研究者提出零知识谓词证明网关，在 MCP 与 Agent2Agent 上实现 Agent 间数据最小化

多智能体跨信任边界确立策略事实时，既不能传送敏感值，也不能把自然语言自述当作可验证证据。

• 出现场景：作者称智能体委派与跨边界交接快于安全架构。所引调查中，919 名从业者里 88% 报告一年内有确认或疑似智能体安全事件，82% 仍相信现有策略，约五分之一有运行时可见性；300 名企业领导者中 97% 预期十二个月内发生相关安全或欺诈事件。作者将风险称为 lethal trifecta：私有数据、不可信输入与对外通信或转发并存时，提示注入可外泄数据。
• 现有不足：作者称 OWASP 智能体 Top 10、MITRE ATLAS 与 Zero Trust 架构管的是谁可行动、可见性与事后检测，不管被允许交互里越过边界的数据。传原始值最大化暴露；自述不可验证、非确定、无可否认绑定，且声称通道与注入通道相同。
• 提出的系统：实现 Proof Gateway，用治理签名的谓词注册表、无 LLM 的验证网关、prover sidecar 和哈希链审计，交换范围、成员、阈值及布尔组合的证明而非数据。作者称现行互操作协议都不能携带这种证明，故提出 zk-attach/v0，并在 MCP 与 Agent2Agent 上共用验证路径。
• 威胁模型：
  • 环境与对手：主环境是单组织、跨内部信任边界；跨组织身份联邦不在范围，证明层相同。对手可攻陷 prover 的 LLM 上下文、篡改和重放消息、注册削弱谓词、事后改日志。
  • 假设与目标：网关及治理签名密钥未失陷；硬度假设为离散对数与随机谕言机 Fiat-Shamir。relying agent 只应得到谓词是否成立。作者写明范围证明只绑定承诺值，不绑定账本系统。

作者把这项工作放在已部署的零知识系统、智能体检测框架和智能体证明提案之间，并称私有数据上的策略证明概念来自 Aegis。

已部署的最小披露

• 智能体之外的零知识：作者称 Zcash 的屏蔽交易，以及消息与凭证系统中的零知识或最小知识设计，已在智能体系统之外规模化部署。作者称贡献不是新密码学，也不是把零知识用于智能体策略合规的第一项应用，而是该想法在智能体链路上的端到端、实测、带治理的实现。

智能体安全主流

• 身份、可见性与检测：论文讨论 OWASP 智能体应用 Top 10 及威胁分类、MITRE ATLAS、智能体 Zero Trust 架构和 NIST SP 800-207。作者的对比是：这些框架决定交互可否发生并观察它；网关减少被允许交互携带的数据。作者称 2026 年 OWASP 列表把不安全的智能体间通信和人-智能体信任利用列为具名风险，谓词证明针对其中的数据暴露成分。作者称 Narajala 与 Narayan（2025）的通用智能体威胁模型为 Section II 提供信息。

智能体系统中的证明

• Aegis：Adapala 与 Alugubelly（2025）用透明设置的 Halo2 证明私有智能体数据上的策略合规。作者称该概念由 Aegis 先提出；其评估是离散事件仿真，延迟从校准的对数正态分布抽样而非测量，且未处理谓词治理、重放或动作绑定、协议承载与审计链。
• 侧车、审计与身份层：Wu 与 Gong（2026）把零知识谓词证明作为污点传播架构的可选扩展，使用需要可信设置的 Groth16。Katkar 等（2026）的 NiyamAI 用 zk-SNARK 证明隔离 judge 执行正确，隐藏模型权重而非载荷。Jing 与 Qi（2025）在未修改的 MCP 上交换完整消息，事后把关于格式、类型计数和 token 用量的 zk-SNARK 交给第三方审计；作者称隐私针对审计方而非通信对端，且依赖可信设置。Huang 等（2025）将 DID、可验证凭证和 ZKP 用于身份与属性访问控制，作者称与数据载荷层正交。
• Proof of Execution：Rhodes 与 Kang（2026）用可信计算基内记录器产出的签名执行记录验证动作确已发生，不用零知识证明。作者称对方继承可信组件假设，这项工作继承承诺值假设。

