家庭晚會值得如此關注嗎？
我衷心感謝 Keewoo Lee、Michal Zajac、Nam Ngo、Rand Hindi、Roman Walch 和 Thore Hildebrandt 提供的寶貴意見。
太長不看
全同態加密（FHE）因其承諾在加密狀態下實現完全通用、可組合的計算，且無需依賴可信硬件而備受關注。然而，在實踐中，許多基於FHE的區塊鏈設計（例如，FHEVM風格的系統）仍然依賴於多方計算（MPC）委員會進行密鑰管理和解密。近期研究，例如基於Root iO的可擴展私有世界計算機，探索了旨在減少或消除這些基於委員會的信任假設的高級密碼學構造（基於不可區分性混淆）。
許多已提出的 FHE 用例（機密 DeFi、私有代幣、私有 AMM）都有 ZKP、MPC 或 TEE 等替代方案，但每種方案在可組合性、信任假設、交互要求或部署性方面都有權衡取捨。
FHE 還是 MPC？ MPC 效率很高，並且已經在對隱私敏感的任務中得到實際應用，但通常假設存在交互以及某種形式的委員會或非合謀模型。
可驗證全同態加密 (vFHE)對於無需信任的全同態加密應用至關重要，尤其是在鏈下執行加密計算時。除了區塊鏈之外，vFHE 在人工智能領域也發揮著重要作用，因為在人工智能領域，對加密數據進行正確推理或訓練的可驗證保證變得越來越重要。
對於人工智能和機器學習而言，全同態加密為非交互式、保護隱私的計算提供了一個引人注目的長期願景，但仍然受到性能和工程成熟度的限制，特別是對於高級模型和複雜工作負載而言。
全同態加密（FHE）值得關注嗎？是的——但它並非萬能靈藥。它的價值在於其獨特的功能——尤其是在加密狀態下進行可組合計算以及降低對硬件信任的依賴——而非立竿見影的效率或普適性。
家庭晚會熱潮背後的疑問
在布宜諾斯艾利斯舉行的 Devconnect 大會上，關於全同態加密 (FHE) 的討論非常多。我覺得在之前的活動中，FHE 並沒有引起太多關注。
討論通常圍繞以下問題展開：
- Web3 中 FHE 有哪些真正令人信服的應用案例？
- 對於保密令牌，我們真的需要完全同態加密嗎？同態加密難道還不夠嗎？保密令牌不就是簡單的加減運算（餘額）嗎？
- FHE 不就是MPC的一種技術嗎？
- 可驗證全同態加密（vFHE）有多重要？它何時才能在實際應用中變得實用？
我認為所有這些問題都指向一個根本問題：家庭晚會值得如此關注嗎？
我還想補充第五點，這一點在一些與全同態無關的討論中被隨意提及。我仍然想知道人們是認真的，還是僅僅在附和當前人工智能的熱潮：
- 以太坊可以提供加密保障，確保人工智能模型按照預期進行訓練和執行。
讓我們仔細看看每個主題。事實上，它們之間的聯繫比乍一看要緊密得多。
1. 令人信服的使用案例
我們在這篇文章中已經討論過全同態加密 (FHE) 的潛在應用場景，但事實上，它面臨著諸多挑戰，因此質疑 FHE 是否總是最佳方案也是合理的。一些值得關注的問題包括：
- 保密型 DeFi需要一些機制來安全地處理清算等事件，同時又不暴露私人頭寸，而當狀態被加密時，這很難做到。
- 私人AMM必須保留足夠的市場信號，價格和流動性才能正常運作；否則，市場將難以協調，效率也會降低。
- 密封投標投票和類似應用已經有了更簡單的替代方案，例如 MPC、加密、提交-顯示，甚至基於零知識的計票。
- 在我看來， FHE-EVM代表了鏈上私有計算的必要且“最終”發展方向。但目前它仍然面臨一些實際限制——尤其是性能、延遲以及執行加密狀態轉換的開銷。
然而，諸如零知識支付（ZKP）、模型預測控制（MPC）和目標效率（TEE）等替代方案各自都存在重要的侷限性和權衡取捨：
