家庭晚会值得如此关注吗？
我衷心感谢 Keewoo Lee、Michal Zajac、Nam Ngo、Rand Hindi、Roman Walch 和 Thore Hildebrandt 提供的宝贵意见。
太长不看
全同态加密（FHE）因其承诺在加密状态下实现完全通用、可组合的计算，且无需依赖可信硬件而备受关注。然而，在实践中，许多基于FHE的区块链设计（例如，FHEVM风格的系统）仍然依赖于多方计算（MPC）委员会进行密钥管理和解密。近期研究，例如基于Root iO的可扩展私有世界计算机，探索了旨在减少或消除这些基于委员会的信任假设的高级密码学构造（基于不可区分性混淆）。
许多已提出的 FHE 用例（机密 DeFi、私有代币、私有 AMM）都有 ZKP、MPC 或 TEE 等替代方案，但每种方案在可组合性、信任假设、交互要求或部署性方面都有权衡取舍。
FHE 还是 MPC？ MPC 效率很高，并且已经在对隐私敏感的任务中得到实际应用，但通常假设存在交互以及某种形式的委员会或非合谋模型。
可验证全同态加密 (vFHE)对于无需信任的全同态加密应用至关重要，尤其是在链下执行加密计算时。除了区块链之外，vFHE 在人工智能领域也发挥着重要作用，因为在人工智能领域，对加密数据进行正确推理或训练的可验证保证变得越来越重要。
对于人工智能和机器学习而言，全同态加密为非交互式、保护隐私的计算提供了一个引人注目的长期愿景，但仍然受到性能和工程成熟度的限制，特别是对于高级模型和复杂工作负载而言。
全同态加密（FHE）值得关注吗？是的——但它并非万能灵药。它的价值在于其独特的功能——尤其是在加密状态下进行可组合计算以及降低对硬件信任的依赖——而非立竿见影的效率或普适性。
家庭晚会热潮背后的疑问
在布宜诺斯艾利斯举行的 Devconnect 大会上，关于全同态加密 (FHE) 的讨论非常多。我觉得在之前的活动中，FHE 并没有引起太多关注。
讨论通常围绕以下问题展开：
- Web3 中 FHE 有哪些真正令人信服的应用案例？
- 对于保密令牌，我们真的需要完全同态加密吗？同态加密难道还不够吗？保密令牌不就是简单的加减运算（余额）吗？
- FHE 不就是MPC的一种技术吗？
- 可验证全同态加密（vFHE）有多重要？它何时才能在实际应用中变得实用？
我认为所有这些问题都指向一个根本问题：家庭晚会值得如此关注吗？
我还想补充第五点，这一点在一些与全同态无关的讨论中被随意提及。我仍然想知道人们是认真的，还是仅仅在附和当前人工智能的热潮：
- 以太坊可以提供加密保障，确保人工智能模型按照预期进行训练和执行。
让我们仔细看看每个主题。事实上，它们之间的联系比乍一看要紧密得多。
1. 令人信服的使用案例
我们在这篇文章中已经讨论过全同态加密 (FHE) 的潜在应用场景，但事实上，它面临着诸多挑战，因此质疑 FHE 是否总是最佳方案也是合理的。一些值得关注的问题包括：
- 保密型 DeFi需要一些机制来安全地处理清算等事件，同时又不暴露私人头寸，而当状态被加密时，这很难做到。
- 私人AMM必须保留足够的市场信号，价格和流动性才能正常运作；否则，市场将难以协调，效率也会降低。
- 密封投标投票和类似应用已经有了更简单的替代方案，例如 MPC、加密、提交-显示，甚至基于零知识的计票。
- 在我看来， FHE-EVM代表了链上私有计算的必要且“最终”发展方向。但目前它仍然面临一些实际限制——尤其是性能、延迟以及执行加密状态转换的开销。
然而，诸如零知识支付（ZKP）、模型预测控制（MPC）和目标效率（TEE）等替代方案各自都存在重要的局限性和权衡取舍：
