作者：Figment Capital. 编译：Cointime.com QDD

摘要

引言

零知识（ZK）技术正在迅速改进。随着技术的进步，将涌现出更多的ZK应用，从而推动了对零知识证明（ZKP）生成的更高需求。

目前，大多数ZK应用都是隐私协议。例如，ZCash和TornadoCash等隐私应用的证明是由用户本地生成的，因为生成ZKP需要了解秘密输入。这些计算相对较小，可以在消费者硬件上生成。我们将用户生成的ZK称为客户端证明。

尽管某些证明生成可能相对较轻量级，但其他证明生成可能需要更多的计算。例如，有效性聚合（即zkRollups）可能需要在ZK虚拟机（zkVM）中证明数千笔交易，这需要更多的计算，因此证明时间更长。生成这些大规模计算需要强大的机器。幸运的是，由于这些证明仅依赖于简洁性而不是零知识（没有秘密输入），可以安全地将证明生成外包给外部方。我们将外包的证明生成称为服务器端证明。

服务器端证明

服务器端证明在许多区块链应用中都有应用。包括：

1. 扩展：通过将计算转移到链下，例如Starknet、zkSync和Scroll可以扩展以太坊。

2. 跨链互操作性：可以利用证明来促进不同区块链之间的最小信任通信，实现安全的数据和资产转移。相关团队包括Polymer、Polyhedra、Herodotus和Succinct。

3. 无信任中间件：中间件项目如RiscZero和HyperOracle利用ZKP提供对无信任链下计算和数据的访问。

4. 简洁的L1：诸如Mina和Repyh等简洁的区块链使用递归SNARKs，即使计算能力较弱的用户也能独立验证状态。

现在，随着先决条件的密码学、工具和硬件的开发已经完成，利用服务器端证明的应用终于进入市场。未来几年，服务器端证明将呈指数增长，需要开发新的基础设施和运营商，以有效地生成这些计算密集型的证明。

尽管初始阶段是中心化的，但大多数利用服务器端证明的应用都有将证明者角色去中心化的长期愿景。与验证者和顺序员等基础设施堆栈的其他组件一样，有效地去中心化证明者角色将需要仔细的协议和激励设计。

在本文中，我们探讨了网络证明的设计。我们首先区分了网络证明和市场证明。网络证明是为单个应用（如有效性聚合）提供服务的证明者集合。市场证明是多个应用可以提交验证计算请求的开放市场。接下来，我们概述了当前去中心化网络证明模型，并分享了一些关于市场证明设计的初步范围，这是一个尚未充分探索的领域。最后，我们讨论了运营ZK基础设施的挑战，并得出结论认为，与其使用PoW矿工，最适合为新兴的市场证明提供服务的是权益提供者和专门的ZK团队。

网络证明和市场证明

ZK应用需要证明者来生成它们的证明。尽管目前中心化，但大多数ZK应用将去中心化其证明生成。由于可以轻松验证证明的正确性，因此不需要信任证明者生成正确的输出。然而，应用将追求去中心化证明的原因有几个：

1. 活跃性：多个证明者确保协议可靠运行，并且如果某些证明者暂时不可用，不会面临停机时间。

2. 抗审查性：拥有更多的证明者可以提高抗审查性。小的证明者集合可能拒绝证明某些类型的交易。

3. 竞争：更大的证明者集合可以加强运营商创建更快和更便宜的证明的市场压力。

这使得应用面临一个设计决策：是自己启动网络证明还是将责任外包给市场证明？将证明生成外包给像=nil;、RiscZero和Marlin等正在开发的市场证明可以提供即插即用的去中心化证明，并允许应用的开发人员专注于其堆栈的其他组件。事实上，这些市场是模块化论文的自然延伸。与共享的顺序员类似，市场证明实际上是共享的证明者网络。通过在应用之间共享证明者，还可以最大限度地利用硬件资源；当一个应用不需要立即生成证明时，可以重新利用证明者。

然而，市场证明也存在缺点。内部化证明者角色可以通过允许协议利用自己的令牌进行权益抵押和激励化，提高本机令牌的效用。这也为应用提供了更大的主权，而不是创建一个外部的故障点。

