AI 监督能否做到零知识？论文证明一般情形下不可行

不要求验证比计算更简洁时，谕示辅助计算能否对机密 witness 零知识验证。

• 场景：作者以适任评估和药物发现为例：结论依赖医师判断或实验室测定，病历或分子结构却应保密。作者认为，即使堵住已有泄露，验证本身仍可能暴露这些数据。
• 既有缺口：可扩展监督把外部资源建模为谕示，用交互式证明追求验证者远快于计算。作者称一般谕示计算无法简洁验证（BCG25），既有协议因此另加假设。本文允许验证时间为计算的多项式，改问能否零知识。
• 观察：作者认为正确性与隐藏 witness 冲突。随机谕示上有一种计算，正确协议会把验证者自己算不出的合法 witness 暴露给它。
• 本文给出：随机谕示模型中不存在覆盖全部谕示辅助计算的 witness-hiding 相对化论证，且不要求简洁验证；该结论延伸到 debate。若谕示对答案签名，则在抗碰撞哈希下，每个此类计算都有多项式时间的零知识单证明者论证，验证简洁。作者称这不靠诚实对手，也不靠计算稳健。
• 威胁模型：
  • 目标：证明者持有 w，验证者只见 x，要确认存在 w 使 Df(x,w)=1，且除声明外学不到 w。
  • 削弱后的要求：可靠性只针对多项式时间作弊证明者；隐私只要求 witness hiding，允许部分信息，但不得恢复完整合法 witness 或同等替代数据。
  • 知识：随机谕示模型，双方查询同一谕示。形式定理排除 poly(λ,t(n)) 资源；摘要另行称即使远慢于计算本身也不行。
  • debate 与签名方：w 只给证明者。签名构造中，签名方看见查询，被信任只签真实答案并保管密钥。

论文按隐私验证、可扩展监督、相对化论证三组引用先前工作，没有数据集上的方法基线。

AI 计算的隐私验证

• 推理与训练：Liu、Xie、Zhang（2021）给出卷积网络推理的零知识证明，Sun、Li、Zhang（2024）做到大语言模型；Chen 等（2024）优化机器学习运算的证明；Garg 等（2023）与 Abbaszadeh 等（2024）证明训练。
• 审计与公平：ZkAudit 验证私有模型与训练数据上的计算（Waiwitlikhit 等，2024）；OATH 认证公平性并保护模型与用户数据（Franzese 等，2025）。作者写明：审计若是普通计算，隐私与可验证性可以兼容；本文的检查还依赖外部谕示答案。

可扩展监督

• 训练期工作：Christiano 等（2018）、Leike 等（2018）、Burns 等（2024）关注训练中的监督；Bowman 等（2022）提出度量进展的经验方法。
• debate：Irving 等（2018）用竞争证明者协助弱验证者；Brown-Cohen 等（2024）形式化谕示任务的双重高效 debate，建在 Goldwasser、Kalai、Rothblum（2015）之上。后续包括对齐安全所需假设（Buhl 等，2025）、相对化（Irving 与 Marshall，2025）、obfuscated arguments（Barnes，2020）和 prover-estimator debate（Brown-Cohen 等，2025）。
• 单证明者：Chen、Kalai、Xi（2026）给出计算稳健或谕示低次时的单证明者协议。作者称这些工作主要处理正确性与代价，而不是对机密 witness 的模拟式隐私。

相对化论证

• 正面构造：增量可验证计算与 proof-carrying data 是动机（Valiant，2008；Chiesa 与 Tromer，2010；Bitansky 等，2013）。已有构造使用签名响应、低次编码或算术化谕示访问；另有递归组合安全性与 Fiat–Shamir 白盒安全的分析。
• 负面结果：Chiesa 与 Liu（2020）给出相对化世界中 PCP 与交互式谕示证明的限制。Barbara、Chiesa、Guan（2025）在随机谕示模型中排除简洁相对化论证，即使允许交互与计算可靠性。作者称本文不要求简洁，并排除更弱的 witness hiding（Lemma 3.19）。

对照：明确对比的是 BCG25 的简洁性不可能与同一硬关系、debate 的诚实对手、CKX26 的稳健性，以及 CT10 的签名响应。作者称签名除简洁验证外也能提供零知识，从而替代前两类假设。

