可验证计算的本质：用数学代替重做来建立信任¶

签名、零知识证明、聚合证明、可验证虚拟机——这些方向的论文标题各异，术语体系也不相同，初读者往往难以把握它们之间的联系：论文中的参数各自意味着什么？一个"证明"究竟在证明什么？这些研究共同的目标是什么？

本文的核心论点是：这一领域本质上在做同一件事——用数学代替"重新做一遍"来建立信任。 从这一视角出发，签名验证、Falcon 的参数选择、Aerie 的签名聚合与 Magnetar 的 zkVM，只是同一条主线上的不同位置。

本文结构¶

全文从"重新做一遍"这一最古老的信任机制出发：密码学先把"重做"压缩为"验证"，SNARK 则进一步将"相信"与"重做"解耦。沿这条主线，后续章节依次讨论：

可验证计算研究的三个基本子问题——算对了吗、输入从哪来、过程合规吗；
论文中两类参数（被证对象的参数与证明系统的参数）的含义与分工；
零知识作为证明系统可选属性的准确定位——许多 SNARK 工作并不提供它；
阅读此类论文的"三问法"。

关键词： 可验证计算；零知识证明；SNARK；签名聚合；后量子密码

一、信任的老办法：重新做一遍¶

在可验证计算出现之前，建立信任的标准做法是重复执行：要相信一个结果，就自己重算一遍。银行对账、法院质证、论文审稿，底层逻辑都是"重做"。

密码学把"重做"压缩为"验证"，但早期方案依然是对称的：验证一个 RSA 签名的计算量与生成签名相当；检查一批签名，就需要逐个验证。在小规模场景下，这尚可接受。

两方面的变化使这套做法难以为继：

规模：一条 PoS 链每个区块要聚合约 3 万个验证者签名，一张照片有几千万像素。"每个节点重做一遍"在物理上已不可行。
量子：RSA、ECDSA 的信任根（大整数分解、离散对数）在足够强的量子计算机面前不再成立，整个信任体系需要更换地基。

于是研究的问题变为：验证者不重做、甚至看不到全部输入时，如何确信"这一计算确实按规则执行了"？

二、本质：把"相信"与"重做"解耦¶

SNARK（简洁非交互式知识论证）范式给出的答案是计算不对称：证明者做一遍繁重的工作，生成一个很短的证明；验证者花极小的代价检查数学，就能确信结论。

传统：相信 = 重做全部工作。SNARK：相信 = 检查一个短证明（代价远小于重做）。

注意这里的关键词是"知识论证"而不仅是"证明"：知识可靠性要求——若证明通过验证，就必须能从证明者那里提取出满足关系的 witness，否则该证明不构成任何安全性保证。Aerie 论文为此专门用一节篇幅给出证明；评估任何聚合方案时，这都是必须检验的性质。

三、三个子问题：领域的工作地图¶

剥去各自的术语外壳，该领域几乎所有工作都在回答以下三个子问题之一：

1. 算对了吗——计算完整性¶

证明某个计算被正确执行，且验证者无需重新运行该计算。

Aerie（ePrint 2026/2501）：批量 Falcon 签名是否全部有效？将约 3 万个签名聚合为一个证明，证明生成 0.65 秒，验证 54 毫秒。
Magnetar（ePrint 2026/2423）：一段 RV64 程序是否被正确执行？仅依赖标准哈希假设的通用 zkVM。

2. 输入从哪来——来源可信¶

证明输入本身可信，防止"对假输入做真计算"。

PhotoProof（IEEE S&P 2016）：照片是否出自可信相机签名采集的原图？后续编辑是否篡改了内容？

3. 过程合规吗——变换受控¶

证明数据经历的变换遵守了预先定义的规则。

SPEG（可验证 JPEG 压缩）：压缩结果是否忠实于原图？解码器是否引入了未声明的修改？
数据流通中的可控编辑：编辑是否按允许的控制流执行？修改是否可认证、来源是否可追踪？

三个子问题经常组合出现：一篇论文可能同时回答"输入可信且变换合规"（PhotoProof），或"批量算对了"（Aerie）。确定论文回答的是哪几问，其骨架便清晰了。

四、论文里的参数到底是什么¶

阅读此类论文时最常见的障碍是参数。它们分属两类，不可混为一谈：

第一类：被证对象的参数（以 Falcon 为例——格密码的世界，模数很小）。

\(n = 512 / 1024\)：多项式有多少个系数（格的维度）。越大越安全，签名也越大。
\(q = 12289\)：模数。选 12289 是因为 \(12289 - 1 = 3 \cdot 2^{12}\)，有足够高次的单位根，能做快速数论变换（NTT）——纯粹工程选择。
\(\beta^2\)：多项式"短"的标准（Falcon-512 约 \(4.35 \times 10^7\)）。签名验证的核心就是检查向量范数不超过这个界。
安全类别 I / V：攻击代价约等于穷举 AES-128 / AES-256。\(n=512\) 对应类别 I，\(n=1024\) 对应类别 V。