网络证明和市场证明的一个重要区别是，在网络证明中，通常只有一个证明请求需要证明者集合同时满足。例如，在有效性聚合中，网络会处理多个交易，计算一个有效性证明以证明它们已正确执行，并将该证明发送到L1。单个有效性证明由从去中心化集合中选择的证明者生成。

去中心化网络证明

随着ZK协议的加固，许多团队将逐步去中心化其基础设施，以提高网络的活跃性和抗审查性。将多个证明者引入协议会为网络带来额外的复杂性。特别是，协议现在必须决定将哪个证明者分配给给定的计算。迄今为止，有三种主要方法：

1. 基于权益的证明者选择：证明者抵押资产参与网络。在每个证明槽位，根据其抵押代币的价值随机选择一个证明者，并计算输出。当被选中时，证明者将获得产生证明的报酬。具体的惩罚条件和领导者选择对每个协议可能不同。这种模型类似于PoS。

2. 证明挖矿：证明者被要求重复生成ZKP，直到生成一个具有足够稀有哈希的证明。这样做可以使他们获得在下一个槽位进行证明的权利并获得槽位奖励。可以更多地生成ZKP的证明者更有可能赢得槽位。这种类型的证明非常类似于PoW挖矿，它需要大量能源和硬件。与传统挖矿的一个关键区别是，在PoW中，哈希仅仅是达到目的的手段。在比特币中能够产生SHA-256哈希除了增加网络的安全性外并没有其他价值。然而，在证明挖矿中，网络提供激励给矿工加速ZKP生成，这最终有利于网络。证明挖矿由Aleo率先开创。

3. 证明竞速：在每个槽位上，证明者竞相尽快生成证明。谁先生成证明，谁就获得槽位奖励。这种方法容易受到全胜动态的影响。如果单个运营商能够比其他人更快地生成证明，那么他们应该赢得每个槽位。通过将证明奖励分配给前n个生成有效证明的运营商，可以减少中心化，或者在接受哪个证明时引入一些随机性。然而，即使在这种情况下，最快的运营商仍然可以运行多台机器来获取其他收入。

另一种技术是分布式证明。在这种情况下，证明生成不是由单一方获胜，而是分布在多个方之间共同生成一个输出。一个例子是联合网络证明，它将一个证明拆分为许多可以单独证明的较小语句，然后递归地在树状结构中证明到一个单一语句。另一个例子是zkBridge，它提出了一种名为deVirgo的新型ZKP协议，可以轻松地将证明分布到多台机器上，并且已经由Polyhedra部署。分布式证明在本质上更容易去中心化，并且可以显著提高证明生成速度。每个参与者组可以形成一个计算集群，并参加证明挖矿或竞速。根据他们对集群的贡献，奖励可以平均分配。分布式证明与任何证明者选择模型兼容。

基于权益的证明者选择、证明挖矿和证明竞速在资本需求、硬件积累需求和证明者优化方面进行权衡。

基于权益的证明模型要求证明者锁定资本，但对加速证明生成的重要性要求较低，因为证明者的选择不是基于其证明速度（尽管更快的证明者可能更容易吸引委托）。证明挖矿更加平衡。它需要一些资本来积累机器并支付能源成本以产生更多的证明。它还对ZKP加速产生激励，就像比特币挖矿对加速SHA-256哈希产生激励一样。证明竞速需要的资本和基础设施最少。运营商可以运行一台超级优化的单一机器来参与每个槽位的竞争。尽管它是最轻量级的，但我们认为证明竞速由于全胜动态的影响，风险最高的中心化。证明竞速（如挖矿）也会导致冗余计算，但提供更好的活跃性保证，因为您不需要担心证明者错过他们被选中的槽位。

基于权益的模型的另一个好处是，降低证明者在性能上竞争的压力，为运营商之间的协作创造了空间。协作通常包括知识共享，例如传播加速证明生成的新技术或指导新运营商如何开始证明。相比之下，证明竞速更类似于MEV搜索，实体更加保密和对抗，以保持竞争优势。