可验证推理、综述与基线

• 推理证明：zkLLM、ZKML、相关综述以及 EZKL、RISC Zero 追求推理正确性的证明。作者称该项工作故意排除该层：证明对象是交换的数据，不是模型。局限中引用的生成时间约 15 分钟，对象是 13B 参数 LLM 推理。
• 架构综述：Stantchev（2026）考察对象能力安全、可验证计算、policy-as-code 和智能体支付协议，并称缺口在架构而非技术。作者称这项工作最好被读成用运行代码完成该议程的一部分，并报告哪条假设在练习之后仍然成立。
• 实验基线：可运行对照是同一网关上的 E1（Sigma 比特 OR）与 E2（Bulletproofs），案例谓词为 pretrade_notional_cap。Table IV 按证明对象、设置、评估、承载、审计和 source integrity 对比 Aegis、Dist. Sentinel、zk-MCP audit、NiyamAI、Proof of Execution 与这项工作，不是重跑那些系统得到的指标表。作者把区别写成：密码学被执行测量而非建模，承载在两种协议上演示，source integrity 被写明而不是留成隐含。

整体思路是 Proof Gateway：智能体交换治理谓词的零知识证明，而不是原始值或自述。Table I 把委派、工具调用、交接、记忆/RAG 和审计层的敏感字段换成谓词事实，日志只留承诺与证明哈希。

问题设定与谓词

• 语句：案例要证明的是知道承诺的打开，且私有值不超过公开上限。两套引擎都用 Pedersen 同态把不超过上限拆成两个范围语句：验证者自己计算上限承诺与 Cv 之差，证明者证明原值与差值都落在 0 到 2 的 n 次方之间。
• 公式：PoK{(v, r): Cv = vG + rH ∧ 0 ≤ v ≤ cap}。含义是证明知道值与盲化因子，值在 0 与上限之间，而不揭示该值。
• 两种引擎：E1 把每一位承诺成 0 或 1，用 Cramer-Damgård-Schoenmakers 的 OR 组合两个 Schnorr 证明，共用一个 Fiat-Shamir 挑战；差值的比特盲化被约束到与验证者算出的承诺一致，因此不再单独做链接证明。E2 直接证明这两个范围语句，或合成一条 2-聚合。作者选用 Bulletproofs 的理由是 32–64 bit 整数金额与其性能画像匹配，且无需可信设置。
• 案例参数：治理发布 pretrade_notional_cap 版本 1，名义金额以分计且不超过 10 的 9 次方，位宽 32；文中私有名义金额为 $7.35M。transcript 在任何承诺之前吸收请求上下文，从而绑到该谓词版本、nonce、订单引用和智能体对。

五个组件

• 谓词注册表：治理方持有。每条含标识、版本、类型（range_leq、集合成员、布尔组合）、参数（上限、位宽、单位）和所有者，并由治理密钥签名。作者给出的理由是：若智能体能自定义谓词，被攻陷者可以注册更松的检查。网关在发布时和每次读取时都验签。
• 证明网关：轻量、确定、不含语言模型。签发 nonce、请求号、谓词标识与版本、双方身份和时间戳，按注册表参数验证，并追加审计。它是唯一被信任来做验证的组件。
• sidecar 与审计：sidecar 位于数据持有者旁，接口为 prove(predicate, context)。审计项是前一项哈希与本项的 SHA-256 链，绑定承诺、证明哈希、谓词标识与版本、智能体身份、引擎和结果；敏感值不入账。
• 智能体：语言模型仍做编排，但不在信任路径上。

流程、槽位与默认拒绝

• 顺序：请求、签发上下文、从来源取值、承诺、生成证明、验证、追加审计、ALLOW 或 DENY（Figure 3）。
• 绑定与新鲜度：Fiat-Shamir 在承诺之前吸收完整上下文，包括被授权动作的引用。换 nonce、动作、智能体对或谓词版本则验证失败。nonce 由网关签发；除非部署明确允许预签发，证明者不能为未来请求预计算。
• 槽位：作者称 MCP、Agent2Agent 和函数调用模式都只认证主体。zk-attach/v0 是向后兼容附件，放在 MCP 的 tools/call 参数或 A2A 消息部分，两面共用一个端点。附件含模式名、谓词标识与版本、引擎、请求上下文和证明；敏感参数省略或换成引用。已注册谓词若缺少必需附件则默认拒绝。Section VII 的证明文档是同一信封的可选成员，不另起模式版本。
• 两种拓扑：范围证明只绑定承诺值。拓扑 A 被作者标为优先：sidecar 与 source of truth 同地，编排智能体不持有值，来源再对承诺签名。拓扑 B：来源返回值以及对承诺打开的签名；智能体本地仍能看见值，但值离开智能体间流量。两条都还假设受治理通道是到达受保护动作的唯一路径。

