Succinct Labs 首席增长官 Brian Trunzo 认为，自主 AI 代理的兴起需要零知识证明的支持。

Getty Images/Oscar Wong

不久前，AI 生成的内容还只是一种把戏——六指教皇和诡异的汤姆·克鲁斯替身，更有趣而非令人担忧。那个时代已经结束了。伊朗冲突证明了这一点：被拘留的美国士兵的合成画面、从地下掩体中呼啸而出的伊朗战斗机、被摧毁的雷达设施，全都是伪造的，全都病毒式传播，全都被广泛相信，在任何人能够验证任何一帧画面之前就已触及数亿人。

我们曾经熟知的互联网已经不复存在。曾经“眼见为实”之处，现在却引发怀疑。我们正经历一场信任危机。而这场危机远不止于我们肉眼可见的内容。

Brian Trunzo 是 Succinct Labs 的首席增长官。

检测不起作用

直观的应对措施是构建更好的检测器；用 AI 训练来捕捉 AI。但这不起作用。任何人都可以通过添加基本的模糊和失真来破解世界上领先的图像检测器，将其准确率降至低至 4%。检测失效的原因与杀毒软件从未根除恶意软件的结构性原因相同：攻击者始终拥有不对称优势。

但检测的失败几乎已不是重点，因为问题早已超出其应对范围。

AI 不再仅仅生成内容。它正在行动。自主代理正在浏览网页、进行购买、发布内容、与其他代理协商并与人类互动，在某些情况下还会与可能不知道自己在与机器对话的儿童互动。当这些代理大规模运行时，失效模式将是灾难性的。

在被微妙投毒的数据上训练的代理会在医疗账单中制造微小但看似合理的小错误，这些错误在整个医院网络中累积可能造成数百万美元的欺诈性收费。一个商业代理舰队为了利润最大化而系统性地利用其运营者从未打算也无法解释的价格漏洞，可能导致数十亿美元的损失。

训练数据集中的一只蝴蝶扇动翅膀，可能在现实经济中引发一场龙卷风。

当损害发生时，没有任何收据。代理的推理不是按时间顺序的轨迹。它只是通过数十亿个不透明参数的一次性传递，其输出是概率性的。对同一个问题问两次，你会得到略有不同的答案。没有办法重建一个建立在不断变化的变量上的决策。没有办法审计代理的训练数据、它遵循的指令，或它为什么做出所做的行为。

最近的斯坦福报告直白地指出了核心矛盾：这个时代的核心挑战在于 AI 能做什么与社会准备好如何治理之间的差距。监管处于这一挑战的中心，而这是一团乱麻：激增的联邦框架如今涵盖 90 多项建议，同时州级活动爆发，仅 2025 年就提出了 1000 多项法案。然而，正在制定的框架是为聊天机器人世界设计的，而不是为能够购买、销售、发布、咨询、说服和决策的代理世界设计的。

内容标签无济于事，披露也不够。一旦自主代理采取行动，损害就已经造成。这是一个验证问题。

而验证需要证明。

证明将使我们自由

这里的证明是密码学且可独立验证的。不是声明、不是披露、不是水印。而是一个不可更改的保证：AI 系统做了它声称做过的事，使用了它声称使用过的输入，生成了它声称生成过的输出——同时永远不暴露底层数据。

这正是零知识（“ZK”）证明密码学所能实现的。ZK 证明允许一方证明某个陈述为真，而无需透露除该陈述本身真实性之外的任何信息。它最初在 1985 年 MIT 的论文交互式证明系统的知识复杂性中被形式化，当时被视为优雅但理论化。2016 年，研究人员展示了它可以在不暴露设计的情况下验证核弹头，情况发生了变化。此后不久，它进入区块链领域，保护了数十亿美元的数字资产。

现在，ZK 正在进入 AI 领域，这里的问题不是计算，而是真相。

对于媒体，ZK 可以证明一张照片是由真实设备在验证的时间拍摄的，且未被篡改——同时不暴露关于照片或摄影师的任何敏感信息。这本身就会改变信息环境。但媒体溯源只是起点，而非终点。

