什么是零知识机器学习（zkML）？
零知识机器学习是一种密码学技术，使一方能够证明某个 AI 模型已被正确执行并产生了特定输出，而无需披露模型权重、输入数据或任何中间计算。它将正确性声明转化为任何人都可以验证的数学对象。
它解决的是结构性问题。当您查询托管模型时，您把数据发送到服务器并收到结果，却无法确认实际运行的是哪个模型、输出是否被篡改，或提供方是否换成了更便宜的模型。您只能完全信任对方，而当输出涉及财务、医疗或法律分量时，这种做法难以接受。
zkML 用验证取代了这种信任。模型运营方在每次推理时生成一个简洁的密码学证明，证明某个特定的已承诺模型处理了特定输入并得出特定输出。该证明不包含任何机密，但任何第三方，包括智能合约，都可以在几毫秒内验证它。
这种不对称性使其具有可行性。计算成本可能很高，而验证成本始终很低：证明方可能要花费数小时的 GPU 算力来生成证明，但验证凭证只需不到 1 秒。这种差异正是区块链所需要的，因为链上资源稀缺，而要使用链下 AI 输出，否则就需要信任预言机。
zkML 如何运作？
zkML 将神经网络的前向传播转换为一组算术约束，然后证明存在满足这些约束的有效赋值。
模型从训练到生成可验证的链上输出的过程如下：
- 训练：开发者使用专有数据和技术，以常规方式在链下训练模型。zkML 不会改变训练本身，所得权重仍属于私有知识产权。
- 导出：完成的模型会导出为标准交换格式，通常是 ONNX 或 GGUF，证明框架可将其解析为由各层和运算组成的计算图。
- 量化：浮点权重被近似为定点整数，因为 ZK 电路在有限域上运算，而非 IEEE 754 算术，这一步会损失少量精度。
- 编译：该框架将计算图算术化，把矩阵乘法、卷积和非线性激活转换为证明系统可以处理的电路或约束系统。
- 证明：证明者执行推理，并使用 Halo2、GKR 或基于查找的论证等系统，生成简洁证明，用以证明输出源自已承诺的模型和给定的输入。
- 验证：任何验证方，无论是智能合约、审计方还是用户的设备，都会将零知识证明与模型哈希等公开承诺进行比对，在不暴露权重或原始数据的情况下确认其正确性。
量化步骤值得关注，因为这里是密码学的严谨性与机器学习现实相遇的地方。将实数运算转换为模整数运算，通常会在基准任务上带来约0.5至2%的精度损失，大多数应用都愿意以此换取可证明性。
为什么证明成本如此高昂
成本问题是算术层面的，而非偶然。把神经网络中的每一次乘法和激活都编码为约束，会使工作量大幅膨胀，这也是早期 zkVM 方案的开销达到原生推理的 10万 至 100万 倍的原因。
这一数字已大幅下降。专用证明器、GPU 加速和更智能的证明系统已将额外开销压低至接近1万倍的水平，专门的框架现在可在数秒而非数小时内证明中等规模的模型。使该领域值得投资的，是这一发展轨迹，而不是当前的绝对成本。
非线性运算仍是顽固的瓶颈。ReLU 和 softmax 等激活函数，以及 Transformer 中的注意力机制，在浮点硬件上成本很低，但算术化的成本很高，这也是视觉模型比语言模型更早实现可证明的原因。
2026 年的 zkML 框架与工具
工具层已整合为少数几个成熟的框架，每个框架在证明系统和目标工作负载上各有不同的取舍。以下是代表当前最先进水平的项目：
- DeepProve：Lagrange 基于 GKR 的库，已于 2026年6月完全开源，基准测试显示其生成证明的速度比 EZKL 快 54 至 158 倍，验证速度最高快 671 倍。
- EZKL：长期存在的 开源主力工具，基于 Halo2 构建，可读取 ONNX 模型并生成兼容 EVM 的验证器，是没有密码学背景的开发者的默认入门选择。
- zkPyTorch：Polyhedra 于 2025年3月发布的编译器，可直接接入 PyTorch 技术栈，自动处理量化，并在大约 2.2 秒内证明 1.38亿 参数的 VGG-16。
- JOLT Atlas：这是一种源自 a16z、以查找表为核心的方法，经调整后用于机器学习运算，优先考虑简单的电路构建，即使在应用 GPU 加速之前也实现了显著的提速。