多跳与双向飞地绑定

• 多跳与扩展：逐跳各自验证则延迟相加、审计更细；或在信任边界做 Bulletproofs 聚合，大小只增加 O(log m)，一次验证清边界，审计更粗，证明方工作随 m 线性增长。验证无状态，持有治理公钥的副本都可验证。作者称去中心化验证只有在审计完整时才健全，例如把签名回执写入共享的只追加日志；策略定义仍集中，作者称这是治理控制而不是扩展事故。
• 双向绑定：方向 A 把飞地 report_data 设为承诺、谓词标识、版本、nonce 与动作引用的 SHA-384，使证明文档不能配到另一承诺或请求。方向 B 在生成任何承诺之前，让 Merlin transcript 吸收证明文档的 SHA-256，使证明不能挂到被替换或未证明的文档上。作者称两个方向从两端扣同一环，缺一不可。
• 同一 nonce：Figure 6 中，网关签发的同一个 nonce 既绑证明上下文，也进入飞地证明调用，到期时间相同。作者称若允许二者分歧，可以把新证明文档配上仍有效的旧证明，或相反。prover_measurement 携带期望测量值，由签署阈值谓词的同一治理密钥做 Schnorr 签名，并同样版本化。是否要求测量由注册表决定，与信封是否携带证明文档是两条独立轴。
• 原型状态：构造接进两条协议面的受治理路径，按部署可选。当前证明权威是 mock。作者把换成硬件文档描述成改变签发者与校验成本，而不是改变消费文档的状态机；硬件计时不在方法节当作已测结果。

测量来自一台虚拟化 vCPU 上的单次记录运行；对抗、双协议和 mock 飞地检查以通过或拒绝计。

实验设置

• 运行环境：中位数，单核虚拟化 vCPU。容器报告为 Intel Xeon、报告主频 2.10 GHz、4 GB 内存、Linux 6.18（Ubuntu 24.04）、Python 3.12、rustc 1.75（opt-level=3，lto）。作者称该 CPU 字符串不是物理型号，绝对时间随主机变化，数字是可行性证据不是生产基准。
• 两套引擎：E1 为约 300 行纯 Python 的 Sigma 协议（secp256k1 上的 Pedersen 比特分解、CDS OR、Fiat-Shamir）；E2 为 Rust dalek Bulletproofs，群为 ristretto255。论文未使用命名的语言模型作为被测模型或评审模型。
• 案例谓词：pretrade_notional_cap@v1，名义金额以分计且不超过 10^9（作者写 $10M 上限），32-bit；诚实私有名义金额 $7.35M；超限例为 $12.5M。
• 指标与判定：证明大小、生成时间、验证时间；E1 进程内端到端的 p50 与 p95。验证是确定性算法。论文未报告语言模型评审、人工一致性或独立重复次数。
• 协议表面：一个端点同时提供 MCP 与 Agent2Agent。实时 JSON-RPC 上有五类 MCP 场景；A2A 用 Agent Card 把动作宣传为 skill，message/send 的数据部分携带附件。两面共用上下文签发者、验证链和审计日志。
• 飞地与集群：Rust 中的 attest-prove、attest-verify、attest-measurement。证明权威是 mock。可复现性声明称在本地 Kubernetes 集群上安装并运行所描述的部署。

主结果

据 Table II，单条语句 v 属于 [0, 2^n)，中位数：

Swipe horizontally to read the table

引擎	n	大小	证明	验证
Bulletproofs（E2）	8	480 B	1.9 ms	0.42 ms
Bulletproofs（E2）	16	544 B	3.3 ms	0.62 ms
Bulletproofs（E2）	32	608 B	6.2 ms	1.02 ms
Bulletproofs（E2）	64	672 B	11.5 ms	1.78 ms
Sigma bit-OR（E1）	8	7.1 KB	191 ms	194 ms
Sigma bit-OR（E1）	16	14.1 KB	362 ms	376 ms
Sigma bit-OR（E1）	32	28.3 KB	749 ms	766 ms
Sigma bit-OR（E1）	64	56.5 KB	1.45 s	1.50 s

• 渐近：作者称 E2 在 n 每次加倍时增加 64 字节，与所引 dalek 公式一致；E1 随 n 线性变大。Figure 4 图注称这是金融位宽上选用 Bulletproofs 的实际理由；图中读数未在正文另列。
• 预算映射：作者把 E2 放进自己所写的 10–50 ms 实时工具调用预算，并把 100 ms–1 s 的交接预算说成连双侧生成加验证仍有余量；审计重验证被写成每条 1–2 ms。论文未报告真实智能体循环里的测量。作者称 E1 除离线审计外不可承受，并应视为教学引擎。
• 摘要对照：摘要将 32-bit 阈值谓词写成证明 6.2 ms、验证 1.0 ms、608 字节。Table II 的 n=32 证明时间与大小相同，验证时间为 1.02 ms。Section V-C 亦写案例信封中的证明为 608 字节。