零知识证明（ZKP）可以在不泄露全部资产的情况下强制执行偿付能力或清算等约束，但它们面临着众所周知的可组合性和模块化问题：复杂的多步骤状态转换通常必须编码为单个整体电路；跨独立模块组合证明通常需要大量的聚合；并且必须预先考虑对私有数据的动态或任意逻辑，这限制了灵活性。相比之下，全同态加密（FHE）自然地支持加密计算的任意组合，而无需电路协调或重新设计。
Threshold加密和 MPC可以实现受控披露或多方计算，但通常需要交互、时间假设或固定委员会，因此不太适合开放、无需许可的异步环境。
TEE提供强大的性能，但依赖于明显较弱的信任假设，长期以来一直受到侧信道攻击和证明流程的破坏；相比之下， FHE提供的隐私完全基于密码学，而不是硬件。
虽然其他技术可以近似某些隐私属性，但 FHE 的突出之处在于，与基于硬件的方法相比，它能够对加密状态进行完全通用、可组合的计算，并且显著降低了密码信任假设。
与此同时，如今许多基于全同态加密（FHE）的实用区块链设计——尤其是FHEVM类型的系统——并非完全依赖于FHE。在这些架构中，仍然需要一个可信的临时委员会来管理密钥共享，并通过多方计算（MPC）对输出密文进行解密，通常使用Threshold解密协议。虽然这种结构可以防止任何一方获知明文值，但它在加密计算的边界处重新引入了委员会假设、协调要求和活性依赖性。最近的研究工作“基于Root iO的可扩展私有世界计算机”旨在通过应用高级密码学构造（基于不可区分性混淆）来减少或消除这些基于委员会的信任假设。
2. 机密令牌和（全）HE
乍一看，保密代币似乎非常简单。当 Alice 想向 Bob 转账一些ETH时，所涉及的操作看起来只不过是基本的算术运算：
- 将转账金额添加到Bob 的加密余额中
- 从Alice 的加密余额中减去该值
然而，在实践中，保密转账还必须确保发送方的余额充足。许多基于零知识的设计（例如Zether ）采用的一种方法是在零知识条件下证明新创建的票据价值不超过可用余额。虽然这种方法有效，但它将余额充足性视为外部授权检查，并且需要仔细排序以避免在同时构建多个转账时出现竞争条件。
相比之下，基于全同态加密（FHE）的方法允许在加密状态本身内执行余额检查。转账逻辑可以表示为条件加密更新——例如，仅当转账金额不超过加密余额时才扣除该金额，否则执行零值转账。这确保了不会发生超支，即使是短暂的超支，并通过强制执行加密状态的原子更新，减少了对交易顺序的依赖性正确性条件。
更广泛地说，同态比较使得余额检查能够自然地与其他加密控制流逻辑相结合，而无需通过独立的证明来强制执行。这种区别在除简单支付之外的有状态和可编程的机密应用中变得越来越重要。
然而，这种额外的表达能力是有代价的。在同态加密中，比较操作的计算成本远高于简单的算术运算。在全同态加密（FHE）方案中，比较通常需要计算加密值的符号，而这又涉及顺序自举操作。因此，比较操作的计算成本远高于加法或减法，并且这种成本通常会随着被比较值的精度或大小而增加。诸如《使用FHEW/TFHE自举的高精度同态符号评估》等文献以及相关研究探讨了同态符号评估技术，这些研究一致认为比较操作是一项具有挑战性的基本运算。
也就是说，最近的工程进步——特别是TFHE 风格方案的 GPU 加速实现——使得在具体环境中进行比较成为可能，通常使它们的成本更接近高精度算术运算的成本。
3. 用 MPC 代替 FHE？