- ZKTorch：一种采用并行证明累积的研究型编译器，据报道在相同硬件上证明 GPT-2 的速度比早期通用 ZKML 系统快约六倍。
- zkVerify：一个支持多种证明系统的验证即服务层，让 AI 流程可以将证明检查外包，而无需为每个模型部署定制的验证合约。
改变预期的基准
Lagrange 在 2025 年 7 月的里程碑重新定义了什么才算现实可行。团队完成了GPT-2 的完整推理，这是一个拥有1.24亿参数的 Transformer 模型，使其成为首个端到端证明整个语言模型的可投入生产的加密系统。
该系统随后从演示走向部署。Lagrange 于 2026 年 6 月开源了 DeepProve，披露已生成超过 1200万 个密码学证明，并端到端验证了超过 300万 次 AI 推理，同时与 IBM、NVIDIA、Qualcomm、Oracle、Intel 和 AWS 建立了合作关系。
尽管如此，前沿差距依然巨大，也没有人能可信地否认这一点。GPT-2 比当今领先的模型小四个数量级，因此证明一个现代前沿系统不仅成本高昂，而且在经济上是荒谬的；Lagrange 公布的下一个目标是 Llama 和 Gemma 级别的开源模型，而不是排行榜顶端的任何模型。
改变的是曲线的斜率，而不是当前的上限。跨证明者集群的并行化证明、面向 GPU 的原生算法重新设计以及可复用的查找表，是最有可能带来下一个数量级突破的杠杆，将逐步把中等规模的开源模型拉入可证明的范围。
zkML 在加密货币领域的应用场景
当 AI 输出涉及财务后果且各方无法互相信任时，zkML 的价值最大。以下应用目前已上线或即将投入生产：
- 可验证的智能体：进行交易或管理资金库的自主 AI 智能体可以证明每项决策都遵循了已披露的模型，而不是被暗中替换的模型，从而弥合委托代理差距。
- 隐私信用评分：借贷协议无需查看余额、交易历史或身份，即可确认借款人的评分达到门槛，因为证明可以确认模型运行无误。
- 模型溯源：API 提供方可以证明实际由哪个模型处理了请求，防止在按昂贵模型计费时暗中替换为更便宜的模型。
- 去中心化推理：向节点付费运行模型的网络使用 zkML 来验证矿工确实完成了所声称的计算，以加密结算取代声誉机制。
- 生物识别身份：像 World 这样的系统可以让用户证明新的生物识别模板源自有效的注册信息，而无需集中式重新验证，也不会暴露底层扫描数据。
- 内容真实性：媒体处理流程可以附上证明，表明某项资产已通过公开披露的检测模型，从而在不暴露专有分类器的情况下，为监管机构提供可审计的记录。
- 预言机完整性：由机器学习驱动的数据源可以证明聚合逻辑已按规定跨多个来源执行，从而加固链下智能与链上结算之间的跨链桥。
新兴 DeFi 应用
去中心化金融是天然的首个市场，因为它本来就建立在对抗性假设和开源验证之上。风险引擎、永续合约交易所和借贷市场越来越希望采用 AI 驱动的参数，同时又不要求用户信任一个黑箱。
这种模式称为附带证明的自动化。AI模型优化抵押率、强制平仓阈值或动态费用，随附的证明让协议合约能够验证这些参数来自经过审计的模型，而不是运营方的自行改动。
DAO 治理是第二个前沿领域，基于机器学习的投票权重或提案模拟可以在不暴露个人持仓的情况下得到验证。其统一逻辑是，只有自动化本身可以被检验，它在无需信任的系统中才是可接受的。
zkML 市场与重点项目
资本和基础设施已集中在少数构建可验证 AI 技术栈的参与者周围。了解各方的分工，有助于看清该领域真正的活跃所在：
- Lagrange Labs：运营一个证明网络，运营者通过质押来竞标生成证明，拥有一流的运营者集合，并以 DeepProve 作为其面向 AI 推理的旗舰 zkML 库。
- Inference Labs：从包括 Delphi 和 Mechanism 在内的投资者处融资 630万美元，用于构建 Proof of Inference，这是一种通过密码学验证来保护 AI 智能体的协议。