在这三个因素中，我们认为速度需求将是影响网络去中心化证明者集合能力的主要变量。资本和硬件的获取将是充足的。然而，证明者必须在速度上竞争的程度越大，网络的去中心化证明就越少。另一方面，速度受到激励的程度越高，网络在其他条件相等的情况下就越具有性能。虽然影响不同，但网络证明面临与Layer 1区块链相同的性能与去中心化之间的权衡。

哪种证明者选择模型会胜出？

我们预计大多数网络证明将采用基于权益的模型。这种模型在激励性能和保持去中心化之间提供了最佳平衡。

对于大多数有效性聚合，分布式证明可能不会被使用。每个证明者只能证明少量交易，然后将它们递归地聚合在一起，这会面临网络带宽的限制。聚合交易的顺序性也使并行化变得困难-必须在后续交易的证明之前包含先前交易的证明。如果一个证明者不提供其证明，就无法构建最终的证明。

除了Aleo和Ironfish外，ZK挖矿对ZK应用来说不是一个受欢迎的选择。它对能源消耗很高，在大多数应用中都是不必要的。证明竞速也不受欢迎，因为它会导致中心化效应。一个协议如果将性能优先于去中心化，那么基于竞速的模型就变得更具吸引力。然而，可访问的ZK硬件和软件加速已经提供了很大的加速。我们预计，从采用证明竞速中获得的证明生成时间的边际改进不值得为大多数应用所付出的边际去中心化成本。

设计市场证明

随着越来越多的应用转向ZK，许多人意识到他们宁愿将ZK基础设施外包给市场证明，而不是自己处理。与网络证明不同，市场证明服务于多个应用程序，每个应用程序具有不同的证明需求。这些市场将旨在具有性能、去中心化和灵活性。

1. 性能：市场中存在不同的证明需求。例如，某些证明需要比其他证明更多的计算。具有较长生成时间的证明需要通过专用硬件和其他优化来加速ZKP。市场还需要为愿意支付更高费用的应用程序和用户提供快速的证明生成服务。

2. 去中心化：与网络证明类似，市场证明及其应用程序希望市场去中心化。去中心化的证明提高了活跃性、抗审查性和市场效率。

3. 灵活性：在其他条件相等的情况下，市场证明希望尽可能灵活，以满足不同应用程序的需求。与以太坊相连的zkBridge可能需要像Groth16这样提供廉价的链上证明验证的最终证明。相比之下，zkML模型可能更喜欢优化递归证明的Nova-based证明方案。灵活性还可以体现在集成过程方面。市场可以提供一个zkVM，用于验证使用高级语言编写的程序的可验证计算，如Rust，为开发人员提供更简单的集成。

设计性能、去中心化和足够灵活以支持一系列ZK应用的市场证明是一个困难且尚未充分研究的领域。解决这个问题需要仔细的激励和技术设计。下面，我们分享一些关于市场证明设计考虑和权衡的初步范围，包括：

激励与惩罚机制

为了维护市场的完整性和性能，证明者必须具备激励与惩罚机制。引入激励的最简单方法是采用抵押与惩罚机制。运营商可以通过证明请求的竞标来激励，可能还包括通胀奖励。

可以设定加入网络的最低抵押金额以防止攻击。提交虚假证明的证明者可能会受到惩罚。生成证明的时间过长或者无法生成证明的证明者也可能会受到惩罚。这样的惩罚可以与证明竞标成正比-被推迟的出价（因此在经济上更重要）越高，惩罚越大。

在某些情况下，削减代币可能不足以阻止恶意证明者，尤其是攻击利润很大的情况下。如果出现证明延迟，将证明生成权转移到新的证明者可以最大程度地减少停机时间。

匹配机制

匹配机制是连接市场供需的问题。设计匹配引擎，即定义证明者与证明请求匹配规则，将成为市场中最困难且最重要的任务之一。匹配可以通过拍卖或订单簿进行。

市场证明是多维的；应用程序必须要求在特定价格和时间范围内进行计算。应用程序对证明的延迟可能具有动态偏好，即他们愿意为证明生成支付的价格随时间降低。尽管订单簿高效，但在反映用户偏好的复杂性方面存在缺点。

