以太坊的zkAPI隐藏了谁为AI买单，但模型仍能看到提示词

以太坊基金会与Open Anonymity Project在以太坊主网上线zkAPI

10月1日，以太坊基金会（Ethereum Foundation）与Open Anonymity Project在以太坊主网上正式推出了zkAPI。该协议允许用户存入信用额度，并通过零知识证明验证后续的AI API请求已付费，而无需向支付服务器透露身份，也无需向模型提供商暴露资金来源地址。尽管提供商仍能接收到提示词（Prompt），但这种将支付信息与内容交互分离的设计具有隐私价值，不过其隐私保护的范畴比“与模型进行匿名对话”更为狭窄。

核心机制：链上金库与链下证明

根据以太坊基金会的说法，zkAPI现已在主网运行，具备链上金库和链下证明检查功能。系统引入了“资助票据”（Funded Note）的概念，使得一笔存款即可授权一个有时限且额度受限的API会话，而非每次请求都进行一次链上支付。在这种架构中：

• 支付服务器仅知晓有效的支出凭证及会话总费用；
• 模型提供商接收提示词并返回响应。

系统提供了两种主要模式：直接运行时密钥模式避免了内容中继，保护了提示词的隐私；而代理模式则允许zkAPI服务器查看流量。尽管资金来源被隐藏，但IP地址、时间戳、重复使用的上下文以及个人细节仍可能关联到特定会话。

技术细节与隐私边界

以太坊基金会的技术公告明确划定了隐私保护的边界。零知识证明隐藏了具体是哪张票据支付了费用，而模型提供商负责运行模型并查看请求。公告明确指出，网络元数据和提示词内容仍是潜在的关联源。这一区分至关重要，因为“私有AI支付”一词容易被误解为“私有AI使用”。

目前，该项目拥有公开的GitHub仓库、持有USDC信用的主网金库以及演示聊天界面。虽然部署上线证明了代码和合约的存在，但这并不等同于确立了用户采用率、全面的安全审计范围、所有客户端配置下的匿名性，或防止提供商通过笔迹识别用户的能力。

避免发票追踪：从单次支付到会话授权

大多数商业AI API将API密钥与账户及支付方式绑定，提供商即使在没有用户签名的情况下，也能将请求与计费身份关联。zkAPI引入了资助金库和私密票据。用户将支持的资产（如USDC）存入合约，随后由本地软件生成零知识证明，证明某张有效的资助票据可用于支付有限度的用量，而无需披露具体是哪张票据。

支付服务器验证证明后，签发一个短期且美元额度受限的API密钥。在直接模式下，提示词从用户设备直接发送至AI提供商。会话结束后，签名收据记录计量使用情况，私钥余额按实际使用量扣除，而非仅仅扣除预留上限。一张证明可覆盖包含多次请求的整个会话，从而避免将每一次模型请求都暴露在以太坊链上。链上仅记录金库的存款、关闭和取款操作，而模型提供商看到的是文本和API流量。

加密构建：梅克尔树与零知识证明

该系统的密码学构造基于梅克尔树中的承诺（Commitments）。证明只需表明用户的票据是有效资助票据之一，而不必标识其具体的叶子节点。通过源自票据秘密的“空值化器”（Nullifier），防止同一余额被双重花费。基金会采用了BN254上的Groth16证明和Poseidon哈希算法，构建了一个32层的树结构。

这些技术细节对实现者很重要，但其金融原理更为直观：在不公布提供信用的账户信息的情况下，验证成员资格及剩余的消费权限。用户并非通过隐藏身份来免费使用服务，服务器必须在发出临时密钥前检查支出证明并预留上限。提供商负责计量使用量，并在密钥过期后结算实际金额。例如，若预留$10上限但仅消耗$3的服务，系统设计应只收取$3。剩余的余额保留在私密票据中，受实施规则约束。

空值化器解决了特定的失败场景：尝试双重花费同一票据。但它不能证明AI模型的回答准确性，不能保留提示词的机密性，也不能阻止提供商记录请求。零知识证明仅是关于交易在定义电路下有效性的陈述，其保证不会自动扩展到与交易一同移动的其他数据。

退出路径与风险控制

合约的退出路径同样重要。基金会表示，即使zkAPI服务器消失，用户仍可关闭金库余额并在链上提取资金。这避免了使支付服务器成为追回资金的唯一途径。然而，退出过程并非隐形：以太坊会记录相关交易。用户能否成功退出取决于合约逻辑及必要秘密的持有情况， prudent 用户在投入大量资金前应仔细审查部署地址、权限及独立的审计报告。

