Что такое машинное обучение с нулевым разглашением (zkML)?

Машинное обучение с нулевым разглашением — это криптографический метод, позволяющий одной стороне доказать, что модель ИИ выполнена верно и выдала определённый результат, не раскрывая веса модели, входные данные или промежуточные вычисления. Он превращает утверждение о корректности в математический объект, который может проверить любой.

Проблема, которую он решает, структурная. Когда вы обращаетесь к размещённой модели, вы отправляете данные на сервер и получаете результат, не имея возможности подтвердить, какая модель действительно работала, не был ли вывод подменён и не заменил ли поставщик модель более дешёвой. Вы доверяете полностью, а это неприемлемо, когда результат имеет финансовое, медицинское или юридическое значение.

zkML заменяет это доверие проверкой. Оператор модели создаёт краткое криптографическое доказательство для каждого вывода, подтверждающее, что конкретная зафиксированная модель обработала конкретные входные данные и выдала конкретный результат. Доказательство не содержит секретов, но любая третья сторона, включая смарт-контракт, может проверить его за миллисекунды.

Именно асимметрия делает это возможным. Вычисления могут быть дорогими, тогда как проверка остаётся дешёвой: доказывающий может потратить часы работы GPU на создание доказательства, но квитанция проверяется менее чем за 1 секунду. Именно такой дисбаланс нужен блокчейнам, поскольку ончейн-ресурсы ограничены, а использование офчейн-результата ИИ в ином случае требует доверия к оракулу.

Как работает zkML?

zkML преобразует прямой проход нейронной сети в систему арифметических ограничений, а затем доказывает, что существует допустимое присваивание, удовлетворяющее этим ограничениям.

Вот как модель проходит путь от обучения до проверяемого ончейн-результата:

1. Обучение: разработчик обучает модель обычным способом, офчейн, используя собственные данные и методы. zkML не меняет само обучение, а полученные веса остаются закрытой интеллектуальной собственностью.
2. Экспорт: готовая модель экспортируется в стандартный формат обмена, как правило ONNX или GGUF, который фреймворк доказательств может преобразовать в вычислительный граф слоёв и операций.
3. Квантование: Веса с плавающей запятой приближаются целыми числами с фиксированной запятой, поскольку ZK-схемы работают над конечными полями, а не с арифметикой IEEE 754; этот шаг стоит небольшой потери точности.
4. Компиляция: фреймворк арифметизирует граф, преобразуя матричные умножения, свёртки и нелинейные активации в схемы или системы ограничений, которые может обработать система доказательств.
5. Доказательство: проверяющая сторона (prover) выполняет вывод и формирует компактное доказательство того, что результат получен из зафиксированной модели и заданных входных данных, используя такие системы, как Halo2, GKR или аргументы на основе таблиц подстановки.
6. Проверка: Любой проверяющий — смарт-контракт, аудитор или устройство пользователя — сверяет доказательство с нулевым разглашением с публичными обязательствами, например хешем модели, подтверждая корректность без раскрытия весов или исходных данных.

Этап квантования заслуживает внимания, поскольку именно здесь криптографическая строгость сталкивается с реалиями машинного обучения. Преобразование арифметики с вещественными числами в модульную целочисленную арифметику обычно снижает точность примерно на 0,5–2 % в тестовых задачах, и большинство приложений принимают этот компромисс ради возможности доказательства.

Почему доказательство так дорого стоит

Проблема стоимости носит арифметический, а не случайный характер. Кодирование каждого умножения и активации в нейронной сети в виде ограничения резко увеличивает объём работы, поэтому ранние подходы zkVM имели накладные расходы от 100 000 до 1 000 000 раз выше нативного инференса.

Это значение резко снизилось. Специализированные провер-системы, ускорение на GPU и более умные системы доказательств сократили издержки примерно до 10 000 раз, а специализированные фреймворки теперь доказывают модели среднего размера за секунды, а не за часы. Именно траектория, а не текущая абсолютная стоимость, делает эту область инвестиционно привлекательной.

Нелинейные операции остаются упорным узким местом. Активации вроде ReLU и softmax, а также механизмы внимания в трансформерах дёшевы на оборудовании с плавающей запятой, но дороги в арифметизации, поэтому модели компьютерного зрения стали доказуемыми намного раньше языковых.