不可能性针对随机谕示上的关系 RU；可行性把谕示辅助计算经 签名谕示 化成不访问原谕示的 NP 语句，再用零知识知识论证。

问题设定

• 声明：公开实例 x，证明者另有 witness w，双方查询同一谕示 f。完备性要求诚实证明者使验证者接受真声明；可靠性只针对计算受限的作弊证明者。没有可信设置：公共参数由验证者采样并作为首条消息，格式不合法则证明者中止。
• 两种隐私：零知识要求恶意验证者视图可被模拟。下界只用 witness hiding：拿到实例、验证者随机串与转录后，不应输出合法 witness。作者给出由零知识推出 witness hiding 的归约，差距是从实例单独找到 witness 的概率（Lemma 3.19）。
• 硬关系：沿用 BCG25。witness 为 t(n) 比特，t(n)≥n；谕示定义域长度为 t(n)+⌈log t(n)⌉+1，值域为 λ 比特。接受条件是对每个 i，谕示在 w 与 i 的定长编码拼接处的第一位为 0。概览里的 C⋆ 是同一想法，公开输入为 0^n。该关系属于 NTIME^U[t]（Claim 4.3）。

下界如何强制读出 witness

• 插入一行：Insert 只把指定行各列答案的第一位改成 0。作者称这一改写与 BCG25 相同。概览把表画成 2^m 行、m 列：行标是候选 witness，全零行的行标才是 witness（Figure 1）。
• 两个世界：作弊证明者随机选行标 w，内部运行诚实证明者，但用改写谕示回答其查询；外部验证者仍查询真实谕示。真实表没有全零行时，真实谕示上声明为假，改写谕示上该行是 witness、声明为真（Figure 2）。
• 必须查询该行：两谕示只在该行不同。验证者不查询该行时，两次交互的谕示答案和证明者消息相同，决定也相同。完备性与可靠性要求两次决定不同，因此验证者会查询该行，而发查询就要知道 w。作者称这违反 witness hiding，因而也违反零知识。
• 资源：论证不要求验证者比计算更短。Lemma 4.4 把完备性、可靠性与 witness-hiding 误差之和，用协议自己的证明者、验证者查询与时间来下界。

debate 归约

• 角色：证明者 P1 持有 w，对手 P2 与裁判 J 只见 x，三者都可查询 f。真声明时诚实 P1 应对任意对手仍使 J 接受；假声明时诚实 P2 应对任意作弊证明者仍使 J 拒绝。附录把对手与作弊证明者限制为查询、时间有界。
• 给谁 witness：两人同时收到 w 时，不诚实方可以把 w 发给 J。只给 P1 时，作者只要求遵守协议的 P2 与 J 从联合视图恢复不出 w。恶意方也可以遵守协议，零知识更强，故排除这一条即排除更强隐私。
• 折进单证明者：V 在内部运行 P2 与 J，代表二者与 P1 通信，并输出 J 的决定。作者称 (P1, V) 继承完备性、可靠性，且在 debate 为 witness hiding 时也为 witness hiding（Lemma A.7）。于是 C⋆ 的 witness-hiding debate 会给出被单证明者下界排除的论证。

签名谕示

• 接口：fb(q) 返回答案 a 以及对 (q, a) 的签名；特殊查询 key 返回验证密钥 vk（Definition 5.1）。持密钥的一方惰性签名，重复查询复用签名。它看见查询，被信任只签正确的查询–答案对，并保管密钥与查询。数字资源可由可信硬件签名，人签自己的判断，实验室签测定结果。
• 绕过查询：下界依赖“确认答案真实就必须自己查询，而有些查询含有 witness”。持有 vk 的人检查签名即可，不必查询 f。
• 不直接交轨迹：把全部查询、答案和签名交给验证者可以检查接受与签名，但查询可能就是机密数据。证明者改为证明：存在 w 与轨迹，使计算在这些查询和答案上接受，且每个签名在 vk 下有效。给定 w 与轨迹，该检查不调用 f，是多项式时间的 NP 语句。
• 三性质从何而来：知识性让人从使人接受的证明者抽出轨迹；假声明的轨迹必含带有效签名的伪造答案，由签名的 EUF-CMA 排除。零知识隐藏原 witness、查询和答案。验证者不查询底层 f，只检查简洁论证。