零知識證明（ZKP）可以在不洩露全部資產的情況下強制執行償付能力或清算等約束，但它們面臨著眾所周知的可組合性和模塊化問題：複雜的多步驟狀態轉換通常必須編碼為單個整體電路；跨獨立模塊組合證明通常需要大量的聚合；並且必須預先考慮對私有數據的動態或任意邏輯，這限制了靈活性。相比之下，全同態加密（FHE）自然地支持加密計算的任意組合，而無需電路協調或重新設計。
Threshold加密和 MPC可以實現受控披露或多方計算，但通常需要交互、時間假設或固定委員會，因此不太適合開放、無需許可的異步環境。
TEE提供強大的性能，但依賴於明顯較弱的信任假設，長期以來一直受到側信道攻擊和證明流程的破壞；相比之下， FHE提供的隱私完全基於密碼學，而不是硬件。
雖然其他技術可以近似某些隱私屬性，但 FHE 的突出之處在於，與基於硬件的方法相比，它能夠對加密狀態進行完全通用、可組合的計算，並且顯著降低了密碼信任假設。
與此同時，如今許多基於全同態加密（FHE）的實用區塊鏈設計——尤其是FHEVM類型的系統——並非完全依賴於FHE。在這些架構中，仍然需要一個可信的臨時委員會來管理密鑰共享，並通過多方計算（MPC）對輸出密文進行解密，通常使用Threshold解密協議。雖然這種結構可以防止任何一方獲知明文值，但它在加密計算的邊界處重新引入了委員會假設、協調要求和活性依賴性。最近的研究工作“基於Root iO的可擴展私有世界計算機”旨在通過應用高級密碼學構造（基於不可區分性混淆）來減少或消除這些基於委員會的信任假設。
2. 機密令牌和（全）HE
乍一看，保密代幣似乎非常簡單。當 Alice 想向 Bob 轉賬一些ETH時，所涉及的操作看起來只不過是基本的算術運算：
- 將轉賬金額添加到Bob 的加密餘額中
- 從Alice 的加密餘額中減去該值
然而，在實踐中，保密轉賬還必須確保發送方的餘額充足。許多基於零知識的設計（例如Zether ）採用的一種方法是在零知識條件下證明新創建的票據價值不超過可用餘額。雖然這種方法有效，但它將餘額充足性視為外部授權檢查，並且需要仔細排序以避免在同時構建多個轉賬時出現競爭條件。
相比之下，基於全同態加密（FHE）的方法允許在加密狀態本身內執行餘額檢查。轉賬邏輯可以表示為條件加密更新——例如，僅當轉賬金額不超過加密餘額時才扣除該金額，否則執行零值轉賬。這確保了不會發生超支，即使是短暫的超支，並通過強制執行加密狀態的原子更新，減少了對交易順序的依賴性正確性條件。
更廣泛地說，同態比較使得餘額檢查能夠自然地與其他加密控制流邏輯相結合，而無需通過獨立的證明來強制執行。這種區別在除簡單支付之外的有狀態和可編程的機密應用中變得越來越重要。
然而，這種額外的表達能力是有代價的。在同態加密中，比較操作的計算成本遠高於簡單的算術運算。在全同態加密（FHE）方案中，比較通常需要計算加密值的符號，而這又涉及順序自舉操作。因此，比較操作的計算成本遠高於加法或減法，並且這種成本通常會隨著被比較值的精度或大小而增加。諸如《使用FHEW/TFHE自舉的高精度同態符號評估》等文獻以及相關研究探討了同態符號評估技術，這些研究一致認為比較操作是一項具有挑戰性的基本運算。
也就是說，最近的工程進步——特別是TFHE 風格方案的 GPU 加速實現——使得在具體環境中進行比較成為可能，通常使它們的成本更接近高精度算術運算的成本。
3. 用 MPC 代替 FHE？