提供商视角：证明无法揭示的内容

支付证明可以隐藏资金来源，但请求正文可能包含用户的姓名、雇主、病史或专有代码。阅读提示词的模型提供商可以通过重复的短语、上传的文件、对话历史或独特的事实，将当前请求与之前的会话联系起来。无需钱包链接，仅凭内容本身即可构成标识符。

网络元数据提供了另一条关联路径。在运行时密钥模式下，提供商可能看到连接设备的IP地址；在代理模式下，中间人可以看到流量及其潜在的网络来源信息。基金会明确指出，稳定的IP和相关的时间戳会削弱隐私，并建议寻求更强保护的用户使用网络匿名工具。虽然VPN或Tor可以改变网络路径，但它们无法消除提示词中输入的姓名。

三层隐私测试

我们可以用三层测试来评估隐私性：

1. 支付隐私：账单是否能追溯到资助票据或个人？
2. 网络隐私：服务能否通过IP、时间戳或设备特征识别连接？
3. 内容隐私：任何运营模型的人是否能读取提示词？

zkAPI主要设计用于解决第一层问题。它可以减少模型提供商的使用日志与用户资金来源之间的账户级关联，但并不能单独提供后两层的隐私保护。这不是隐藏在细则中的缺陷，而是项目公告中诚实的描述：提供商确实会看到请求。这种诚实的描述比宽泛的匿名口号更有价值，因为它告诉用户应将额外的预防措施集中在何处。

匿名集的规模限制

零知识证明可以隐藏哪几张票据参与了支付，但实际的“人群”规模至关重要。如果只有一个用户在狭窄的时间窗口内以不寻常的金额资助金库，并在会话后跟随同样独特的取款行为，观察者仍可从公开的时间和金额中形成合理的关联。证明可能在密码学上依然有效且未被破解，但来自外部信息的推断构成了另一种攻击方式。

32层的树是设计中的一个容量参数，并不代表今天有数十亿 distinct 用户在混合他们的信用。新上线的服务可能只有少量资助票据。要评估实际的匿名性，需要查看存款的数量、活跃票据的种类以及取款模式，并进行隐私意识的聚合。存储库或理论树的大小并不能提供这些数字。

假设十个票据符合会话条件，而公开事实排除了其中九个。数学证明仍然可以完美地隐藏其见证人，而周围的信息指向第十个。这个简单的例子说明了合理集合的大小和多样性比金库中交易的原始数量更重要。金额的标准化、延迟活动和使用规律性可能有所帮助，但用户行为和服务设计决定了可供关联的数据。

账本记录与信任转移

让我们绘制单个会话的记录，假设没有人作弊：

• 以太坊链：记录存款交易及其资金来源地址。
• 用户设备：保留票据秘密，并向支付服务器发送证明。
• 支付服务器：记录证明的有效性、空值化器以及受限密钥的发行事件。
• 模型提供商：记录该密钥、请求及计费的用量。
• 签名收据：将密钥与计量总额绑定。
• 合约：在关闭时记录退出操作。

各方各持部分账本。预期的隐私属性是，没有任何单一诚实方的账本能直接将资金来源地址与提供商的提示词连接起来。然而，联盟、数据泄露或带有时间戳的外部观察者可能拥有更多信息。如果用户存入不寻常的金额并立即发送单个不寻常的请求，关联事件可能会变得更加容易。如果提供商收到一份能识别用户的文档，即便从未见过金库地址，它也知道是谁提出的请求。这是一个组合问题，而非零知识证明的失败。

这也揭示了密钥生命周期的关键性。会话凭证故意将所有授权请求分组，以便提供商进行计量。较低的限额和更短的会话可以减少单个凭证内的内容链接，但需要更频繁的证明，并可能增加延迟或成本。不存在普遍私有的设置；用户和提供商需要在便利性、成本和可链接性之间做出选择。

计费争议与审计

提供商或服务器需要对实际完成的工作进行收费。设计使用了与短期密钥及其用量关联的签名收据。这将核心的商业问题转移到计量的准确性上。如果提供商多算了令牌、请求或时间，有效的支付证明无法纠正底层的账单。签名使得断言的总额难以事后重写；但它并未确立断言的使用量是否符合提供商的费率表。

客户应询问计费单位、收据签署方、未使用预留的释放方式，以及在请求中途失败时的处理方式。这些都是披着密码学外衣的普通计费问题。限额限制了单次会话中意外费用的大小，但许多小会话仍可能累积 substantial 的成本。速率限制和发票可能需要一个保留隐私的争议解决流程。