第二类：证明系统的参数（证明所处的世界，域很大）。

\(p = 2^{64} - 59\)：证明系统工作的素数域，对 64 位整数运算友好。它与签名方案的 \(q = 12289\) 互不相干。
Aerie 的核心技术之一，是把小模数上的整数条件搬入这个大域中证明——直接搬运会溢出，因此需要范数投影、整除投影等技巧来替代对商多项式的承诺。

一般规律：参数 = 安全与效率的刻度。维度 \(n\)、模数 \(q\)、范数界 \(\beta\) 共同决定"困难问题有多难"（格问题的近似因子）与"方案有多大、多快"。看参数时先问"这是谁的参数"——签名方案的，还是证明系统的？

五、零知识只是可选属性¶

"零知识证明"常被媒体与博客用作整个领域的代称，但严格而言，许多 SNARK 工作并不提供零知识性。

证明系统 / SNARK（大领域）
├── 简洁性：证明短、验证快               ← 基本必备
├── 知识可靠性：可从证明中抽出 witness   ← 基本必备
├── 零知识：验证者除"命题为真"外一无所知 ← 按需添加
├── 透明性：无可信设置                   ← 按需
└── 后量子安全：仅依赖哈希/格假设        ← 按需

零知识的意义是隐藏 witness。Aerie 不需要它：witness 就是那 3 万个签名本身，而签名是公开数据——对公开数据做隐藏并无意义，Aerie 追求的是压缩，而非保密。PhotoProof 则必须具备它：既要证明照片真实，又不能泄露原图的像素内容。

判断方法：查看摘要中作者明确声明的性质——zero-knowledge（隐藏 witness）、succinct（简洁）、transparent（透明）、post-quantum（抗量子）；作者主张哪一项，哪一项就是其核心贡献。

六、为什么是"现在"：两条路线的分野¶

理解上述本质后，再看当前两条主要技术路线的分野，会清晰得多：

	以太坊路线（leanVM）	Aerie 路线
签名	哈希基（XMSS）	格基（Falcon）
SNARK	哈希基 SNARK	格基 SNARK（Akita）
瓶颈	需逐次证明哈希计算正确，开销大	Falcon 验证本身即多项式算术，格基系统天然适配
结果	约 1600 签名/秒，需分布式与递归弥补	约 50800 签名/秒，单机即可

核心洞察在于：被证对象是什么，证明系统就该是什么——被证对象具有代数结构，就用代数友好的证明系统；目标是通用计算、不依赖任何结构假设，就用纯哈希。值得注意的是，同一研究圈（a16z crypto / Thaler 系）在两条路线上均有布局：通用选哈希，专用选格——Magnetar 引用的格基承诺 Akita，正是 Aerie 所用方案。

七、读论文的三问法¶

阅读一篇证明系统论文时，不妨依次追问三个问题：

它在证什么？——对应上述三个子问题中的哪一个，关系（relation）是如何陈述的。
它把什么操作变便宜了？——性能主张是什么，代价是什么（Aerie 降低的是验证成本，代价是证明者需持有全部签名、且证明不可合并）。
它的信任根是什么？——安全归约到哪个困难问题，模型是什么（随机预言机？），是否诚实声明了边界（例如 Aerie 明确不提供递归，从而避开了递归 SNARK 在 ROM 模型下的安全分析缺口）。

能够回答这三问，论文的骨架便已把握；参数只是这条主线上的刻度。

八、小结¶

签名、零知识证明、聚合、可验证虚拟机——表面是不同的论文，底层是同一个问题：如何在验证者不重做的前提下，让任意第三方确信"某个计算过程按规则执行了"。规模迫使信任可扩展，量子迫使信任更换地基，而 SNARK 将"相信"与"重做"解耦，提供了可扩展的信任机制。零知识只是这台机器上的一个隐私开关：需要隐藏 witness 时开启，否则简洁性与知识可靠性才是主角。

参考资料与延伸阅读¶

Alberto Centelles, Quang Dao, Mohammadtaghi Badakhshan, Justin Thaler, "Aerie: Efficient Aggregation of Falcon Signatures," IACR ePrint Archive 2026/2501 (2026). https://eprint.iacr.org/2026/2501（格基 SNARK 聚合 Falcon 签名；本文多处例子的来源）。
Srinath Setty, "Magnetar: High-speed post-quantum RV64 zkVM from standard hashes," IACR ePrint Archive 2026/2423 (2026). https://eprint.iacr.org/2026/2423（纯哈希假设的通用 zkVM；与 Aerie 形成路线对照）。
Assa Naveh, Eran Tromer, "PhotoProof: Cryptographic Image Authentication for Any Set of Permissible Transformations," 2016 IEEE Symposium on Security and Privacy, pp. 255–271. DOI: 10.1109/SP.2016.23.
Yue Zhang, Mingxun Zhou, Benedikt Bünz, "Verifiable Compression of Images," IACR ePrint Archive 2026/1717（SPEG：可验证 JPEG 压缩）。
本系列：zk-SNARK 原理详解（算术电路、R1CS/QAP 与 SNARK 基础）、KZG 多项式承诺、IPA 多项式承诺与 R1CS、图像零知识证明。

本文作者： 王科文