從宏觀層面來看，全同態加密（FHE）和多方計算（MPC）的目標都是實現對私有數據的計算，這自然引出了一個問題：FHE 是否僅僅是 MPC 的一種特殊形式？儘管兩者在概念上存在聯繫，但這兩種範式在隱私保護的層面、計算過程以及實踐中所需的假設等方面存在差異。
多方計算（MPC）通過將數據分割成多個由多個參與方持有的秘密份額來保護數據，這些參與方可以協同計算。這種方法可以實現卓越的性能。然而，MPC 從根本上依賴於非串謀假設、多個在線參與者以及計算過程中的交互式通信，這在完全無需許可或高度異步的環境中可能具有挑戰性。
相比之下，全同態加密（FHE）可以直接對加密狀態進行計算。單個參與方無需在執行過程中與其他參與方交互，即可對密文應用任意程序，這使得FHE在概念上與區塊鏈執行模型高度契合。這允許對私有數據進行通用、可組合且有狀態的計算，包括無需預先設定的動態控制流——而這僅靠零知識證明或交互式多方計算難以實現。
然而，在實際應用中，全同態加密系統面臨著額外的挑戰。如前所述，密鑰管理和輸出解密通常通過Threshold計算（MPC）來實現，這意味著許多已部署的全同態加密設計仍然依賴於解密邊界處的非串謀和委員會協調，即使計算本身是非交互式的。
在可驗證性方面，MPC 目前具有優勢。證明 MPC 執行的正確性相對簡單，因為大多數 SNARK 系統天然兼容 MPC 式的計算。這使得一些實用系統能夠將 MPC 執行與可選的零知識證明相結合——例如，使用面向 MPC 的工具（如TACEO 的 co-SNARK 庫）進行協同證明。相比之下，可驗證的全同態加密 (FHE) 仍然是一個活躍的研究和工程問題，其開銷更高，工具也不夠成熟。
FHE和MPC都被積極探索作為 Web3 中保護隱私的計算的基礎，並且不斷增長的項目生態系統正在推動每種方法走向實際部署。
在全同態加密（FHE）方面， Zama正在開發 FHEVM 協議棧，旨在通過允許 EVM 程序直接在加密狀態上運行，從而實現智能合約的保密性。Fhenix的目標與之類似，專注於通過 FHE 協處理器和旨在與現有智能合約工作流程集成的開發者工具，在兼容 EVM 的環境中實現保密執行。Enclave則從更注重協議的角度探索加密執行，將 FHE 與密碼驗證技術相結合，以支持去中心化環境中的正確性和受控的輸出披露。
在多方計算（MPC）方面， Partisia Blockchain運行著一個獨立的 Layer 1 層，它將安全的多方計算直接集成到其執行模型中，從而使智能合約能夠跨分佈式 MPC 節點處理私有輸入。Nillion則採用了不同的方法，提供了一個專用的鏈下網絡，用於基於 MPC 式技術的私有計算和存儲，旨在與現有區塊鏈互操作，而不是取代它們。Soda Labs 的gcEVM探索瞭如何將 MPC（特別是混淆電路式協議）嵌入到與 EVM 兼容的執行環境中，從而使智能合約能夠在保留熟悉的以太坊工具的同時處理機密值。
這些項目共同展現了Web3隱私保護的兩條並行發展方向：一是基於全同態加密（FHE）的系統，強調非交互式計算而非加密狀態；二是基於多方計算（MPC）的系統，依賴於多方分佈式執行。在實踐中，隨著生態系統尋求可擴展且可組合的方式為去中心化應用提供保密性，這兩種方法正日益並存，有時甚至結合使用。
4. 為什麼虛擬家庭教育很重要
人們普遍認為，可驗證全同態加密（vFHE）是一個重要的發展方向。為了理解這一點，讓我們來看看全同態加密對於在以太坊上實現私有智能合約意味著什麼。
以太坊是一臺世界計算機：一個去中心化的平臺，可以執行任意程序並就共享狀態達成全球共識。但默認情況下，所有輸入、狀態和執行軌跡都是公開的。全同態加密 (FHE) 提供了一種在加密數據上進行私密計算的途徑，有可能實現“私有世界計算機”，用戶可以在其中貢獻機密輸入而無需洩露這些信息。