Фреймворки и инструменты zkML в 2026 году

Слой инструментов сконцентрировался вокруг нескольких серьёзных фреймворков, каждый из которых по-своему делает ставку на системы доказательств и целевые нагрузки. Вот проекты, задающие передовой уровень:

• DeepProve: библиотека Lagrange на основе GKR, полностью опубликованная с открытым исходным кодом в июне 2026 года, по результатам тестов генерирует доказательства в 54–158 раз быстрее, чем EZKL, а проверяет их до 671 раз быстрее.
• EZKL: давний рабочая лошадка с открытым кодом на базе Halo2, который принимает модели ONNX и выдаёт EVM-совместимые верификаторы, что делает его стандартной точкой входа для разработчиков без опыта в криптографии.
• zkPyTorch: компилятор Polyhedra, выпущенный в марте 2025 года, который напрямую подключается к стеку PyTorch, автоматически выполняет квантизацию и доказывает работу модели VGG-16 с 138 млн параметров примерно за 2,2 секунды.
• JOLT Atlas: подход от a16z, основанный на таблицах подстановки и адаптированный для операций машинного обучения; он делает упор на простое построение схем и показывает значительное ускорение даже до применения GPU.
• ZKTorch: исследовательский компилятор, использующий параллельное накопление доказательств; по сообщениям, он доказывает GPT-2 примерно в шесть раз быстрее прежних универсальных систем ZKML на идентичном оборудовании.
• zkVerify: уровень «верификация как услуга», поддерживающий несколько систем доказательств и позволяющий ИИ-конвейерам передавать проверку доказательств вовне, а не развёртывать отдельные контракты-верификаторы для каждой модели.

Эталон, изменивший ожидания

Веха Lagrange в июле 2025 года изменила представление о реалистичном. Команда завершила полный вывод GPT-2, трансформера с 124 млн параметров, став первой готовой к промышленному применению криптосистемой, доказавшей работу целой языковой модели от начала до конца.

Затем система перешла от демонстрации к внедрению. В июне 2026 года Lagrange открыла исходный код DeepProve, сообщив о более чем 12 млн созданных криптографических доказательств и свыше 3 млн проверенных сквозным образом ИИ-выводов, а также о партнёрствах с IBM, NVIDIA, Qualcomm, Oracle, Intel и AWS.

Тем не менее разрыв с передовыми моделями остаётся огромным, и никто всерьёз не утверждает обратного. GPT-2 меньше нынешних ведущих моделей на четыре порядка, поэтому доказательство работы современной передовой системы не просто дорого, а экономически абсурдно. Следующая заявленная цель Lagrange — открытые модели класса Llama и Gemma, а не что-либо из верхней части рейтинга.

Изменился наклон кривой, а не текущий потолок. Параллельное доказательство на кластерах провайдеров, переработка алгоритмов под GPU и многоразовые таблицы поиска — это рычаги, которые скорее всего обеспечат следующий скачок на порядок и постепенно подтянут open-модели среднего размера к границе доказуемости.

Сценарии использования zkML в криптоиндустрии

zkML важнее всего там, где результат работы ИИ влечёт финансовые последствия, а стороны не могут доверять друг другу. Эти приложения сегодня уже работают или близки к запуску:

• Проверяемые агенты: автономные ИИ-агенты, которые торгуют или управляют казной, могут доказать, что каждое решение следовало раскрытой модели, а не тайно подменённой, устраняя разрыв между принципалом и агентом.
• Частный кредитный скоринг: протокол кредитования может подтвердить, что оценка заёмщика превышает порог, не видя балансов, истории транзакций или личности, поскольку доказательство подтверждает корректную работу модели.
• Происхождение модели: API-провайдеры могут доказать, какая именно модель обработала запрос, что исключает скрытую подмену дорогой модели более дешёвой при выставлении счёта за дорогую.
• Децентрализованный вывод: сети, которые платят узлам за запуск моделей, используют zkML, чтобы проверять, что майнеры действительно выполнили заявленные вычисления, заменяя репутацию криптографическим расчётом.
• Биометрическая идентификация: такие системы, как World, могут позволить пользователям доказать, что новый биометрический шаблон получен из действительной регистрации, без централизованной повторной проверки и без раскрытия исходного скана.
• Подлинность контента: медиаконвейеры могут прикладывать доказательства того, что материал прошёл проверку раскрытой моделью обнаружения, давая регуляторам проверяемый след без раскрытия проприетарного классификатора.
• Целостность оракулов: ленты данных на основе ML могут подтверждать, что логика агрегации выполнена в заданном виде по всем источникам, укрепляя мост между офчейн-аналитикой и ончейн-расчётами.

