The rise of autonomous AI agents necessitates the utilization of zero-knowledge proofs, argues Brian Trunzo, chief growth officer at Succinct Labs.

Getty Images/Oscar Wong

不久前，AI 生成的內容還只是一種戲法——六指教宗、看起來詭異的湯姆·克魯斯替身，更多是令人好笑而非令人擔憂。那個時代已經結束。伊朗衝突證明了這一點：被拘留的美國士兵、從地下碉堡衝出的伊朗戰鬥機、被摧毀的雷達設施——所有畫面都是合成、病毒式傳播、廣泛被相信的，在任何人能驗證單一畫面之前，就已觸及數億人。

我們曾經熟悉的網路已不復存在。看見曾經帶來相信，如今卻引發懷疑。我們正經歷信任危機，而這遠遠超出我們肉眼所能看見的範圍。

Brian Trunzo 是 Succinct Labs 的首席成長長官。

Detection doesn’t work

直覺的反應是打造更好的偵測器；用 AI 來捕捉 AI。但這行不通。任何人只要加入基本的模糊與扭曲，就能破解全球頂尖的影像偵測器，使其準確率降至僅 4%。偵測之所以失敗，與防毒軟體永遠無法根除惡意軟體的原因相同：攻擊者永遠擁有不對稱優勢。

但偵測的失敗幾乎已非重點，因為問題早已超越偵測的範疇。

AI 已不再僅僅生成內容，它正在「行動」。自主代理人正在瀏覽網路、進行購買、發布內容、與其他代理人談判、與人類互動，在某些情況下甚至與可能不知道自己正在與機器對話的兒童互動。當這些代理人規模化運作時，失敗模式將是災難性的。

一個在被微妙毒化的資料上訓練的代理人，會在醫療帳單上犯下看似合理的小錯誤，累積到醫院網路時，會造成數百萬美元的詐欺性收費。一群商業代理人為了優化利潤，系統性地利用其操作者從未意圖也無法解釋的定價漏洞，導致數十億美元的損失。

訓練資料集中的蝴蝶振翅，會在真實經濟中引發龍捲風。

當損害發生時，卻沒有任何憑證。代理人的推理並非按時間順序的軌跡，而是通過數十億個不透明參數的單次運算，其輸出是機率性的。同樣的問題問兩次，會得到略有不同的答案。無法重建建立在不斷變化變數上的決策，也無法稽核代理人接受過什麼訓練、遵循什麼指令，或為什麼做出該行為。

最近的史丹佛報告清楚指出核心張力：這個時代的決定性挑戰，在於 AI 能做什麼與社會能治理什麼之間的落差。法規處於這項挑戰的核心，而它正陷入泥沼：聯邦架構已激增至涵蓋 90 項以上建議，同時各州層級的活動爆炸性成長，僅 2025 年就提出超過 1,000 項法案。然而，這些正在制定的架構，是為聊天機器人而非能購買、銷售、發布、諮詢、說服與決策的代理人世界所設計。

內容標籤無濟於事，揭露也不夠。一旦自主代理人採取行動，損害就已造成。這是一個驗證問題。

而驗證需要「證明」。

Proof will set us free

在這個脈絡下，證明是密碼學且可獨立驗證的。它不是主張、不是揭露、不是浮水印，而是「不可更改的保證」：AI 系統確實做了它聲稱做的事，使用它聲稱使用的輸入，產生它聲稱產生的輸出——卻從未揭露底層資料。

這正是零知識（「ZK」）證明密碼學所實現的。ZK 證明允許一方證明某陳述為真，卻不揭露該陳述本身以外的任何資訊。它最早在 1985 年麻省理工學院的論文The Knowledge Complexity of Interactive Proof Systems中被形式化，最初被視為優雅但純理論。2016 年，研究人員證明它可以在不暴露核彈頭設計的情況下驗證核彈頭，情況才改變。此後不久，它進入區塊鏈，保護了數十億美元的數位資產。

如今，ZK 正進入 AI 領域，問題不在於運算，而在於真相。

對於媒體，ZK 可以證明一張照片是由真實裝置在特定時間拍攝，且未經竄改——同時不暴露任何關於照片或攝影師的敏感資訊。這本身就會改變資訊環境。但媒體出處只是起點，而非終點。