- Bittensor 子网 2：目前运行中规模最大的去中心化 zkML 证明集群，已生成超过 1.6亿 个零知识证明，同时激励电路设计和证明器优化。
- Polyhedra：提供 zkPyTorch 编译器和 Expander 证明后端，拓展了易用性的边界，使机器学习工程师无需密码学专业知识即可生成证明。
- Giza：专注于在链上部署可验证模型并为自主智能体提供支持，更看重开发者易用性，而非原始证明吞吐量。
- EZKL：维护着采用最广泛的开源工具包，已由 Trail of Bits 审计，是新型证明器进行基准比较的参照。
商业层面的情况比多头或空头所承认的都更为复杂。可验证 AI 代币的价格遭受重创，其中数个接近历史低点，但仅 DeepProve 就已验证超过三百万次推理，并吸引了包括 Anduril、Lockheed Martin 和 IBM 在内的国防与企业合作伙伴，因此即使公开市场对该板块给予折价，真实使用量仍在不断累积。
监管与 zkML 的合规论据
监管压力是支持可验证 AI 的最有力的非加密论据。欧盟 AI 法案对高风险系统规定了文档记录、可追溯性和人工监督义务，而加密证明提供了一种无需向审计方交出专有模型即可证明正确性的方式。
2026 年，时间表发生了重大变化。欧盟立法者于 2026 年 5 月 7 日达成政治协议，推迟最严格的高风险义务：信用评分和招聘等附件 III 系统推迟至 2027 年 12 月，产品嵌入式系统推迟至 2028 年 8 月，而透明度义务仍将在 2026 年生效。
这种延期对 zkML 来说利弊兼有。它消除了供应商原本指望的近期合规紧迫性，但也为该技术在截止日期到来之前走向成熟争取了时间，因为目前真正高风险模型的证明成本仍然高得令人不安。
更深层的要点是，监管更看重证据而非主张。无论执法日期是2026年还是2028年，机构最终都需要证明已部署的模型按文档所述运行，而数学证明比政策声明更有说服力。
zkML、数字身份与年龄验证浪潮
零知识密码学最大规模的现实应用并不出现在加密货币领域，而是出现在数字身份领域，其推动力来自欧洲、英国及其他地区陆续推行的年龄验证要求。
这对 zkML 很重要，因为它构建了可验证 AI 最终所依赖的凭证通道、钱包基础设施和公众认知，尽管这两种技术解决的是不同的问题。
全球 ZK 身份认证的推广
欧盟委员会于2026年4月15日推出了一款免费的开源年龄验证应用，该应用基于零知识证明密码学构建，用户可以在不透露出生日期或身份的情况下证明自己达到年龄门槛。包括法国、意大利和西班牙在内的七个成员国已承诺集成该应用。
其背后的基础设施规模更大。修订后的 eIDAS 条例要求每个欧盟成员国在 2026 年底前提供数字身份钱包，并明确鼓励增强隐私的密码学，而英国的《在线安全法》和《数字服务法》则提供了执法压力，使采用成为必选项。
私营行业也在同步推进。Google 将 ZK 年龄验证集成到 Google Wallet，并以 Bumble 作为首发合作伙伴，同时开源了其 ZKP 库；Microsoft Research 则发布了 Vega，这是其自有的用于数字身份凭证的零知识系统。
zkML 的实际适用场景
有一个重要的区别值得明确说明，因为它经常被混淆。根据政府签发的签名凭证证明您已年满十八岁，并不涉及神经网络，因此它属于零知识密码学，但不是 zkML。二者共享数学原理，而非实现机制。
真正的交集在于年龄估算。面临验证要求的平台必须在基于 AI 的估算与上传证件之间做出选择：前者能保护隐私但会误判用户，后者准确但会使每项服务都成为政府身份数据的“蜜罐”。Microsoft Research 将此称为双重困境。
zkML 正是化解这一两难的方法。年龄估算模型可以在用户设备本地运行，并生成证明，表明已披露的模型对真实人脸扫描执行无误，因此平台只能得知布尔结果，而图像、生物特征模板和模型权重始终不会离开手机。
Chat Control 与监控之争
同样的密码学技术在欧洲备受争议的 Chat Control 提案中显得颇为尴尬，该提案以保护儿童为由，为强制扫描私人消息提供正当理由。客户端扫描和 zkML 都承诺在不大规模暴露数据的前提下完成验证，这使这种说法具有很强的政治影响力。
