该论文针对远程证明（remote attestation）在专有软件场景下的信任缺口提出了一种新架构。背景是：可信执行环境（TEE）通过硬件绑定密钥对自身配置信息签名，生成包含内部加载代码度量值（cryptographic digests / measurements）的证明报告，远端验证方将报告中的度量值与参考值（reference values）比对，从而确认运行环境的完整性。但问题在于：当被度量的构件（artifact）是闭源或专有软件时，验证方无法自行推导参考值，只能依赖第三方提供的参考值，并且只能确认「某个具有特定度量值的程序在 TEE 内运行」，而无法确认该程序的行为是否符合预期，这相当于把全部信任转移给了参考值提供方，形成了供应链信任盲区。论文提出的方案在不披露源码与构建产物的前提下弥合这一缺口，其核心是把两个 TEE 工作负载组合起来：(1) attestable build（Hugenroth 等，2025），把源代码摘要与构建产物的度量值绑定；(2) attestable audit（本文提出），把同一份源代码摘要与在 TEE 内部执行的自动化审计结论绑定，审计手段包括模糊测试、静态分析、AI 代码审计、形式化方法等。作者将两者统一抽象为 Confidential Computing Proofs，即把 TEE 证明视为一种硬件支撑的零知识证明。通过把两份证书串联（chaining），验证方可以得出结论：正在运行的构件确实由满足所审计属性的源代码构建而来，而整个过程既不需要披露源代码，也不需要披露构建产物，从而把「信任参考值提供方」转变为「可验证的构建—审计链路」。作者在 Intel SGX 配合 Gramine Library OS 上实现了概念验证，并对 Python 代码运行 Bandit 安全分析器，证明了该方案在工程上可行。适合关注 TEE 证明、机密计算、软件供应链安全与专有软件合规审计的研究者和安全工程师阅读。

该论文针对工业控制系统（尤其是关键水务基础设施）中联邦学习入侵检测的一个根本性缺陷展开研究：现有防御机制几乎全部在"模型更新空间"内运作（如 Krum、FoolsGold、Trimmed-Mean 等聚合规则），聚合服务器只能看到客户端上传的参数向量，无法判断这些更新究竟来自真实运行遥测还是伪造数据。因此，攻击者只要伪造出看似合理的运行数据并据此训练本地模型，其上传的更新在统计上与诚实客户端的更新难以区分，形成"数据投毒"盲区。作者提出一种"物理认证的联邦学习"（Physics-Attested Federated Learning）范式：把原本用于运行时异常检测的赛博-物理过程不变量（例如质量/能量守恒定律、执行器与传感器之间的耦合关系）重新利用，改造为联邦更新的"准入条件"。这些不变量从干净的运行数据中自动挖掘得到，客户端提交的更新必须通过不变量一致性检查才能被聚合。作者在两个物理水务测试床 SWaT、WADI 以及一个配水基准数据集 BATADAL 上，针对七种聚合规则，评估了三类攻击：遥测伪造、仅暴露型重放投毒、以及感知不变量的自适应攻击者。实验显示：挖掘出的不变量对 100 个诚实分片全部接纳（零误拒），并拒绝所有朴素伪造分片，包括 FoolsGold 会完整接纳的优化扰动样本；在真实遥测上，5 条不变量可检出 SWaT 35 次攻击中的 12 次，9 条不变量可检出 20 次，且不拒绝任何诚实分片；配合 9 条规则，物理门控在五种标准聚合器上分别恢复了因重放投毒而损失的目标攻击召回率的 69%–100%，以及因遥测伪造而损失的 54%–100%。为兼顾物理准入控制与联邦数据隐私，作者进一步使用零知识证明（zk-SNARK）让客户端在不泄露运行遥测的前提下证明其批次数据满足不变量约束。论文视角偏重机制设计与实验评估，适合联邦学习安全、ICS/OT 异常检测与隐私计算方向的研究者与关键基础设施安全工程师阅读。