密码学实例化

• 外层论证：在存在抗碰撞哈希的谕示上，把诚实验证者零知识 PCP（Theorem 3.28）和隐藏向量承诺（Theorem 3.33）代入 Kilian 协议。验证者采样承诺参数作为首条消息。得到的通用关系论证完美完备，知识可靠性误差为 3/4+negl(λ)，恶意验证者零知识误差为 2^{-λ}，通信 poly(λ, log t)，诚实双方不查询谕示（Theorem 5.3）。
• 编译：双方查询 fb(key) 取得 vk。证明者用签名答案回答 ND 判定器的谕示查询，把 w 与签名轨迹当作通用关系的 witness（Section 5.2）。检查机器不查询谕示，只确认轨迹已签名且原计算接受。
• 重复：单次可靠性为 3/4+negl(λ)。顺序重复 λ 次，下一会话参数附在上一会话最后一条验证者消息上，总轮数 2λ+1。零知识误差按顺序复合相加，至多 λ·2^{-λ}（Theorem 5.2）。
• 假设怎么接：相对签名谕示的抗碰撞哈希也相对底层谕示成立，因为对手可以丢弃签名。相对底层谕示的抗碰撞哈希推出相对该谕示的 EUF-CMA 签名（Corollary 3.24）。作者称当前论证是为说明可行性而保持简单，可换成现代基于哈希的简洁论证；论文未报告替换后的具体耗时。

论文没有运行测量。下面的数字都是定理里的误差界和资源界，不是模型评测得分。

实验设置

• 被测模型：论文未报告机器学习模型。对象是谕示图灵机和相对化关系。
• 关系与谕示：下界用 Definition 4.2 的 RU。随机谕示定义域为 {0,1}^{t(n)+⌈log t(n)⌉+1}，值域为 {0,1}^λ，t(n)≥n。上界对每个满足输出长度与定义域成员判定条件的谕示，覆盖 NTIME^O[T]。
• 对照：没有数据集上的算法基线。理论对照是 BCG25 的同一硬关系、debate 的诚实对手，以及稳健或低次谕示下的单证明者协议。
• 指标：完备性误差、可靠性误差、witness-hiding 误差、恶意验证者零知识误差、知识可靠性误差；另有轮数、通信、时间与谕示查询次数。
• 判定：没有 LLM 评审或人工打分。接受与拒绝是交互的决定位；签名用 Verify，哈希用抗碰撞。
• 重复：λ 次顺序重复是 Theorem 5.2 的协议步骤，不是独立实验重复。论文未报告实验重复次数。

主结果

表格较宽，可左右滑动

结论	设置	数值	出处
该误差组合不存在	ROM，查询与时间 poly(λ,t(n))	完备性、可靠性、WH 均为 1/10	Theorem 4.1
无全零行概率	同一随机谕示关系，足够大的 n	>0.36	Lemma 4.4 前
三类误差之和	任意相对化论证，按其自身资源	≥1-(1-2^{-t(n)})^{2^{t(n)}}	Lemma 4.4
debate 被同样排除	ROM，对手与各方资源 poly(λ,t(n))	三类误差 1/10	Corollary A.8
签名谕示零知识误差	抗碰撞哈希相对签名谕示，重复后	≤λ·2^{-λ}	Theorem 5.2
签名谕示可靠性	n 与 T(n) 为 poly(λ)，多项式时间证明者	negl(λ)	Theorem 5.2

• 作者称下界不依赖验证者简洁：验证者多慢，witness-hiding 对手就获得相应资源（Section 2.1、Lemma 4.4）。摘要另行称双方即使远慢于计算本身也不行。
• 作者由 Claim 4.3 与 Lemma 4.4 推出 Theorem 4.1，理由是足够大的 n 上无全零行概率大于 0.36。作者称零知识蕴含 witness hiding，故排除后者即排除零知识（Lemma 3.19）。
• 作者称签名构造的验证者不查询底层谕示；可靠性来自抽取出的轨迹不能含伪造签名，隐私来自外层论证的零知识（Section 2.3、Section 5.2）。

debate 归约

• Lemma A.7 把诚实对手与裁判折进单证明者验证者，该验证者所知等于二者联合所知。
• 作者称两人同时收到 witness 时，不诚实方可以直接发送，隐私一般不成立；只给证明者时，遵守协议仍恢复不出 witness 已是最弱要求，更强隐私也被排除（Section 2.2）。
• Remark A.9 写明：归约里的完备性只用到对诚实对手；诚实对手超过多项式时间的 debate 不在 Corollary A.8 内。作者称对 Definition 4.2 的关系，仅从实例找到 witness 的概率可忽略。