Новые DeFi-приложения

Децентрализованные финансы — естественный первый рынок, поскольку они уже работают на допущениях о противодействии и на проверке с открытым исходным кодом. Системы управления рисками, биржи бессрочных контрактов и рынки кредитование всё чаще хотят использовать параметры на основе ИИ, не требуя от пользователей доверять «чёрному ящику».

Схема такова: автоматизация с приложенным доказательством. Модель ИИ оптимизирует коэффициенты обеспечения, пороги ликвидации или динамические комиссии, а прилагаемое доказательство позволяет контрактам протокола проверить, что параметры получены от проаудированной модели, а не от произвольного решения оператора.

Управление DAO — второе направление, где веса голосования на основе ML или симуляции предложений можно проверять, не раскрывая индивидуальные активы. Общая логика в том, что автоматизация допустима в системах без доверия, только если саму автоматизацию можно проверить.

Рынок zkML и ключевые проекты

Капитал и инфраструктура сосредоточились вокруг нескольких игроков, создающих стек проверяемого ИИ. Понимание того, кто чем занимается, помогает увидеть, где находится реальная активность сектора:

• Lagrange Labs: управляет сетью доказательств, в которой операторы делают stake, чтобы участвовать в торгах за генерацию доказательств; у неё есть набор операторов первого уровня, а DeepProve является флагманской библиотекой zkML для ИИ-вывода.
• Inference Labs: привлекла 6,3 млн долларов от инвесторов, включая Delphi и Mechanism, для создания Proof of Inference — протокола, защищающего ИИ-агентов с помощью криптографической верификации.
• Bittensor Subnet 2: крупнейший действующий децентрализованный кластер доказательств zkML, создавший более 160 млн доказательств с нулевым разглашением и стимулирующий разработку схем и оптимизацию провера.
• Polyhedra: предоставляет компилятор zkPyTorch и бэкенд доказательств Expander, расширяя границы удобства использования, чтобы ML-инженеры могли создавать доказательства без криптографической экспертизы.
• Giza: ориентирован на развёртывание верифицируемых моделей ончейн и работу автономных агентов, делая акцент на доступности для разработчиков, а не на максимальной пропускной способности доказательств.
• EZKL: поддерживает самый широко используемый набор инструментов с открытым исходным кодом, прошедший аудит Trail of Bits, и служит базовым ориентиром, с которым сравнивают себя новые средства доказательства.

Коммерческая картина неоднозначнее, чем признают и быки, и медведи. Цены токенов проверяемого ИИ сильно упали, а некоторые торгуются вблизи исторических минимумов, но только DeepProve уже верифицировал более трёх миллионов выводов и привлёк оборонных и корпоративных партнёров, включая Anduril, Lockheed Martin и IBM. Так что реальное использование растёт, даже когда публичные рынки занижают оценку сектора.

Регулирование и аргументы в пользу соответствия требованиям для zkML

Регуляторное давление — самый сильный довод в пользу верифицируемого ИИ за пределами крипто. Закон ЕС об ИИ возлагает на системы высокого риска обязанности по документации, прослеживаемости и контролю со стороны человека, а криптографические доказательства позволяют подтвердить корректность, не передавая аудиторам собственные модели.

В 2026 году сроки существенно изменились. Законодатели ЕС достигли политической договорённости 7 мая 2026 года об отсрочке наиболее строгих требований для систем высокого риска: системы из Приложения III, такие как кредитный скоринг и подбор персонала, переносятся на декабрь 2027 года, а системы, встроенные в продукты, — на август 2028 года, тогда как обязанности по прозрачности вступают в силу уже в 2026 году.

Эта отсрочка имеет два последствия для zkML. Она снимает ближайшую необходимость соблюдения требований, на которую рассчитывали поставщики, но также даёт технологии время созреть до наступления сроков, поскольку стоимость доказательств для действительно высокорисковых моделей сегодня остаётся неприятно высокой.