然而，在實踐中，全同態加密（FHE）與區塊鏈的契合度不如SNARKs——密文體積龐大，啟動成本高昂，且鏈上執行不可行。因此，目前大多數FHE設計都依賴於鏈下協處理器來執行加密計算並將結果返回鏈上。
這就引出了一個關鍵問題：我們如何信任加密計算的結果？僅靠全同態加密（FHE）無法驗證其正確性。
可驗證全同態加密 (vFHE)解決了這個問題：它允許計算節點生成一個簡潔的證明，證明加密輸出是正確執行預期計算的結果。
但 vFHE 還解鎖了其他重要功能：
iO（不可區分性混淆）：在Root iO中，不可區分性混淆在基於 FHE 的評估流程中使用，以消除對專用解密委員會的需求，其中可驗證的 FHE 是關鍵組件之一。
Web3 + AI：基於加密模型的私有推理和協作學習。
藉助 vFHE，這些加密計算的輸出變得無需信任、可審計和可驗證，從而實現了不依賴於可信執行或複製的去中心化人工智能系統。
這在多大程度上是可行的——以及何時才能變得可行——仍然是一個懸而未決的問題，人們對此有不同的看法。
5. 以太坊 + 人工智能
現在讓我們來探討以太坊和人工智能的交集。
當今最突出的AI應用案例是大型語言模型（LLM） 。它們使用未加密的數據進行訓練，這種情況很可能還會持續下去。然而，用戶查詢也未加密，希望這種情況能夠改變。
令人不寒而慄的是，在不久的將來，隨著我們越來越多地通過通話或虛擬現實空間進行互動，生命體徵模型（LLM）或許能夠重建出一個驚人精準的我們自身的數字孿生體。構建這樣一個數字孿生體所需的所有數據都存儲在LLM提供商的服務器上，完全不受我們控制，這意味著他們可以隨時實例化並使用它。基於我們數字孿生體的智能體隨後就可以像我們一樣在互聯網上活動。
FHE 可以避免這種情況，但目前的實現速度仍然太慢，無法運行高級 AI 模型。在這種情況下是否需要 vFHE？它當然不會有害，但在許多情況下，LLM 提供商有動力返回正確的推理結果——提供最佳答案符合他們自身的利益。然而，正如我們將在下文看到的，在某些情況下，這種激勵較弱或不明確，此時可驗證性就顯得更為重要。
但還有其他一些令人不安的設想。例如，機器人技術很可能成為我們日常生活的重要組成部分。我們很容易想象小型家用機器人可以處理諸如修理家電、做飯、洗衣服、清潔難以觸及的角落、監控家庭安全、整理雜物、照料室內花園或照顧年邁的家庭成員等任務。
這些活動對人工智能而言遠比現有法學碩士所能處理的任何任務都複雜得多。事實上，Yann LeCun 近期啟動了一項新的研究項目，專注於通過空間和具身交互進行學習的人工智能系統。訓練此類模型需要海量的真實世界數據。
問題是：我們是否願意為了訓練這些系統而完全公開我們家的佈局、家電狀況、烹飪習慣、洗衣流程、雜物堆積模式、安全監控需求，甚至是照顧年邁家庭成員的方式？
這些數據當然應該在發送前進行加密。但僅僅加密是不夠的：誰來驗證人們提交的數據是否真實、未被篡改？誰來確保信息沒有被操縱或捏造以鑽制度的空子？
除了數據完整性之外，誰來檢查訓練過程本身是否正確執行——模型是否被巧妙地扭曲、篡改或優化，從而服務於提供商而不是用戶？
最後，誰來保證推理結果的真實性，不涉及隱藏的過濾、排序、監視或其他隱蔽的干預？
綜上所述，這些問題表明，人工智能中的可驗證性可能發揮越來越重要的作用。雖然加密本身可以保護隱私，但可驗證性——當與區塊鏈這個獨立、透明的審計層相結合時——能夠確保數據提交、訓練和計算的正確性。所以，我認為人們將人工智能與以太坊聯繫起來是正確的。
