可验证AI推理的密码学前线

摘要

当你向一个AI助手发送一段商业机密数据，谁能证明它确实用了承诺的那个模型？谁能保证推理过程没有被劫持？当前AI系统像一个黑箱——输入进去，输出出来，中间发生了什么无人知晓。可验证AI推理（Verifiable AI Inference）试图用密码学工具撬开这个黑箱。本文对比了三种主流技术路线——硬件隔离（TEE）、零知识证明（ZKML）和安全多方计算（MPC）——在"证明自己没说谎"这件事上，它们各自的工程成本和密码学成本是什么，以及哪条路径更可能率先在链上AI场景落地。这是一篇写给技术爱好者的全景综述，也写给正在关注去中心化AI方向的产品经理和架构师。

一、一个真实场景：AI推理=信任危机

想象一家医院想把患者的匿名化病例发送给远程AI诊断系统。系统返回的诊疗建议很精准，但医院无法回答一个核心问题：这个建议到底是从哪个模型跑出来的？是标注好的Claude-4，还是某个未经校准的实验版本？模型有没有在后台偷偷上传数据给服务商？更甚者，推理所用的GPU是否被某个远程攻击者植入了后门？

这绝非虚构。据开发者社区流传，2025年初，某大型云厂商的多模态API在特定条件下输出与承诺模型不符的结果。事件本身未获官方证实，但它在开发者社区引发了一阵焦虑：如果API返回的答案本身就是"不可验证"的，那么基于这些答案所做的商业决策就建立在一个未被检验的地基上。

这正是可验证AI推理试图解决的问题：在不必完全信任服务器的前提下，确信以下三件事：

1. 模型完整性：这个推理确实用到了你指定的那款模型，未经篡改。
2. 执行完整性：从输入到输出的计算路径没有被中断、篡改或重放。
3. 数据隐私性：原始输入数据在推理过程中没有泄露给服务方或第三方。

三种技术路线的名字，你应该已经在各类技术博客中见过缩写。

• TEE（Trusted Execution Environment，可信执行环境）：让硬件本身充当证人和守卫。
• ZKML（Zero-Knowledge Machine Learning）：让数学（零知识证明）替你审查全过程，无需信任任何硬件。
• MPC（Secure Multi-Party Computation，安全多方计算）：把计算拆成多份，让"所有参与者可能都有问题"也成了安全假设。

接下来的问题是：它们各自适合什么样的AI推理场景？在链上AI这个方向，哪一条路径更有工程落地价值？让我先从最"好理解"的TEE讲起。

二、TEE——硬件给你"物理隔离"的承诺

2.1 三个炙手可热的TEE技术

TEE的本质是CPU内部的小型安全飞地。主操作系统、甚至系统管理员，都无法侵入这片被硬件保护的内存。AI模型就在这片飞地里跑，模型权重和输入数据都在其中处理，处理完后只输出结果，不泄露中间状态。

目前工业界有三款成熟的TEE硬件技术：Intel SGX、AMD SEV-SNP和ARM CCA。

2025年底出现的一个重要信号是：GPU厂商也开始支持TEE隔离。英伟达H100的Confidential Computing模式和AMD MI300的类似实现，意味着在GPU上的AI推理过程同样可以被置于隔离环境中。这对推理成本巨大的大语言模型极为重要，因为传统TEE的隔离区域通常受限于CPU侧内存，导致大模型推理性能受损。GPU TEE的成熟意味着"高性能+高安全"的天平开始倾斜。

2.2 TEE的"远程证明"核心机制

TEE不是光靠一块安全区域就完成任务。关键技术环节是远程证明（Remote Attestation）：运行AI推理的服务器，在启动推理之前，必须向客户端发送一份密码学凭据，证明"我正在运行的确实是未被篡改的、具备特定哈希的模型代码，并且这片TEE区域确实由Intel/AMD/ARM硬件背书"。这套流程可以用一个Mermaid图来展示：

graph TD
    A[用户提交AI推理请求+模型ID与哈希] --> B[TEE上的AI推理服务
    生成远程证明报告
    绑定模型哈希+硬件指纹]
    B --> C[验证者
    Intel/AMD/ARM的远程证明服务
    核对哈希与硬件签名]
    C --> D{证明通过?}
    D -->|是| E[客户端确认模型未篡改
    发送加密输入数据]
    D -->|否| F[警告: 不可信任
    终止推理请求]
    E --> G[TEE内部执行推理
    输出结果仅客户端可解密]
    G --> H[用户获得结果
    且确信该结果来自指定模型]
    style B fill:#d0f0c0
    style E fill:#d0f0c0
    style G fill:#ffe6cc