Главная мысль в том, что регулирование поощряет доказательства, а не заявления. Будет ли дата вступления в силу в 2026 или 2028 году, организациям в итоге придётся доказывать, что развёрнутая модель вела себя так, как задокументировано, а математическое доказательство надёжнее, чем заверение в политике.

zkML, цифровая идентификация и волна проверки возраста

Крупнейшее реальное применение криптографии с нулевым разглашением происходит вовсе не в криптоиндустрии. Оно происходит в цифровой идентификации благодаря требованиям проверки возраста, вводимым в Европе, Великобритания и других странах.

Это важно для zkML, поскольку создаёт инфраструктуру удостоверений, кошельков и общественную привычку, от которых в итоге будет зависеть верифицируемый ИИ, хотя эти две технологии решают разные задачи.

Глобальное внедрение ZK-идентификации

Европейская комиссия запустила бесплатное приложение для проверки возраста с открытым исходным кодом 15 апреля 2026 года. Оно построено на криптографии доказательств с нулевым разглашением, поэтому пользователи могут подтвердить, что достигли возрастного порога, не раскрывая дату рождения или личность. Семь государств-членов, включая Францию, Италию и Испанию, обязались его внедрить.

Инфраструктура под этим ещё масштабнее. Пересмотренный регламент eIDAS требует, чтобы каждое государство — член ЕС предложило кошелёк цифровой идентификации к концу 2026 года, и прямо поощряет криптографию, повышающую приватность, а закон Великобритании Online Safety Act и Закон о цифровых услугах создают давление правоприменения, из-за которого внедрение перестаёт быть добровольным.

Частный сектор действовал параллельно. Google интегрировала возрастную верификацию ZK в Google Wallet с Bumble в качестве партнёра по запуску и открыла исходный код своих библиотек ZKP, а Microsoft Research опубликовала Vega — собственную систему с нулевым разглашением для цифровых удостоверений личности.

Где zkML действительно применим

Стоит прямо отметить важное различие, поскольку его часто размывают. Доказательство того, что вам больше восемнадцати лет, по подписанному государственному удостоверению не предполагает нейронной сети, поэтому это криптография с нулевым разглашением, но не zkML. У них общая математика, но не механизмы.

Реальное пересечение лежит в оценке возраста. Платформы, на которые распространяются требования верификации, должны выбирать между оценкой на основе ИИ, которая сохраняет приватность, но ошибается в оценке людей, и загрузкой документов, которая точна, но превращает каждый сервис в «медовую ловушку» для государственных удостоверяющих данных. Microsoft Research называет это двойной западнёй.

zkML устраняет этот компромисс. Модель оценки возраста может работать локально на устройстве пользователя и выдавать доказательство того, что раскрытая модель честно обработала реальный скан лица, поэтому платформа узнаёт только булев результат, а изображение, биометрический шаблон и веса модели никогда не покидают телефон.

Chat Control и дискуссия о слежке

Та же криптография неоднозначно вписывается в спорные европейские предложения Chat Control, где обязательное сканирование личных сообщений обосновывают защитой детей. Клиентское сканирование и zkML обещают проверку без полного раскрытия данных, что делает такую подачу политически весомой.

Критики этих систем утверждают, что проверка с сохранением приватности нормализует сам спрос: система, которая постоянно просит пользователей подтверждать атрибуты, меняет доступ к интернету независимо от того, как мало данных раскрывает каждое отдельное подтверждение. Именно по этой причине организации по защите цифровых прав выступили против привязки проверки возраста к кошелькам с идентификацией.

Для zkML урок неприятный, но полезный. Криптографическая проверяемость — действительно мощный инструмент конфиденциальности, но она же способствует режимам соблюдения требований, а политический смысл технологии целиком зависит от того, доказательства чего решат требовать институты.

zkML и другие подходы к проверяемому ИИ

zkML — не единственный способ сделать результаты ИИ заслуживающими доверия, и часто не самый дешёвый. Понимание альтернатив помогает определить, где криптографическое доказательство действительно оправдывает свою стоимость:

• Доверенные среды выполнения: TEE запускают модели внутри защищённых аппаратных анклавов и подтверждают результат. Это даёт намного меньшие накладные расходы, но требует доверия к производителю чипа, а сама среда остаётся уязвимой для атак по побочным каналам.
• Оптимистичная верификация: системы исходят из того, что вычисления честны, и полагаются на участников, которые могут оспорить их в течение определённого окна. Это недорого, но вносит задержку и зависит от внимательных верификаторов с экономической мотивацией.
• Повторное выполнение для консенсуса: несколько узлов заново запускают один и тот же вывод и сравнивают результаты. Это простой подход, который многократно увеличивает вычислительные затраты и не позволяет сохранить конфиденциальность входных данных и весов.
• Полностью гомоморфное шифрование: FHE выполняет вычисления непосредственно над зашифрованными данными, обеспечивая высокую конфиденциальность, но требуя вычислительных затрат, которые для большинства задач машинного обучения сейчас превышают даже затраты zkML.
• Федеративное обучение: обучение проходит локально, а передаются только обновления, что защищает исходные данные, но не доказывает, что каждый участник вычислял честно. Это оставляет пробел в целостности, который может закрыть zkML.

Вероятный итог — сочетание подходов, а не один победитель. Гибридные решения, объединяющие ZK-доказательства и зашифрованные вычисления, уже обсуждаются для самых чувствительных облачных нагрузок: TEE могут обеспечивать пропускную способность, а zkML — подтверждать ответственные решения.

Риски и ограничения

Гарантии zkML реальны, но реальны и его ограничения, а честная оценка важнее энтузиазма в такой молодой области. Основные проблемы:

• Накладные расходы: даже при стоимости примерно в 10 000 раз выше нативного вывода доказательство остаётся слишком дорогим для передовых языковых моделей, поэтому в обозримом будущем zkML ограничен меньшими, чётко определёнными моделями.
• Потеря точности: Квантование весов с плавающей запятой в целые числа конечного поля обычно снижает точность на 0,5–2 %: для многих задач это приемлемый компромисс, но для приложений, критичных к точности, он неприемлем.
• Централизация провера: генерация доказательств всё больше зависит от кластеров GPU и специализированного оборудования, что концентрирует возможности у хорошо капитализированных операторов и подрывает децентрализацию, которой должна служить эта технология.
• Риск реализации: доказательство подтверждает лишь то, что схема выполнена корректно, но не то, что она верно отражает предполагаемую модель, поэтому ошибочная компиляция может давать уверенно подтверждённую бессмыслицу.
• Нехватка специалистов: отрасли нужны люди, одинаково хорошо владеющие криптографией и машинным обучением, — это узкое пересечение замедляет внедрение в компаниях независимо от качества инструментов.
• Разрыв в цене токенов: токены проверяемого ИИ торгуются вблизи исторических минимумов, несмотря на рост объёма доказательств, поэтому использование инфраструктуры и стоимость токена разошлись, и держатели не могут считать, что рост внедрения приведёт к росту цены.
• Конкурирующие стандарты: более лёгкие рамки доверия к агентам могут удовлетворить многие потребности в верификации без криптографического доказательства, забирая сценарии, которые, как ожидалось, займёт zkML.
• Фрагментация стандартов: конкурирующие системы доказательств и несовместимые наборы инструментов ограничивают interoperability, а без сближения внедрение может раздробиться между экосистемами, которые не могут проверять работу друг друга.

Выводы

zkML перешёл от исследовательской диковинки к работающей инфраструктуре. Доказан полный вывод GPT-2, модели компьютерного зрения среднего размера доказываются за секунды, а накладные расходы за примерно два года снизились на два порядка — быстрее, чем у большинства криптографических примитивов.

Честное ограничение состоит в том, что разрыв между доказуемым и внедрённым остаётся большим. Передовые модели на четыре порядка выходят за пределы экономической доступности, оборудование для генерации доказательств концентрируется у хорошо капитализированных операторов, а токены сектора торгуются намного ниже ожиданий периода финансирования, даже несмотря на рост объёма доказательств.

Стратегическая логика опирается на то, куда движется ИИ, а не на его нынешнее состояние. Автономные агенты начинают управлять реальным капиталом, регуляторы требуют подтверждаемого поведения моделей, а внедряемые сейчас по всей Европе идентификационные системы с нулевым разглашением незаметно превращают криптографическое доказательство в обычную инфраструктуру. Для тех, кто следит за сближением ИИ и криптовалют, zkML — это уровень, где эти траектории пересекаются.