数据的信息陷阱）之间做出选择。Microsoft Research将之称为“双重困境”。

zkML正是解决这种权衡的方法。年龄估算模型可以在用户设备上本地运行，并发出证明，表明公开的模型在真实面部扫描上诚实执行。平台只知道布尔结果，而图像、生物识别模板和模型权重永远不会离开手机。

聊天控制与监控辩论

同样的密码学尴尬地存在于欧洲备受争议的聊天控制提案中。其中，强制扫描私人消息以儿童保护目标为由被提出。客户端扫描和zkML都承诺在不进行大规模数据暴露的情况下进行验证，这使得这种框架在整治上具有强大影响力。

这些框架的批评者认为，隐私保护验证使需求本身常态化。一个反复要求用户证明属性的系统，无论每个单独的证明泄露多少数据，都会重塑互联网访问。正是因此，数字权利组织反对将年龄检查与身份钱&包绑定。

对于zkML而言，这个教训令人不适但很有用。密码学可验证性是真正强大的隐私工具，但它也是合规制度的推动者。技术的整治意义，完全取决于机构选择要求证明什么。

zkML 与其他可验证 AI 方法的比较

zkML并非使AI输出可信的唯一方法，而且它通常也不是最便宜的。了解替代方案，有助于明确密码学证明真正值得其成本的领域：

• 可信执行环境（TEEs）：
  在安全硬件飞地内运行模型并证明结果。开销低得多，但需要信任芯片供应商，并且仍然面临侧信道攻击的风险。

• 乐观验证：
  系统假设计算诚实，并依赖挑战者在规定时间内对其提出异议。成本低廉，但会引入延迟，并依赖于警惕且受经济驱动的验证者。

• 共识重执行：
  多个节点重新运行相同的推理并比较输出。直接，但计算成本高，且无法保护输入或权重的隐私。

• 全同态加密（FHE）：
  直接在加密数据上进行计算，提供强大的隐私保护。但其性能开销，目前甚至超过了zkML在大多数机器学习工作负载中的表现。

• 联邦学习：
  训练在本地进行，只共享更新，保护了原始数据。但无法证明任何参与者都诚实计算，这留下了一个zkML可以填补的完整性空白。

最终结果可能是组合而非单一赢家。针对最敏感的云工作负载，混合堆栈——将ZK证明与加密计算结合——已在讨论中。TEEs可能会处理吞吐量，而zkML则锚定高风险决策。

风险与局限性

zkML的保证是真实的，但其限制也同样存在。在这个早期领域，诚实评估比热情更重要。主要担忧包括：

• 成本开销：
  即使在原生推理约一万倍的开销下，证明对于前沿语言模型来说仍然过于昂贵。这在可预见的未来，将zkML限制在较小、定义明确的模型上。

• 精度损失：
  将浮点权重量化为有限域整数，通常会损失0.5%到2%的精度。对于许多任务来说是可以接受的权衡，但对于精度关键型应用则不合格。

• 证明者中心化：
  证明生成越来越依赖于GPU集群和专用硬件，使得能力集中在资金雄厚的运营商手中。这削弱了该技术旨在服务的去中心化目标。

• 实施风险：
  证明仅证明电路正确执行，而非电路忠实地代表了预期模型。有缺陷的编译可能会产生自信地验证的无意义结果。

• 人才稀缺：
  该领域需要精通密码学和机器学习的人才，这是一个狭窄的交叉领域。无论底层工具多么优秀，都会减缓企业采用的速度。

• 代币价格脱钩：
  尽管证明量不断增长，可验证AI代币仍接近历史低点。基础设施使用量与代币价值已脱钩，持有者不能假设采用率会转化为价格。

• 竞争标准：
  更轻量级的袋里信任框架，可能在无需密码学证明的情况下满足许多验证需求，从而抢占zkML原本预期拥有的用例。

• 标准碎片化：
  相互竞争的证明系统和不兼容的工具链，限制了互操作性。如果没有趋同，采用可能会分散到无法相互验证工作的生态系统中。

常见问题

zkML是一个技术类别，而非单一资产。投资机会来自基础设施代币，如Lagrange的LA或Bittensor的TAO，尽管这些代币带有该领域巨大的执行和需求风险。

不能。迄今为止端到端证明的最大模型，仍是拥有1.24亿参数的GPT-2。当今的前沿系统参数量达到数千亿或数万亿，这使得它们在经济上超出可证明范围大约四个数量级。

联邦学习将训练数据保留在本地，但无法证明参与者诚实地进行了计算。zkML提供密码学证明，证明特定模型正确运行，解决的是完整性问题，而不仅仅是数据局部性。

并非普遍适用。框架接受ONNX和GGUF等标准格式，但严重依赖非线性操作或注意力的架构仍然成本高昂。卷积网络和前馈网络，目前是最实用的可证明模型。

结语

zkML已经从研究好奇心转变为可用的基础设施。完整的GPT-2推理已得到证明，中型视觉模型可在数秒内完成证明，且开销在大约两年内下降了两个数量级——这一改进速度快于大多数密码学原语所能达到的水平。

坦率地说，可证明与已部署之间的差距仍然很大。前沿模型在经济上仍遥不可及，超出四个数量级；证明者硬件正集中在资金雄厚的运营商手中；即使证明量不断攀升，该领域的代币交易价格也远低于其融资时代的预期。

战略考量在于AI的发展方向，而非其现状。自主袋里正开始转移实际资本，监管机构要求模型行为可被证明，并且目前正在欧洲部署的零知识身份轨道，正在悄然将密码学证明常态化为日常基础设施。对于任何关注AI与加密货币融合的人来说，zkML正是这些轨迹交汇的层。