图1：TEE远程证明流程——硬件如何充当"智能型门房"

这段流程走通后，用户所依赖的信任对象从服务商的IT团队【降级】到了英特尔或者AMD的芯片设计团队和制造流程。后者当然不是绝对安全（硬件漏洞存在先例），但攻击面的确收窄了数个量级。同时要想篡改硬件级别的安全启动机制，成本远高于在云端系统里替换一个模型文件。

2.3 TEE的边界与适用性

然而TEE不是万灵丹。它有两大硬伤：

第一，保密但不透明。远程证明告诉你"环境OK、模型管得住"，但它不揭露推理内部到底怎么算的。TEE验证的是执行环境完整性，但不直接检测模型本身的算法偏见——你只能在已有的模型内做计算，无法从数学上证明"模型服务方确实跑了一次完整的前向传播"。

第二，硬件层级的侧信道风险。Spectre和Foreshadow等已公开的攻击已经反复拷问TEE隔离策略。2024年底发现的一项针对英特尔SGX的侧信道漏洞，可以从飞地外的访问模式中反推内存页级信息。虽然后续通过微码补丁缓解，但这提醒人们：TEE的保护圈并非绝对不可破。

所以TEE最适用的地方，是"你已经大体信任模型，但要求"强大而通用的技术栈，无需修改模型架构。反之，当你需要证明"模型本身做了什么、做得对不对"，TEE的盲区就暴露了。这时应该看向第二条路线。

三、ZKML——数学替你"看"完全程，而非信任谁

3.1 核心思路：把前向传播变成证明

零知识机器学习（Zero-Knowledge Machine Learning, ZKML）的思路极为干脆：将神经网络的整个前向传播过程转化成一系列算术电路，然后用零知识证明（如SNARK或STARK）生成一份密码学证明。任何人拿到这份证明，都能在几秒钟内验证"给定输入x，这个模型确实正确地计算了输出y"。

最反直觉也最精妙的地方在于：验证者不需要看到模型权重，也不需要看到输入数据。他仅需要看到公开可得的输入与输出，以及一堆密码学元素，就能确认"这个推理是诚实的"。

这听起来像变戏法，但要做到实处却不容易。Transformer模型的乘法和激活函数涉及大量浮点运算，而零知识电路只擅长有限域上的整数运算。整条流水线可以用下面的Mermaid图表示：

graph TB
    A[训练好的Transformer/MLP模型] --> B[量化与算术化转换
    浮点-->定点/整数电路表示]
    B --> C[生成ZK电路
    记录每一个矩阵乘法、激活函数]
    C --> D[用户输入经加密哈希后进入电路]
    D --> E[输出推理结果 y]
    E --> F[生成零知识证明
    π = 证明 "给定x, 确实跑完了
    指定电路且得到y"
    不泄露模型权重和输入]
    F --> G[验证者拿到
    公开输入/输出 + 证明π
    在数秒内完成验证]
    G --> H{验证通过?}
    H -->|是| I[确认推理诚实
    模型没被换、计算没被跳]
    H -->|否| J[拒绝: 可能模型或执行有问题]
    style F fill:#d0f0c0
    style G fill:#ffe6cc
    style I fill:#d0f0c0

图2：ZKML完整流水线——从浮点模型到密码学可证

3.2 从实验室到"能跑LLM"的进展

ZKML落地最常被质疑的地方是算力开销。将每个矩阵乘法都纳入零知识电路，会在原推理时间上增加数百乃至数千倍的证明时间。好消息是：经过两年多的工程打磨，这个增殖因子已经被大幅压降。