可以从其他去中心化市场（如Filecoin的分散存储市场和Akash的分散云计算市场）中借鉴其他匹配模型。在Akash的市场中，开发者（称为“租户”）将计算工作提交给网络，云提供商对工作负荷进行竞标。然后租户可以选择接受哪个竞标。反向拍卖非常适合Akash，因为工作负载的延迟不那么重要，租户可以手动选择他们想要的竞标。相比之下，市场证明需要快速和自主运行，因此反向拍卖对于证明生成来说不是最优的匹配系统。

协议可以对特定证明者可以接受的竞标类型施加限制。例如，声誉评分不足的证明者可能无法与大额竞标匹配。

协议必须防范因无许可证明而产生的攻击。在某些情况下，证明者可能进行证明延迟攻击：通过延迟或未能返回证明，证明者可能会使协议或用户面临某些经济攻击。如果攻击利润很大，削减代币或声誉评分惩罚可能不足以阻止恶意证明者。在证明延迟的情况下，将证明生成权转移到新的证明者可以最小化停机时间。

自定义电路与zkVM

市场证明可以为每个应用程序提供自定义电路，也可以提供单个通用的zkVM。自定义电路在集成和财务开销上更高，但可以为应用程序提供更好的性能。自定义电路可以由市场证明、应用程序或第三方开发人员构建，他们可以根据其服务获得网络收入的一部分，这就是=nil;的情况。

虽然速度较慢，但像RiscZero的基于STARK的RISC-V zkVM这样的zkVM可以让应用程序开发人员使用更高级的语言（如Rust或C++）编写可验证的程序。zkVM可以支持常见zk-unfriendly操作（如哈希和椭圆曲线加法）的加速器，以提高性能。尽管具有高效性，但自定义电路的市场证明可能需要单独的订单簿，从而导致证明者的碎片化和专业化，而zkVM可以使用单个订单簿来促进和优先处理zkVM上的计算。

个体与聚合证明

生成证明后，必须将其传递回应用程序。对于链上应用程序来说，这需要昂贵的链上验证。市场证明可以将单个证明传递给开发者，也可以使用证明聚合将多个证明合并为一个，从而分摊加密费用。

证明聚合会引入额外的延迟。需要将证明聚合在一起，需要更多的计算，并且必须在多个证明完成后才能进行聚合，这可能会延迟聚合过程。

市场证明必须决定如何处理延迟与成本之间的权衡。证明可以以更高的成本快速返回，或者以更低的成本进行聚合。我们预计市场证明将需要证明聚合，但随着规模的扩大，可以缩短聚合周期。

硬件多样性

大规模计算需要较长的证明时间。当应用程序需要快速生成计算密集型证明时会发生什么？证明者可以使用更强大的硬件，如FPGA和ASIC，加速证明生成。虽然对性能来说很好，但专用硬件可能限制了可能的操作者集合，阻碍了去中心化。市场证明需要决定其运营商使用何种硬件。

还存在证明者的同质性问题：市场证明必须决定所有证明者是否具有相同的硬件配置，还是支持不同的设置。如果所有证明者在公平的竞争环境中运行，使用可访问的硬件，市场可能更容易维持去中心化。鉴于ZK硬件的新生性以及市场性能的需求，我们预计市场证明将保持硬件无关性，允许运营商运行他们想要的基础设施。然而，还需要进一步研究证明者硬件多样性对证明中心化的影响。

运营商多样性

开发者必须确定运营商进入和保持活跃市场参与者的要求。这些要求将影响运营商的多样性，包括其规模和地理分布。一些协议层面的考虑包括：

专注于机构级运营商的市场可能与寻求零售参与的市场具有不同的市场准入要求。市场证明应该定义对于运营商集合来说什么样的健康状况，并从这个目标开始进行工作。

折扣、衍生品和订单类型

市场证明价格可能在需求高或低时波动。价格波动引起不确定性。应用程序需要预测未来的市场证明价格，以便将这些费用传递给最终用户-协议不希望为一笔交易向用户收取0.01美元的费用，后来发现证明该交易的费用为0.10美元。这与必须将未来的calldata价格传递给用户的第二层面临的问题相同。一些建议认为，第二层可以使用区块空间期货来解决这个问题：第二层可以提前以固定价格购买区块空间，同时为用户提供更稳定的价格。