本文针对计算完整性（computational integrity）证明系统中所使用的、定义在素域 F_p 上的密码学哈希函数，提出了一种名为 BenX 的新型置换（permutation）设计与哈希构造。研究背景是：在以零知识证明为代表的证明系统中，哈希函数的效率直接决定证明生成与验证的开销，因此需要算术电路表达紧凑、同时在软件上执行高效的哈希原语。既有设计（如 Poseidon、Poseidon2、Monolith）主要面向通用 CPU，通过降低算术电路复杂度与优化软件实现来提升性能，但几乎没有把硬件加速器（尤其是 FPGA）上的资源复用作为一等设计目标，导致在硬件流水线中字段乘法器等昂贵资源利用率偏低。 核心方法上，作者把 Benes 网络改造成 F_p^2 上的可逆函数，并借助 Dickson 多项式实现非线性层，从而得到一个结构高度规整、天然适配硬件资源共享与流水线加速的置换。该置换既可用于构造哈希函数，也便于在证明系统中做紧凑算术化。 主要贡献与实验结论包括：（1）在 FPGA 上完全流水线化实现后，BenX 的吞吐量与 Poseidon2 相当，而在延迟上更优——Goldilocks 域降低约 1.36 倍、BabyBear 域降低约 2.15 倍；（2）作为独立核心其面积更大，但在“双模架构”中与 NTT 共享域乘法器时，BenX 能让这些乘法器保持 100% 忙碌，而 Poseidon/Poseidon2 的部分轮（partial rounds）仅能利用 6.25%–20.3%，说明其在硬件资源共享场景下更具优势；（3）软件侧，BenX 在所有测试的 31 位与 64 位配置下均优于 Poseidon，但除 16 元 BabyBear 实例外仍慢于 Poseidon2；（4）在零知识证明中，BenX 对 Goldilocks 置换的证明速度比 Monolith 快 6–10 倍，其紧凑算术化在 BabyBear 上比 Poseidon/Poseidon2 少约 36% 的 trace 单元，而其快速变体的证明者时间约为 Poseidon2 的 1.3–2.6 倍。整体上，BenX 在硬件加速与资源复用维度上提供了新的权衡点。 本文适合零知识证明系统研发人员、FPGA/硬件加速器设计者以及密码原语研究者阅读。

该论文聚焦动态频谱接入（DSA）中频谱接入系统（SAS）长期存在的「可验证性」与「隐私保护」矛盾。现有集中式 SAS（如美国 CBRS 采用的多层频谱共享架构）由少数运营方掌握分配逻辑，频谱用户（PAL/GAA 用户以及既有 incumbent）难以独立核验信道分配结果与保护措施是否真正符合监管约束，存在分配逻辑不透明的治理风险；而把 SAS 逻辑迁移到区块链上虽天然带来透明性和可验证性，却会引入严重的隐私泄露风险（频谱使用情况、设备位置、分配输入等敏感数据上链）以及不可接受的高昂链上计算开销。作者提出 zkSAS：一套面向 SAS 部署场景的实用零知识证明（ZKP）系统，既能作为现有集中式 CBRS SAS 的验证层，也能嵌入区块链式 SAS 架构。其核心贡献是设计并实现了一组 ZKP 电路，包括：1）分配约束有效性证明（allocation constraint validity），用于在不暴露敏感用户数据的前提下，证明某次信道分配结果满足监管约束（如可用频谱、保护带、优先级与共存规则等）；2）移动列表有效性证明（move list validity），用于验证基于 move list 的 incumbent 保护措施确实按规则计算与生成（例如需腾退频段与受影响用户集合的正确性）。论文在集中式与区块链两种部署模式下对原型系统进行了全面评测，结果显示证明生成开销随频谱用户规模增长而增长，而证明验证保持轻量且为常数时间，这种非对称特性非常适合实际部署——重计算可由申请分配的用户承担，监管方或验证节点可以低成本、可扩展地批量核验。作者据此认为 zkSAS 为安全、可验证的动态频谱共享提供了一条可扩展且实用的技术路径。适合关注无线频谱治理、CBRS/SAS 架构、隐私增强技术以及零知识证明工程化落地的研究者、监管技术团队与安全工程师阅读。