权衡：传统账户 vs. 无账户支付

传统API账户简化了客户支持、退款和滥用调查，因为提供商可以识别买家。zkAPI旨在移除支付路径中的持久计费身份。提供商可能仍需滥用控制、制裁筛查和用量执行。基金会表示定价和速率限制可以保留，但实际集成将展示服务如何在无账户支付与其义务和欺诈控制之间取得平衡。

一个实用的测试是故意中断的会话。客户端获取受限密钥，发出几个请求，丢失网络连接，然后稍后重新连接。收据是否仅反映交付的使用量？用户能否在不将提示词发送给支付服务器的情况下本地审计计量金额？如果服务器消失，用户能否如宣传的那样通过合约检索未使用的余额？这些测试超越了证明是否验证，转而考察产品在故障情况下是否保持了承诺的分离。

链上合约：逃生舱而非隐私盾牌

根据基金会说法，金库合约可验证用于存款、关闭和逃生的证明。链上退出路线很重要，因为提供商关闭不应导致用户资金被困在运营商数据库中。合约用智能合约风险取代了一些机构信任。证明验证、会计或取款逻辑中的错误可能会影响资金，尽管隐私概念健全。公共存款和取款也有隐私成本。知道用户资金来源地址的人可以观察到它与金库的互动。他们可能看不到它支付了哪个API会话，但可以看到参与情况和金额。如果同一用户迅速将不寻常的金额提取到已与其关联的地址，周围的匿名性可能会缩小。私密票据打破了确定性的计费链接，但并未擦除公共 funding 交易。

项目背景与广泛隐私努力的区别

该项目源于以太坊研究中对零知识API信用的设计，基金会指出这是Davide Crapis和Vitalik Buterin的工作。研究提案和生产系统回答不同的问题。前者设定构造方案；后者必须处理密钥存储、前端行为、停机、收据争议、升级和真实对手。10月1日的发布将该想法转化为可测试的部署，这是一个新鲜的相关切入点。

以太坊更广泛的隐私努力并非同一产品。关于原生隐私设计的讨论涉及草案协议更改，而zkAPI是当前运行的应用程序。最近推出的zk.money钱包涉及另一个环境下的私有转账。两者都不应被引用为证据，证明通过zkAPI发送的AI提示词对其模型提供商是隐藏的。

隐私声明需经受可重现测试

独立审查人员可以从无关地址创建两个资助票据，向同一模型提供商发出短期会话，并检查客户端、支付服务器和提供商可见的所有数据包和日志。审查人员应分别测试直接模式和代理模式。如果直接模式的支付服务器接收到提示词，这就与描述的分离相矛盾。如果提供商收到存款地址或持久的计费账户标识符，即使在证明电路健全的情况下，预期的不可链接性也在集成层面失败了。

更难的测试是统计测试。运行许多具有不同金额和时间戳的会话，然后询问仅拥有公共链数据和服务器日志的一方，是否能比随机猜测更好地关联资金和使用情况。基准取决于实际的匿名集以及对手拥有的辅助数据。成功的小型实验室演示并不能在小规模生产用户基础下确立隐私性，但它创建了衡量部署是否随时间改进的方法。

内容测试既简单又令人清醒。在两个新的会话密钥下提交相同的独特文档。如果提供商能在两者中识别出来，那么支付的不可链接性并未赋予用户对话的不可链接性。关于支付的声明应由前两个测试评估；关于匿名AI使用的声明还必须通过第三个测试。公布模式、威胁模型和结果将让用户为其实际关切选择合适的工具。

最强案例：将计费与有用内容解耦

有许多正当理由要求AI提供商提出敏感问题，而不建立永久性的账户关联使用档案。测试公共文件的记者、探索有争议假设的研究员，或在智能体内部使用API的开发人员，可能希望提供商看到当前请求，同时切断持久的计费关系。zkAPI的设计正是为了解决这一较窄的需求。它还允许机器为计量服务付费，而无需为每次请求管理长期的个人账户。

反对过度主张的理由同样有力。提供商仍然看到提示词，有些提示词必然揭示身份。对保密性有严格要求的企业可能需要合同控制、本地模型或机密计算，以及支付不可链接性。一些用户可能更喜欢拥有既定支持和退款的普通账户，而不是争议机制尚不成熟的密码学支付层。选择取决于实际的威胁模型。