在市场证明中也存在相同的需求。类似于有效性rollup，可能会定期生成证明。如果rollup需要每小时连续一年生成一个证明，是否可以一次提交一个竞标，而无需临时提交新的竞标，并有可能遭受价格飙升的风险？理想情况下，他们可以预订证明容量。如果可用，应该在协议内提供证明期货，还是应该允许另一个协议或集中式提供商在其上创建该服务？

还有批量或可预测订单的折扣问题？如果一个协议为市场带来大量需求，是否应该获得折扣，还是必须支付市场公开价格？

隐私

市场证明可以提供私密计算，尽管外包的证明生成很难保持隐私。需要安全通道将应用程序的私密输入发送给不受信任的证明者。一旦接收到，证明者需要一个安全的计算沙盒，可以在不泄漏私密输入的情况下生成证明；安全隔离是一个有前景的方向。事实上，Marlin已经在Azure上使用Nvidia的A100 GPU通过安全隔离进行私密计算的实验。

渐进和持久的去中心化

市场证明需要找到逐步去中心化的最佳方式。第三方证明者应该如何进入市场？去中心化的具体步骤是什么？

与此相关的是维持去中心化的问题。市场证明的一个挑战是证明者降价。资金充裕的证明者可以选择以低于市场价的竞标价位运营，以将其他运营者定价出市场，然后在增长和提高价格之前扩大业务。另一种降价方式是在以市场价格运营过多节点的情况下进行操作，允许随机选择将运营商与不成比例的证明请求匹配。

结论

除了上述考虑因素外，还包括如何提交竞标以及证明生成是否可以分布在多个证明者之间。总而言之，市场证明拥有一个庞大的设计空间，必须仔细探索，以构建一个性能良好且去中心化的市场。我们期待与这一领域的领先团队合作，找到最有前途的方法。

运营ZK基础设施

到目前为止，我们已经讨论了构建去中心化网络证明和市场证明的设计考虑因素。在本节中，我们将评估哪些运营商最适合参与网络证明，并就ZKP生成的供应方提出一些思考。

矿工和验证者

目前有两种主要类型的区块链基础设施提供商：矿工和验证者。³矿工在像比特币这样的PoW网络上运行节点。这些矿工竞争产生足够罕见的哈希值。他们的计算机越强大，计算机越多，他们找到罕见哈希值和获得区块奖励的机会就越大。早期的比特币矿工从家用计算机上的CPU开始，随着网络的增长和区块奖励的价值增加，他们开始专业化。节点被集合在一起以实现规模经济，并随着时间的推移进行硬件配置的专门化。如今，矿工几乎完全使用比特币ASIC在靠近廉价能源来源的数据中心运行。

PoS的出现需要一种新类型的节点运营商：验证者。验证者扮演与矿工类似的角色。他们提议区块，执行状态转换，并参与共识。然而，验证者不像矿工一样竞争尽可能产生更多的哈希值来增加提议区块的几率，而是根据抵押给他们的资产价值随机被选中提议区块。这种改变消除了PoS中对能源密集型设置和专门化硬件的需求，允许更广泛分布的节点运营商。验证者甚至可以在云中运行。

PoS引入的一个更微妙的变化是使区块链基础设施业务成为服务业务。在PoW中，矿工在后台运行，对用户和投资者来说基本上是不可见的（你能叫出多少比特币矿工的名字？）。他们只有一个客户，即网络本身。在PoS中，验证者将抵押的安全性“销售”给网络，但他们还有另一个客户：抵押者。代币持有者寻找可以安全可靠地代表他们运行基础设施以赚取抵押奖励的运营商。由于验证者的收入与他们能够吸引的资产相关，他们像服务公司一样运营。验证者对自己进行品牌定位，雇佣销售团队，并与能够将他们的代币抵押给验证者的个人和机构建立关系。这使得抵押业务与挖矿业务非常不同。这两个业务之间的重要区别是为什么最大的PoW和PoS基础设施提供商完全是不同的公司。