• 2025年9月，ZKML社区出现了一个具有标志性意义的项目：一篇名为《A Survey of Zero-Knowledge Proof Based Verifiable Machine Learning》的综述论文——被接收发表于《人工智能评论》（AI Review）期刊。论文系统梳理了从2017年到2025年8月的所有ZKML进展，把这一路线正式推入了学术主流。
• 同期，Polyhedra Networks声称能将VGG-16在CIFAR-10上的ZK证明时间降到2.2秒。虽然VGG-16是卷积神经网络模型，但它意味着ZKML已从"概念方案"进入秒级证明区间。
• 对于大语言模型，2026年初ICME实验室等材料中讨论的pipeline已经能让Llama-3级别模型实现约150秒每token的ZK证明。尽管这一延迟仍远高于原生推理速度，但对于"不定期需要验证的场景"（例如链上关键AI交易执行后的事后审计、高价值一次性的AI决策备案），这种延迟并非不可用。

如果你追踪Modulus Labs的工作，你会发现他们已经完成了历史性的一步：将15亿参数的GPT-2-XL进行了完整的ZK证明，并且把结果验证写上了链。这证明了经济约束允许的情况下，ZKML能够覆盖中等规模的模型推理。未来的优化方向集中在：模型量化更激进、ZK-friendly的替代架构（例如将ReLU替换为更高效的多项式激活函数）、以及专用ZKML硬件加速。

3.3 什么情况下首选ZKML

ZKML填补了TEE的盲区：验证者不需要信任任何硬件证书，只信任数学和密码学假设（例如离散对数难题或哈希函数的安全性）。所以，如果你面对的场景是这样的——数据源和模型权重都非常敏感，而你希望在链上以完全透明但不泄露机密的逻辑被反复验证——那么ZKML几乎是唯一选择。

它的局限也清晰无比：计算开销仍然巨大，且随着模型规模增长，ZK电路规模呈超线性甚至指数级膨胀。目前的工程局限聚焦于Transformer的大规模矩阵运算——对如ResNet这类前馈CNN已经可以较自动化地生成电路，但对LLM级别的自注意力机制，仍需专门的工程。短期内最现实的应用可能是：金融合规性的链上AI审计、司法鉴定中"AI专家意见的密码学背书"、链上Agent执行任务后的问责机制。

四、MPC——"每个参与者都不可信"安全假设

4.1 核心思想：合谋率与秘密共享

安全多方计算（Secure Multi-Party Computation, MPC）起初的目标非常简洁：多个互不信任的参与者，各自用持有的私有数据参与同一项计算，但全程没人能窥见别人的数据。

在可验证AI推理的场景中，MPC被用来解决一个极端假设下的问题：

• 服务方不可信：提供模型的人可能不是好人。
• 计算方不可信：实际执行推理的服务器可能被入侵。
• 验证方不可信：审查计算结果的人也可能被收买。

针对这么严苛的前提，MPC选择的策略是拆分子协议和秘密共享。把整个模型拆成N份，交给N个独立节点；每个节点只拿到一点不暴露出任何原始信息的碎片（秘密共享碎片）。所有节点各自在碎片上做部分计算，最后把结果拼回去，才能得到最终输出。

只有当超过阈值个节点合谋时，攻击者才能反推出原始模型权重或原始输入。用门限方案，只要设置的参与方数量足够高（例如20个节点中取15个必须联合），实际合谋成功的概率可以被压到极低。

4.2 在AI推理中的工程实现

MPC用于ML推理的经典实现之一是CrypTen（Meta Research推出的开源框架）。它用安全计算替代了PyTorch的算子层，使得开发者能在几乎不改现有代码的前提下，让模型在多方场景中保护隐私。2024年之后出现的《Secure Multiparty Generative AI》论文，更是把MPC扩展到了生成式AI推理——Transformer的每一层被映射到多方的秘密共享协议中。

相比TEE和ZKML，MPC的最大工程优势有两条：

1. 原生精度保留：MPC直接在数值层面做操作，无需像ZKML那样把浮点被迫转成有限域整数，也不会出现因量化导致的模型精度下降。
2. 计算复杂度线性可控：对线性代数算子，MPC的通信和计算复杂度通常是原计算的多项式级别，而非ZKML那种极难估计的电路爆炸。