聚合与端到端延迟

• 测了什么：Table III 比较 m 条 64-bit 语句合成一条 Bulletproofs 证明，与 m 份单独证明。m 取 1、2、4、8、16。Figure 5 展示这一对比，读数以表为准。
• 结果：m=16 时聚合大小 928 B、验证 13.7 ms，单独证明合计 10,752 B、验证 28.5 ms。作者称证明时间大致随 m 线性增长，m=16 时约 173 ms。作者在 IV-E 称验证时间大约减半，在 VI-B 称体积约小 11.6 倍、验证约快 2.1 倍。
• 解读：作者主张边界处异步聚合，而不是放进环内。Section V 案例用 E1 跑完全程（注册表签名复查、签发上下文、证明、验证、审计追加，进程内）p50 1,514 ms、p95 1,538 ms。同一流程在 E2 上被写成约 6 ms 证明加 1 ms 验证再加 I/O 为界，论文未给 E2 的 p50/p95。

对抗实验与双协议承载

• 进程内十一项：T0 诚实基线通过验证。T1 持有 $12.5M 的证明者不能从诚实 API 取得证明。T2 响应标量翻转一个比特，以及互换两个比特承诺，均被拒绝。T3 换 nonce 重放失败。T4 换谓词版本重放失败，作者称策略更新因此使旧证明失效。T5 未签名谓词、以及非治理密钥签名的谓词，发布均被拒绝。T6 事后改一条审计记录会打断哈希链并被发现。T7 对 OR 证明做 2,000 次随机伪造，接受次数为 0；对 E2 的同类篡改与跨上下文测试亦被拒绝。
• 活通道：五类 MCP 场景为合规订单、无附件调用、被篡改的证明、把有效证明重放到另一订单、超上限名义金额。作者称它们确认默认拒绝、一次性上下文绑定和端到端审计结果。A2A 上获准的订单落入 MCP 表面所报告的同一账本。摘要称十一项对抗实验和十九项协议检查通过；Section VI-D 在双协议表面之后称共计十九项检查通过。
• 作者解读：T7 是实现抽查，不是安全性证明；作者称健全性依赖所引构造。两套协议面的保证被写成网关的性质，而不是任一协议的性质。

飞地绑定与网络隔离

• 测了什么：Section VII 的双向绑定、六步验证链、治理签名的 prover_measurement，接入 MCP 与 A2A，按部署可选。权威是 mock：Ed25519 签名文档，根种子可公开导出，代替硬件信任根。
• 结果：作者称 21 个单元测试覆盖三个 attest 入口；六步链按序执行，前提失败则在该步拒绝。一次早期实现里，证明者总是出具证明文档，网关却只在注册了测量谓词时走带证明的验证路径，两种 transcript 不同，于是没有测量策略时证明全部验证失败。作者称该缺陷由重跑端到端套件发现，不是单元测试发现；修复后是否走带证明的 transcript 跟随信封，测量策略仍由注册表决定。
• 作者解读：mock 不建立安全性质，也不说明控制平台的对手。作者称被推迟的是硬件计时和平台信任根，不是状态机设计。可复现性声明称：网络策略生效时连接失败，撤销后成功。论文未报告该观察的连接次数。

其他消融与分析

• Table III：m=2 聚合 736 B、验证 2.9 ms，对照 1,344 B 与 3.6 ms。
• m=4：800 B、4.3 ms，对照 2,688 B 与 7.1 ms。
• m=8：864 B、7.4 ms，对照 5,376 B 与 14.2 ms。
• m=1 与单条 64-bit 同为 672 B、验证 1.8 ms。
• 否定例：诚实证明 API 在谓词为假时拒绝出证明（$12.5M 大于上限）。
• 填充、批处理与私有信息检索：作者称未在本文评测。