更深層的應用在於 AI 本身。在推論階段，ZK 可以證明特定模型以特定參數產生特定輸出——為代理人的每個決策提供可驗證的收據。在輸入階段，它可以證明訓練資料未被毒化、來自授權來源，並符合法規要求，同時不暴露專有資料集。在輸出階段，它可以將結果以密碼學方式綁定到產生它的過程，使每個重要的 AI 決策都可稽核，同時不揭露商業機密。在身分層級，ZK 讓人類證明自己是人類、代理人證明自己是代理人，而無需任何人交出隱私。

A conceptual framework for restoring trust online

1990 年代，網路曾有信任問題。任何人可以架設伺服器宣稱自己是任何人。密碼、信用卡與私人訊息以明文在網路上傳輸，任何人都能讀取。因為無法驗證所連接的網站是否真的是它所聲稱的網站，大規模商業交易無法進行。

解決方案是 HTTPS。瀏覽器不再預設信任網站，而是要求密碼學證明：由受信任機構簽署的憑證，將網域名稱綁定到公開金鑰。沒有證明，瀏覽器就不會顯示鎖頭圖示。最終，沒有證明，就無法建立連線。網路之所以變得可信，不是因為平台承諾會守規矩，而是因為瀏覽器拒絕將敏感資料傳輸給無法證明自己身分的人。

Web1 建立在數學之上。

Web2 建立在不同的交易上。通訊端正法第 230 條為平台提供使用者生成內容的免責保護，社群網路因此爆炸性成長。對言論而言，這是正確的權衡。沒有它，就不會有 Facebook、YouTube，也不會有使用者生成內容的網路。但這項交易是為人類發文到時間軸而設計，而非為在世界上行動的自主系統而設。它從未需要回答代理人現在迫使我們面對的問題：當行為者不是人類時，誰該負責？

接著來到 Web3。投資人 Chris Dixon 稱之為「Read Write Own」，使用者掌控自己的資料，創作者擷取自己的價值，平台向社群負責。這個說法是關於所有權與去中心化，但未能成功。Web3 變成 NFT 投機的代名詞，當估值崩跌，願景也隨之消失。

Web3 的直覺是正確的：我們需要一種方式，用保證取代信任。但僅有所有權無法讓我們到達那裡。AI 與代理人讓這一點更加清楚。問題不在於誰擁有平台，而在於你是否能信任在平台上行動的人與物。代幣是錯誤的基礎原語；證明才是正確的。

在代理人網路中，對手方（無論是人類或機器）都需要保證：誰建立了這個系統、什麼資料塑造了它、什麼限制規範它、它是否被授權行動。這些保證必須在底層系統是專有的情況下仍然成立——尤其是在這種情況下。

零知識密碼學透過事先綁定承諾使這成為可能。開發者可以以密碼學方式為其訓練資料建立指紋，讓 ZK 證明能在不暴露底層資料的情況下，驗證身分、出處、訓練資料與操作限制。不是「相信我」，而是「證明它」。

這已不再只是消費者保護問題，而是國家安全議題。

深度偽造只是前菜。代理人才是主菜。外國敵手不會只停留在操縱美國人所看見的內容——他們會部署代理人來操縱美國人的行為。他們會部署自主系統，在我們的市場中交易、與我們的機構互動、接觸我們的兒童，而任何對手方都無法驗證它們是什麼、或誰授權它們。這是可以解決的。但前提是美國在敵手學會利用其缺失之前，先建立這些軌道。

政策應跟進。國會應要求高風險 AI 代理人（例如處理金融交易或與未成年人互動的代理人）攜帶密碼學證明，證明它們是誰、誰授權它們、以及它們被允許做什麼，且任何對手方都能驗證，同時不揭露專有資訊。同樣的邏輯應延伸到這些代理人的行為：當代理人開始以機器速度與規模代表個人與企業進行交易時，每一項重要的行動——付款、合約、交易、資料交換——都應附有證明，證明誰授權它以及在什麼限制下進行。

技術基礎已在奠定：美國商務部透過國家標準與技術研究院（NIST），正透過其隱私增強密碼學計畫，探索零知識的標準化。這項工作應被優先並提升，其產出應成為聯邦基準。責任應附加於缺乏證明，而非附加於內容。

HTTPS 給了我們「讀取」。第 230 條給了我們「寫入」。ZK 給了我們「證明」。

Read Write Own Prove.

Note: The views expressed in this column are those of the author and do not necessarily reflect those of CoinDesk, Inc. or its owners and affiliates.