劣势则在于：网络通信是瓶颈。每做一个全连接层，各计算方需要多轮密信交换中间结果。如果你部署在三个不同大洲的数据中心，延迟累积会让推理变成秒级甚至分钟级。更棘手的是MPC的结构化收益随参数量上升明显——对十亿参数的LLM做多方推理，工程复杂度目前还未被任何开源生产系统所征服。

4.3 适用场景

MPC最适合的场景不是"向单一服务方验证其是否诚实"，而是多方数据合建模型但谁都不愿交原始数据的场景。例如：

• 多家医院联合训练或联合推理疾病预测模型，但无法相互共享病患数据。
• 链上多个节点分管AI Agent的执行，而任何单点都无法拿到完整执行逻辑。

当"多部门"和"必须合作"是两个刚性约束时，MPC几乎是唯一可落地的密码学选项。

五、三条路线端到端对比

表1：可验证AI推理三条路线十维对照

如果你正在做技术选型，这里有一个简化的决策指南：

1. 追求"最快上线+最大模型" → 选TEE，直接用GPU TEE跑现有模型。
2. 追求"链上一键验证+不泄露分毫" → 选ZKML，代价是现在只适配到十亿级参数模型，以及每个Token证明成本较高。
3. 追求"多方不可信假设+高精度" → 选MPC，前提是你能拿捏多节点之间的网络延迟和同步工程。

六、走向多端融合：EVM验证+TEE执行+ZK保障的未来构图

单独一条路线都有盲区，但组合起来可以互补。

目前最有希望出现的格局是三层可验证结构：

• 执行层（TEE）：在GPU TEE里运行实际推理。高性能、高精度、100%兼容现有框架。
• 证明层（ZKML）：对关键推理输出单独生成零知识证明。做到"核心决策可被数学审计"。
• 验证层（链上智能合约）：把TEE的远程证明报告和ZKML的证明π提交至链上合约，用EVM的确定性执行完成"最终确认"。

2026年EigenLayer生态的"Verifiable Execution"AVS探索正是这一方向的实践：运营商在TEE中执行AI推理，再辅以经济惩罚和Restaking机制确保不作恶，而关键的争议场景交给ZKML做裁定。比如在DeFi风控决策中，TEE保证推理环境安全，ZK证明保证计算过程诚实，链上合约完成最终的资产锁定和释放。

到这里，本文的脉络已经清晰：

• TEE用硬件把信任对象从服务商压缩到芯片制造商。
• ZKML用密码学把信任对象彻底解绑到数学假设本身。
• MPC用协议结构把信任对象从"一个诚实方"扩展到"阈值量级的共谋假设"。

三者并非相互取代，而是在验证粒度、计算效率和可用安全模型三个维度上做了各自的取舍。你的任务目标是什么，就选择对应的那把密码学钥匙；或者，未来实践中把三把钥匙串起来拧转。

七、与前行者相关的关键节点索引

表2：可验证AI推理领域的活跃项目与定位（2026年中）

⚡ 2026年下半年展望：GPU TEE正从H100向消费级显卡渗透，预计Q3将有云服务商以不超过推理价格30%的溢价推出可验证AI推理服务；在ZKML赛道上，第一批基于FPGA和ASIC的专用ZK加速硬件已进入测试阶段，目标是将LLM零知识证明从150秒/token压缩到10秒级；MPC方向则聚焦于削减通信轮次的协议创新，以及借助EigenLayer共享验证网络降低多方协调成本。无论哪条技术路线胜出，可验证AI已不再是学术概念，而正成为2026年链上去中心化Agent生态中的核心基建赛道。

延伸阅读建议：

• 如果你第一次接触零知识证明，可以从Vitalik Buterin的"Understanding ZK-SNARKs"系列入手，ETH中文社区有优质翻译版本。
• 想了解TEE对AI推理的工程细节，llm-in-tee的GitHub仓库（基于llama.cpp和AWS Nitro实现）是最直观的学习样本。
• 学术读者可直接检索 arXiv:2502.18535《A Survey of Zero-Knowledge Proof Based Verifiable Machine Learning》——2025年考据最全面的ZKML综述论文。

本期选题：「可验证AI推理的密码学前线——TEE、ZK与MPC如何为AI模型"自证清白"」，属于「区块链 × AI 技术观察」第8期。感谢阅读。如需往期内容回溯或探讨文中技术细节，欢迎关注本号并在后台留言。