智能体应用与挑战

基金会列出机器对机器（M2M）API支付作为可能的应用场景。自主智能体可能使用一个资助票据或许多短会话发送数百次调用。如果其任务携带客户记录，模型提供商可能会了解到这些客户，即使智能体的支付来源保持私密。隐私效益属于计费链接；不应将其传递给请求中提到的每个主体。

智能体还需要预算控制。每个密钥的限额限制了一个会话，但如果客户端不执行更广泛的支出策略，循环可以获得重复的密钥直到票据耗尽。运营商应定义每日或任务级别的限制、警报和暂停控制，这与密码学证明分开。证明验证的是授权信用，而不是智能体的调用是否必要或经济。

当多个智能体共享一个信用池时，内部会计可能成为隐藏的计费系统。运营商可能需要将费用分配给团队或客户，而不向API提供商导出他们的身份。这可以通过本地账本完成，但这创造了另一个需要保护的高敏数据集。从账户计费到票据计费的转变并没有废除对账；而是将其 relocated。

最后，智能体可能通过行为暴露自己。相同计划下的重复调用、相同工具标头和相同任务特定短语可能使单独的短期密钥易于聚类。隐藏链上资助票据有助于对抗支付监控，但它不是抵御智能体随每次请求发送的行为指纹的防御措施。

部署仍需威胁模型审计

截至10月2日，基金会表示代码、服务器、客户端和金库已上线。帖子链接了主网合约和仓库。公告中并未发布确定的用户数量、审计过的总价值、所有第三方集成或保证每个客户端配置都使用直接运行时密钥模式。此功能未声称指定提供商存在违规行为，而是确定了各方意图接收的信息以及作者承认的额外泄漏。

外部评估应检查客户端默认设置和出站连接。浏览器演示是否向无关域发送遥测数据？本地客户端是否保留密钥或提示词日志？支付服务器能否将发行时间戳与网络地址连接？收据是否可在会话间链接？电路和合约更新如何治理？证明可能在数学上是健全的，而用户界面可能无意中泄露了它本意要分离的身份。

同样的评估应测试AI提供商的视角。它将看到它处理的内容和会话凭证。它可能会根据请求路径收集设备或网络元数据。提供商的数据保留政策和任何合同条款仍然是中心。支付层可以减少一种识别信息来源，但不能限制其他所有来源。

总结与展望

如果zkAPI能可靠地防止模型提供商将有用的请求绑定到计费账户，同时保留用户收回资金的能力，那么它确实取得了真正的进步。对于期望仅仅因为支付是通过零知识证明就获得私密对话的任何人的期望，它将会令人失望。这两个声明应分别评判。

关注要点

• 模式标记：检查每个客户端在用户发送提示词之前，是否明确显示使用的是直接运行时密钥模式还是代理路由。
• 主网活动：寻找 dated 的资助票据和使用量计数报告，且不损害用户的匿名性。
• 安全审查：阅读涵盖合约退出、证明电路、客户端存储和收据结算的独立评估范围。
• 元数据控制：在实际集成中测试IP处理、遥测、密钥生命周期和提供商保留情况。
• 计费争议：检查如何处理失败的请求、限额释放和有争议的收据，而无需强制披露身份。

常见问题解答 (FAQ)

zkAPI已在以太坊主网上线吗？

以太坊基金会于10月1日表示，其金库和支持客户端及服务器已上线，并链接了主网合约和代码仓库。

zkAPI会向AI提供商隐藏我的提示词吗？

不会。提供商接收提示词以运行模型。支付证明旨在隐藏使用信用的来源。

支付服务器学到了什么？

在描述的直接模式下，它得知存在有效的支付和会话的计量总额，而不接收提示词或不识别具体的存款。

代理模式与直接模式一样私密吗？

不。基金会表示代理会中继请求并可以看到流量。直接运行时密钥模式将提示词从设备发送到提供商。

IP地址能识别用户吗？

它可以帮助关联会话，特别是结合时间和内容时。zkAPI本身不提供网络匿名性。

如果zkAPI服务器关闭怎么办？

基金会表示金库合约提供链上退出功能，因此用户可以关闭并提取余额，而无需依赖该服务器。实施情况仍需审查。

在以太坊上存款和取款是隐形的吗？

不。公共交易揭示金库互动。证明旨在切断资助票据与后续计量API使用之间的联系。

这是一种与任何模型讨论机密材料的私密方式吗？

不仅仅如此。提供商会看到内容，用户需要评估保留政策、网络元数据和每个提示词的敏感性。