这些框架的批评者认为，保护隐私的验证方式使这种要求本身变得常态化，因为一个反复要求用户证明自身属性的系统，无论每次证明泄露的数据多么少，都会重塑互联网的访问方式。数字权利组织正是出于这一原因，反对将年龄核验与身份钱包挂钩。
对 zkML 而言，这一教训令人不适却很有用。密码学可验证性确实是一种强大的隐私工具，但它同时也是合规制度的推动因素，而这项技术的政治含义完全取决于各机构选择要求证明什么。
zkML 与其他可验证 AI 方法的比较
zkML 并不是让 AI 输出值得信赖的唯一方法，而且往往也不是成本最低的方法。了解其他替代方案，有助于看清密码学证明在哪些场景下真正物有所值：
- 可信执行环境：TEE 在安全硬件隔离区内运行模型并对结果出具证明，开销低得多，但需要信任芯片供应商，并且仍可能遭受侧信道攻击。
- 乐观验证：系统假定计算是诚实的，并依靠挑战者在一个时间窗口内提出异议，这种方式成本低，但会带来延迟，并依赖于保持警惕且有经济动机的验证者。
- 共识重执行：多个节点重新运行同一推理并比较输出，这种方法简单直接，但会成倍增加计算成本，且无法保护输入或权重的隐私。
- 全同态加密：FHE 直接对加密数据进行计算，可提供 强隐私性，但性能开销目前甚至超过 zkML，适用于大多数机器学习工作负载。
- 联邦学习：训练在本地进行，仅共享更新，从而保护原始数据，但无法证明任何参与者是否诚实计算，这留下了完整性缺口，而 zkML 可以填补这一缺口。
可能的结果是多种技术组合，而不是单一赢家。将 ZK 证明与加密计算结合的混合方案，已经在针对最敏感的云端工作负载进行讨论，TEE 可能负责吞吐量，而 zkML 则为高风险决策提供锚定。
风险与局限
zkML 的保证是真实的，但其局限同样存在，在这样一个早期领域，客观评估比热情更重要。主要的担忧包括：
- 成本开销：即使证明成本约为原生推理的1万倍，对于前沿语言模型来说仍然过于昂贵，因此在可预见的未来，zkML 只能局限于较小且定义明确的模型。
- 精度损失：将浮点权重量化为有限域整数通常会损失 0.5至2% 的精度。对许多任务来说这是可以接受的取舍，但不适用于对精度要求极高的应用。
- 证明者中心化：证明生成越来越依赖 GPU 集群和专用硬件，使能力集中在资金雄厚的运营方手中，削弱了这项技术本应服务的去中心化。
- 实现风险：证明只能证明电路已正确执行，并不能证明该电路忠实地代表了预期模型，因此有缺陷的编译可能产生经过验证却毫无意义的结果。
- 人才稀缺：该领域需要同时精通密码学和机器学习的人才，这一狭窄的交叉领域会拖慢企业采用的速度，无论底层工具变得多好。
- 代币价格脱节：尽管证明量不断增长，可验证 AI 代币仍在接近历史低点的价位交易，说明基础设施使用量与代币价值已经脱钩，持有者不能假定采用率会转化为价格上涨。
- 竞争标准：更轻量的智能体信任框架可能无需密码学证明就能满足许多验证需求，从而抢占 zkML 原本预期占据的应用场景。
- 标准碎片化：相互竞争的证明系统和互不兼容的工具链限制了互操作性，如果无法趋同，应用采用可能会分裂到彼此无法验证对方工作的生态系统中。
总结
zkML 已从研究层面的新奇事物发展为可用的基础设施。完整的 GPT-2 推理已被证明，中等规模的视觉模型可在数秒内完成证明，开销在大约两年内下降了两个数量级，改进速度快于大多数密码学原语。
客观的制约在于，可证明的内容与已部署的内容之间仍有很大差距。前沿模型的成本比经济可承受范围高出四个数量级，证明器硬件正集中在资金雄厚的运营方手中，而且即使证明数量不断攀升，该领域的代币交易价格仍远低于融资时期的预期。
战略上的理由在于 AI 的发展方向，而非其现状。自主代理已开始调动真实资金，监管机构要求模型行为可被证明，而目前在欧洲部署的零知识身份基础设施正悄然使密码学证明成为日常基础设施。对于关注AI 与加密货币融合的人来说，zkML 正是这些趋势的交汇层。