更深层的应用是 AI 本身。在推理阶段，ZK 可以证明特定模型用特定参数产生了特定输出——为代理做出的每一个决策提供可验证的收据。在输入阶段，它可以证明训练数据未被投毒、来自授权来源并符合监管要求，同时不暴露专有数据集。在输出阶段，它可以将结果与创建它的过程在密码学上绑定，使每一个有影响的 AI 决策都可审计，同时不泄露商业机密。在身份层，ZK 让人类证明自己是人类，代理证明自己是代理，而无需任何人交出隐私。

恢复在线信任的概念框架

20 世纪 90 年代，网络存在信任问题。任何人都可以启动一台声称是任何人的服务器。密码、信用卡和私人消息以明文形式在互联网上传输，任何人都能读取。在规模化商业不可能实现，因为没有办法验证你连接的网站是否真的是它声称的网站。

解决方案是 HTTPS。浏览器不再默认信任网站，而是开始要求密码学证明：由认可机构签署的证书，将域名绑定到公钥。没有证明，浏览器中就不会有挂锁图标。最终，没有证明，就无法连接。网络变得可信，并不是因为平台承诺会守规矩，而是因为浏览器拒绝向无法证明自己身份的人传输敏感数据。

Web1 靠数学扩展。

Web2 靠另一种交易扩展。《通信正当行为法》第 230 条为平台提供了用户生成内容的责任豁免，社交互联网在其基础上爆发。对于言论来说，这是正确的权衡。没有它，就没有 Facebook、YouTube，也没有用户生成的互联网。但这是一种为人类发帖到时间线而设计的交易，而不是为在世界上行动的自主系统而设计的。它从未需要回答代理现在强迫提出的问题：当行动者不是人时，谁来负责？

随后是 Web3。投资者 Chris Dixon 将其称为“Read Write Own”，用户控制自己的数据，创作者获取自己的价值，平台对社区负责。这个理念是所有权和去中心化，但它没有落地。Web3 与 NFT 投机画上了等号，当估值崩盘时，愿景也随之破灭。

Web3 的直觉是正确的：我们需要一种用保证取代信任的方式。但仅靠所有权无法实现这一点。AI 和代理让这一点清晰起来。问题不在于谁拥有平台，而在于你能否信任在平台上行动的主体和对象。代币是错误的原语；证明才是正确的。

在代理互联网中，对手方（无论是人还是机器）都需要保证：谁构建了这个系统、什么数据塑造了它、什么约束管理它、它是否被授权行动。即使底层系统是专有的，这些保证也必须成立。尤其是在这种情况下。

零知识密码学通过预先绑定承诺使这成为可能。开发者可以对其训练数据进行密码学指纹识别，允许 ZK 证明验证身份、来源、训练数据和操作约束，而无需暴露底层数据。不是“相信我”，而是“证明它”。

这不再只是一个消费者保护问题。它事关国家安全。

深度伪造只是前戏。代理才是主赛场。外国对手不会止步于操纵美国人所看到的内容——他们将部署代理来操纵他们的行为。他们将部署在我们的市场中交易、与我们的机构对接并与我们的儿童互动的自主系统，而任何对手方都无法验证它们是什么或谁授权了它们。这是可以解决的。但前提是美国在对手学会利用其缺失之前就搭建好这些轨道。

政策应随之跟进。国会应要求高风险 AI 代理（如处理金融交易或与未成年人互动的代理）携带密码学证明，证明它们是谁、谁授权了它们以及它们被允许做什么，任何对手方都可验证这些信息，同时不泄露专有信息。同样的逻辑应延伸到这些代理所做的事：随着代理开始以机器速度和机器规模代表个人和企业进行交易，每一个有影响的行动——一次支付、一份合同、一笔交易、一次数据交换——都应附带证明谁授权了它以及在什么约束下。

技术基础已经在铺设：美国商务部通过国家标准与技术研究院，正在通过其隐私增强密码学倡议探索零知识的标准化。这项工作应被优先考虑并提升，其成果应成为联邦基准。责任不应附加于内容，而应附加于证明的缺失。

HTTPS 给了我们读取。Section 230 给了我们写入。ZK 给了我们证明。

Read Write Own Prove.

注：本专栏表达的观点仅为作者观点，不一定反映 CoinDesk, Inc. 或其所有者和关联方的观点。