作者指出的局限与后续方向

• 非电路谓词：范围、集合成员、阈值和布尔组合只覆盖企业策略的一部分；作者举例的模糊判断不能干净地变成算术语句。语言模型必须判断时，架构可以绑定并审计判断的输入输出，但不能让判断本身可证明（Section VIII.1）。
• 协议槽尚未成为标准：zk-attach/v0 是提案。作者称 MCP、A2A 和函数调用各自都需要向后兼容扩展，并把标准化看成最直接的下一步；所引 MCP 分析已把缺少能力证明标成规范缺口（Section VIII.2）。结论重复标准化这一步。
• 元数据：零知识掩的是见证，不是流量。调用了哪个谓词、由谁、多频繁、何时，对网关和网络观察者仍可见。作者举例：一阵 pretrade_notional_cap 检查会暴露交易活动。填充、批处理、私有信息检索被写成正交缓解，此处未评测（Section VIII.3）。
• 治理操作模型：谁定义谓词、策略变更时版本如何滚动（版本绑定使过期证明失败关闭，但迁移窗口需要政策）、证明失败时硬拒绝还是人工升级，都未解决。作者称提案提供机制，不提供操作模型（Section VIII.4）。
• 硬件证明未测：构造已对 mock 权威测试。作者称换成真实硬件会引入三件尚未测量的事：网关侧证书链校验成本、信封从 608 字节证明变成由多千字节证明文档主导、以及重建 prover 会改变测量值从而使已注册值失效。在此之前，来源完整性仍靠 Section IV-C 拓扑 A 或 B 的部署纪律（Section VIII.5）。结论把 Nitro Enclaves 与 Confidential Space 上的运行和测量列为下一步。
• 输入通道与推理证明：构造认证哪个二进制产出了承诺，不单独认证喂给它的输入。作者规定飞地须在自身内存中终结到账本的加密通道，并称这是规定而非测量（Section VIII.6）。可验证语言模型推理被明确排除；作者引用约 15 分钟生成 13B 参数推理证明，对照上文 6.2 ms 的谓词证明，并写成未来工作（Section VIII.7）。

实验覆盖范围

• 计算与重复：Table II、Table III 与端到端数字来自一台虚拟化 vCPU 上的单次记录运行、取中位数（Section VI-A）。论文未报告独立重复次数。
• 引擎与谓词：被测引擎为 E1（纯 Python Sigma，secp256k1）与 E2（dalek Bulletproofs，ristretto255）。正文给出数字的语句是范围与阈值；聚合实验为 m 条 64-bit 范围语句，m=1、2、4、8、16。结论把集合成员和布尔组合的实测列为后续，实验节未给出这些类型的数字。
• 案例与对抗：案例为 pretrade_notional_cap@v1，上限 10^9 分，诚实值 $7.35M，超限值 $12.5M。进程内对抗为 T0–T7，其中 T7 为 2,000 次尝试。MCP 为五类场景，A2A 为 message/send（Section VI-D）。
• 飞地与隔离：飞地路径使用可公开导出根种子的 mock Ed25519 权威，21 个单元测试，并可选接入 MCP 与 A2A（Section VII-D）。论文未报告真实 Nitro 或 Confidential Space 上的时延。本地 Kubernetes 上，作者称以策略生效时连接失败、撤销后成功来确认 prover 隔离。
• 对照形式：Table IV 比较的是文献系统的性质，不是把 Aegis 等系统重跑后的指标。论文未报告语言模型评审或人工一致性；验证被写成确定性算法。

Proof Gateway 是一套已运行的智能体间数据最小化机制：用治理谓词的零知识证明代替原始值和自然语言自述。

• 问题：跨信任边界时，传值会过度暴露，自述则可被提示注入、非确定、且不能事后重验。作者把 source integrity——证明绑定承诺值而不绑定账本——而不是证明开销，写成密码学策略执行的绑定约束。
• 方法：治理签名的注册表定义谓词；无语言模型的网关签发 nonce 并验证；sidecar 出证明；哈希链只记承诺与证明哈希。zk-attach/v0 接到 MCP 和 Agent2Agent。阈值用 Pedersen 同态拆成两个范围证明。飞地构造用同一 nonce，使证明文档承诺到承诺值，证明的 transcript 再承诺到证明文档；期望测量值也由治理密钥签名。当前权威是 mock。
• 结果：一台 vCPU 上，E2 对 32-bit 单语句的中位时间为证明 6.2 ms、验证 1.02 ms，大小 608 B（Table II）；摘要把验证写成 1.0 ms。E1 在 n=32 为 749 ms / 766 ms、28.3 KB，案例端到端 p50 1,514 ms。m=16 的 64-bit 聚合为 928 B、验证 13.7 ms，对照 10,752 B 与 28.5 ms（Table III），证明约 173 ms。T7 在 2,000 次伪造中接受 0 次。摘要称十一项对抗实验与十九项协议检查通过；Section VI-D 称共计十九项检查通过。
• 作者结论：作者认为被攻陷的智能体仍可在散文里说谎，但不能为假谓词交出可验证证明，也不能把旧证明重放到新请求或新策略版本，或自行注册更弱策略。下一步被写成真实飞地硬件测量、输入通道实现、zk-attach/v0 标准化，以及更广的企业谓词目录；可验证推理仍是更远期的工作。