ZK基础设施公司

在过去一年中出现了一些专门从事ZKP硬件加速的公司。其中一些公司生产硬件并将其销售给运营商；其他组织自己运营硬件，使其成为一种新型的基础设施提供商。今天最知名的ZK硬件公司包括Cysic、Ulvetanna和Ingonyama。Cysic计划构建可以加速常见ZKP操作的ASIC，并同时保持芯片的灵活性以应对未来的软件创新。Ulvetanna正在构建FPGA集群，为需要特别密集证明的应用程序提供服务。Ingonyama正在研究算法改进，并构建用于ZK加速的CUDA库，最终计划设计一个ASIC。

谁将运营ZK基础设施？

我们认为，擅长运营ZK基础设施的公司类型主要取决于证明者的激励模型和性能要求。市场将被分为抵押公司和新的ZK本地团队。对于需要最高性能证明者或极低延迟的应用程序，将由能够赢得证明竞赛的ZK本地团队主导。我们预计这种极端要求将是例外而不是常规。市场的其余部分将由抵押业务主导。

为什么矿工不适合运营ZK基础设施？毕竟，ZK证明，特别是对于大规模电路的证明，与挖矿有很多相似之处。它需要大量的能源和计算资源，并可能需要专门的硬件。然而，我们不认为矿工将成为证明领域的早期领导者。

首先，PoW硬件无法有效地重新用于证明。比特币ASIC根据定义无法重新用途。像Nvidia Cmp Hx这样的在以太坊合并之前常用于挖矿的GPU专门为挖矿而设计，使其在ZK工作负载方面效果不佳。具体来说，其弱数据带宽消除了GPU提供的并行化所带来的任何实际收益。想要进入证明业务的矿工必须从头开始积累ZK友好的硬件。

此外，矿工缺乏品牌认知度，使其在基于抵押的证明中处于不利地位。矿工最大的优势在于他们能够获得廉价能源，这使他们可以以较低的费用收费或更有利可图地参与市场证明，但这不太可能超过他们面临的挑战。

最后，矿工习惯于静态需求。比特币和以太坊挖矿并没有要求频繁或重大改变其哈希函数，这些运营商也没有被要求进行影响其挖矿设置的其他协议修改（不包括合并）。相比之下，ZK证明需要对影响硬件配置和优化的证明技术变化保持警惕。

基于抵押的证明模式是验证者公司的天然选择。在ZK应用中，零售和机构投资者将他们的代币委托给基础设施提供商来获得奖励。抵押业务拥有现有的团队、经验和关系，以吸引大规模的委托资金。这适用于甚至不支持委托PoS的协议，因为许多验证者公司提供白名单验证者服务，代表他人运行基础设施的常见做法。

验证者无法像矿工那样拥有廉价电力，因此不适合执行最能源密集型的任务。为有效性rollup运行证明者需要比普通验证者更复杂的硬件设置，但可能适应于验证者当前的云或裸机基础设施。但像矿工一样，这些公司没有内部的ZK专业知识，无法在证明竞赛中保持竞争力。除了基于抵押的证明外，运营ZK基础设施与运营验证者的业务模型不同，并且与抵押业务没有强大的正反馈效应。我们预计ZK本地基础设施提供商将主导非基于抵押和高性能证明任务。

结论

目前，大多数证明者由构建所需应用程序的团队运营。随着更多的ZK网络的推出和去中心化，新的运营商将进入市场以满足证明需求。运营商的身份取决于证明者选择模型以及特定协议施加的证明者要求。抵押基础设施公司和本地ZK基础设施运营商最有可能在这个新市场中占据主导地位。

去中心化证明是一种令人兴奋的新型区块链基础设施。如果您是构建ZK应用程序或基础设施提供商的应用程序开发者，我们很乐意听取您的意见。