构造中的误差分解

• Theorem 3.28 的 PCP：通用关系上完美完备、诚实验证者零知识，知识可靠性误差至多 1/2，查询复杂度为常数。
• Theorem 5.3：Kilian 式论证的知识可靠性为 3/4+negl(λ)，恶意验证者零知识误差为 2^{-λ}；条件是实例规模与 t 为 poly(λ)，证明者为多项式时间。诚实双方不查询谕示。
• Section 5.2：编译后单次可靠性为 3/4+negl(λ)。顺序重复 λ 次后，作者把“每次都接受且每次都不抽出 witness”的概率写成 (3/4+negl(λ))^λ，并称其为 negl(λ)；假声明下抽出 witness 会变成签名伪造，概率为 negl(λ)。

其他消融与分析

• 向量承诺隐藏误差 ≤2^{-λ}，位置绑定性误差不超过哈希的抗碰撞误差（Theorem 3.33）
• 向量承诺安全参数取 λ+O(log λ+log t) 时，回绕模拟器误差至多 2^{-λ}（Theorem 5.3 的证明）
• 诚实证明者谕示查询 O(T(n))，诚实验证者只查询验证密钥（Theorem 5.2）
• 通信 poly(λ, log T(n))，验证者时间 poly(λ, n, log T(n))，证明者时间 poly(λ, T(n))，轮数 2λ+1（Theorem 5.2）
• 完美完备性来自签名的完美正确性与外层论证的完美完备性（Section 5.2）
• Remark 5.4：作者称 Flock 对批量布尔计算的证明者开销为原生执行的常数倍，验证者对单次线性、对批量次线性；论文未报告本构造的具体耗时

作者指出的局限与后续方向

论文未专门讨论局限。正文没有 Limitations、Future Work 或等价小节把某件事写成不足或后续工作。Remark 5.4 只说当前构造为说明可行性而保持简单，并称可以换成现代基于哈希的简洁论证，没有把它写成待完成事项。

实验覆盖范围

• Theorem 4.1 与 Lemma 4.4 的下界对象是随机谕示 U 上的关系 RU，时间界 t(n)≥n；三类误差之和按协议自身的证明者、验证者查询与时间取值。
• Corollary A.8 覆盖诚实对手查询与时间为 poly(λ,t(n)) 的 debate。Remark A.9 写明：诚实对手超过多项式时间的 debate 不在该推论内，且证明中的完备性只用到对诚实对手。
• Theorem 5.2 要求签名方案相对底层谕示 EUF-CMA，且存在相对签名谕示抗碰撞的带密钥哈希；对象是输出长度与定义域成员判定满足多项式条件的谕示上、NTIME^O[T] 中的关系。
• 协议轮数为 2λ+1，诚实证明者谕示查询 O(T(n))，诚实验证者只取验证密钥。Remark 5.4 另给出 Flock 的开销形态作为替换例子。论文未报告本构造的具体耗时、证明大小常数或电路规模。
• 论文未报告机器学习模型、数据集、实验重复次数或人工一致性；给出的是定理与证明，不是运行测量。

一般谕示辅助计算在随机谕示中做不到 witness hiding，因而也做不到零知识监督；给谕示答案加上数字签名后，抗碰撞哈希足以同时得到隐私和简洁验证。

• 要隐藏的东西：证明者有机密 witness，验证者只见公开结论，双方都能查询医师判断或实验室测定这类谕示。作者问的不是验证者必须远快于计算，而是多项式开销下 witness 能否仍然保密。
• 为何不行：硬关系把 witness 定义成随机表中的全零行。作弊证明者只改写一行喂给内部诚实证明者，外部验证者看真实表。真实表没有全零行时，两次交互的决定只有在验证者读到该行时才会分开，于是验证者得到 witness。Lemma 4.4 要求完备性、可靠性与 witness-hiding 三类误差之和至少为 1 减去无全零行概率；该概率在足够大的 n 上大于 0.36。debate 可折成同一个单证明者论证。
• 何时可以：签名使验证者不必自己查询就能检查答案。证明者隐藏查询轨迹，只零知识地证明存在通过检查的已签名轨迹。Theorem 5.2 在相对签名谕示的抗碰撞哈希下给出完美完备性、negl(λ) 可靠性，以及至多 λ·2^{-λ} 的恶意验证者零知识误差；验证者时间为 poly(λ,n,log T(n))，轮数 2λ+1。
• 作者的结论：作者认为对签名方的信任可以换掉 debate 的诚实对手和稳健计算假设；没有这种接口时，随机谕示上的一般监督做不到零知识。