从宏观层面来看，全同态加密（FHE）和多方计算（MPC）的目标都是实现对私有数据的计算，这自然引出了一个问题：FHE 是否仅仅是 MPC 的一种特殊形式？尽管两者在概念上存在联系，但这两种范式在隐私保护的层面、计算过程以及实践中所需的假设等方面存在差异。
多方计算（MPC）通过将数据分割成多个由多个参与方持有的秘密份额来保护数据，这些参与方可以协同计算。这种方法可以实现卓越的性能。然而，MPC 从根本上依赖于非串谋假设、多个在线参与者以及计算过程中的交互式通信，这在完全无需许可或高度异步的环境中可能具有挑战性。
相比之下，全同态加密（FHE）可以直接对加密状态进行计算。单个参与方无需在执行过程中与其他参与方交互，即可对密文应用任意程序，这使得FHE在概念上与区块链执行模型高度契合。这允许对私有数据进行通用、可组合且有状态的计算，包括无需预先设定的动态控制流——而这仅靠零知识证明或交互式多方计算难以实现。
然而，在实际应用中，全同态加密系统面临着额外的挑战。如前所述，密钥管理和输出解密通常通过Threshold计算（MPC）来实现，这意味着许多已部署的全同态加密设计仍然依赖于解密边界处的非串谋和委员会协调，即使计算本身是非交互式的。
在可验证性方面，MPC 目前具有优势。证明 MPC 执行的正确性相对简单，因为大多数 SNARK 系统天然兼容 MPC 式的计算。这使得一些实用系统能够将 MPC 执行与可选的零知识证明相结合——例如，使用面向 MPC 的工具（如TACEO 的 co-SNARK 库）进行协同证明。相比之下，可验证的全同态加密 (FHE) 仍然是一个活跃的研究和工程问题，其开销更高，工具也不够成熟。
FHE和MPC都被积极探索作为 Web3 中保护隐私的计算的基础，并且不断增长的项目生态系统正在推动每种方法走向实际部署。
在全同态加密（FHE）方面， Zama正在开发 FHEVM 协议栈，旨在通过允许 EVM 程序直接在加密状态上运行，从而实现智能合约的保密性。Fhenix的目标与之类似，专注于通过 FHE 协处理器和旨在与现有智能合约工作流程集成的开发者工具，在兼容 EVM 的环境中实现保密执行。Enclave则从更注重协议的角度探索加密执行，将 FHE 与密码验证技术相结合，以支持去中心化环境中的正确性和受控的输出披露。
在多方计算（MPC）方面， Partisia Blockchain运行着一个独立的 Layer 1 层，它将安全的多方计算直接集成到其执行模型中，从而使智能合约能够跨分布式 MPC 节点处理私有输入。Nillion则采用了不同的方法，提供了一个专用的链下网络，用于基于 MPC 式技术的私有计算和存储，旨在与现有区块链互操作，而不是取代它们。Soda Labs 的gcEVM探索了如何将 MPC（特别是混淆电路式协议）嵌入到与 EVM 兼容的执行环境中，从而使智能合约能够在保留熟悉的以太坊工具的同时处理机密值。
这些项目共同展现了Web3隐私保护的两条并行发展方向：一是基于全同态加密（FHE）的系统，强调非交互式计算而非加密状态；二是基于多方计算（MPC）的系统，依赖于多方分布式执行。在实践中，随着生态系统寻求可扩展且可组合的方式为去中心化应用提供保密性，这两种方法正日益并存，有时甚至结合使用。
4. 为什么虚拟家庭教育很重要
人们普遍认为，可验证全同态加密（vFHE）是一个重要的发展方向。为了理解这一点，让我们来看看全同态加密对于在以太坊上实现私有智能合约意味着什么。
以太坊是一台世界计算机：一个去中心化的平台，可以执行任意程序并就共享状态达成全球共识。但默认情况下，所有输入、状态和执行轨迹都是公开的。全同态加密 (FHE) 提供了一种在加密数据上进行私密计算的途径，有可能实现“私有世界计算机”，用户可以在其中贡献机密输入而无需泄露这些信息。
然而，在实践中，全同态加密（FHE）与区块链的契合度不如SNARKs——密文体积庞大，启动成本高昂，且链上执行不可行。因此，目前大多数FHE设计都依赖于链下协处理器来执行加密计算并将结果返回链上。
这就引出了一个关键问题：我们如何信任加密计算的结果？仅靠全同态加密（FHE）无法验证其正确性。
可验证全同态加密 (vFHE)解决了这个问题：它允许计算节点生成一个简洁的证明，证明加密输出是正确执行预期计算的结果。
但 vFHE 还解锁了其他重要功能：
iO（不可区分性混淆）：在Root iO中，不可区分性混淆在基于 FHE 的评估流程中使用，以消除对专用解密委员会的需求，其中可验证的 FHE 是关键组件之一。
Web3 + AI：基于加密模型的私有推理和协作学习。
借助 vFHE，这些加密计算的输出变得无需信任、可审计和可验证，从而实现了不依赖于可信执行或复制的去中心化人工智能系统。
这在多大程度上是可行的——以及何时才能变得可行——仍然是一个悬而未决的问题，人们对此有不同的看法。
5. 以太坊 + 人工智能
现在让我们来探讨以太坊和人工智能的交集。
当今最突出的AI应用案例是大型语言模型（LLM） 。它们使用未加密的数据进行训练，这种情况很可能还会持续下去。然而，用户查询也未加密，希望这种情况能够改变。
令人不寒而栗的是，在不久的将来，随着我们越来越多地通过通话或虚拟现实空间进行互动，生命体征模型（LLM）或许能够重建出一个惊人精准的我们自身的数字孪生体。构建这样一个数字孪生体所需的所有数据都存储在LLM提供商的服务器上，完全不受我们控制，这意味着他们可以随时实例化并使用它。基于我们数字孪生体的智能体随后就可以像我们一样在互联网上活动。
FHE 可以避免这种情况，但目前的实现速度仍然太慢，无法运行高级 AI 模型。在这种情况下是否需要 vFHE？它当然不会有害，但在许多情况下，LLM 提供商有动力返回正确的推理结果——提供最佳答案符合他们自身的利益。然而，正如我们将在下文看到的，在某些情况下，这种激励较弱或不明确，此时可验证性就显得更为重要。
但还有其他一些令人不安的设想。例如，机器人技术很可能成为我们日常生活的重要组成部分。我们很容易想象小型家用机器人可以处理诸如修理家电、做饭、洗衣服、清洁难以触及的角落、监控家庭安全、整理杂物、照料室内花园或照顾年迈的家庭成员等任务。
这些活动对人工智能而言远比现有法学硕士所能处理的任何任务都复杂得多。事实上，Yann LeCun 近期启动了一项新的研究项目，专注于通过空间和具身交互进行学习的人工智能系统。训练此类模型需要海量的真实世界数据。
问题是：我们是否愿意为了训练这些系统而完全公开我们家的布局、家电状况、烹饪习惯、洗衣流程、杂物堆积模式、安全监控需求，甚至是照顾年迈家庭成员的方式？
这些数据当然应该在发送前进行加密。但仅仅加密是不够的：谁来验证人们提交的数据是否真实、未被篡改？谁来确保信息没有被操纵或捏造以钻制度的空子？
除了数据完整性之外，谁来检查训练过程本身是否正确执行——模型是否被巧妙地扭曲、篡改或优化，从而服务于提供商而不是用户？
最后，谁来保证推理结果的真实性，不涉及隐藏的过滤、排序、监视或其他隐蔽的干预？
综上所述，这些问题表明，人工智能中的可验证性可能发挥越来越重要的作用。虽然加密本身可以保护隐私，但可验证性——当与区块链这个独立、透明的审计层相结合时——能够确保数据提交、训练和计算的正确性。所以，我认为人们将人工智能与以太坊联系起来是正确的。