该论文研究的是「外包大模型推理的可验证性」问题：当用户把推理任务交给第三方服务（云厂商、推理市场）时，如何让服务方向验证者证明其确实执行了指定模型的指定计算，并且没有篡改输出，同时把审计成本压到服务方可承受的水平。作者提出 Sampled Layerwise Proofs（SLP）协议与原型：对一条推理轨迹中每个 chunk（分块）的边界激活值做承诺，先吸收全部承诺、再抽取挑战，随后只对验证者随机选中的一部分 chunk 以及绑定 prompt 与答案的 chunk 生成证明。这样审计覆盖率变成一个运行时可调参数，而承诺集合只需生成一次。在 TinyLlama-1.1B 轨迹上，证明 47 个 chunk 中的 7 个只需全量证明 22.0% 的时间与 6.8% 的证明体积。作者观察到证明开销主要由权重而非 token 数决定，于是把并发请求打包进同一条轨迹，用块对角因果掩码隔离，并把每个请求的 prompt 与答案绑定到对应槽位；12 个打包请求的证明耗时 181.9 秒，比按单次证明成本分别做 12 次节省 6.5 倍；模拟服务场景下 12 个请求达每请求 30.6 秒、每次验证仅 0.6 秒，并能拒绝对被篡改答案的证明。工程上，借助磁盘驻留的整数权重与流式多项式承诺，单次 Llama-2-70B 推理可在 2TB 内存 CPU 主机上完成：封存 163 个 chunk、证明其中 5 个，生成 4.34 MiB 证明耗时 1,259 秒，验证 46.3 秒且验证方无需持有权重。作者还指出被证明的对象是定点规范化模型，严重的保真度损失源自残差流位宽，并用「LLM 感知观察器」修复，在 WikiText-2 的 334,705 个测试位置上与浮点参考达成 84.8%–84.9% 的 argmax 一致率。论文明确列出局限：保证仅覆盖被证明的 chunk；70B 场景下某个固定的非法 chunk 只有 3/161 的概率被抽中；仅依赖清单的 Fiat-Shamir 调度可被以每次约 12.5 ms 的成本研磨，需要外部排序的挑战；所有测量均使用测试参考串。

零知识证明（ZKP）允许证明者在不泄露底层秘密的前提下，向验证者密码学地证明某个陈述有效，是「可验证计算」的基础原语。当前 ZKP 技术栈正在经历一次根本性转向：以 Groth16 为代表的经典 zk-SNARK 依赖可信设置（trusted setup），并且在量子攻击者面前不安全；而 zk-STARK 等透明（transparent）、后量子（post-quantum）构造仅依赖抗碰撞哈希函数即可获得后量子安全性，代价是巨大的计算开销。论文指出，在这类系统中，Fast Reed–Solomon Interactive Oracle Proof of Proximity（FRI）协议主导了证明者（prover）的复杂度：它会产生海量数据、反复执行 Merkle 树承诺，并呈现不规则的访存模式，从而在通用处理器上严重限制性能与能效。 针对上述问题，作者提出 FASTAR —— 一个面向 FRI 协议的新型 FPGA 加速器。与那些在昂贵 ASIC 工艺节点上追求固定高性能内核的加速器不同，FASTAR 采用「约束驱动」（constraint-driven）的设计方法学。该框架使用高层次综合（HLS）实现，由完全可参数化的构建块组成，覆盖 FRI 的主要阶段：多项式求值（polynomial evaluation）、递归拆分与折叠（recursive split-and-fold）以及 Merkle 树构造。系统以用户提供的开发板规格（板卡资源、内存约束等）作为输入，自动生成为目标 FPGA 的资源与存储约束量身定制的硬件实现，从而无需人工重新设计即可在多种平台上部署。 论文的核心贡献可归纳为三点：一是明确了 FRI 是 zk-STARK 证明者性能的主导瓶颈，并刻画了其数据量、重复承诺与访存不规整这三大硬件痛点；二是提出了一种可参数化、可自动生成硬件配置的 HLS 框架，把 FPGA 加速从「手工调优」推进到「按板卡约束自动实例化」；三是强调可移植性——同一套设计思路可覆盖从低成本到高端的多样化 FPGA 平台，避免绑定单一 ASIC 节点。 该工作属于密码工程 / 硬件加速方向，适合零知识证明工程实现者、可验证计算基础设施团队、FPGA/HLS 硬件工程师以及对后量子密码部署成本敏感的研究者阅读。需要注意的是，摘要未给出具体实验数据、加速比数字或与其他加速器（如 GPU / ASIC）的对比结果，因此其性能宣称仍需查阅正文验证。

开源权重语言模型的第三方适配器（adapter）通常以不透明的权重矩阵形式分发，接收方在不信任发布方、又不检查权重（而权重正是发布方的核心资产）的前提下，无法判断适配器是否被植入后门。论文聚焦其中一类特别棘手的情形：把载荷放进安全监控器在结构上「看不见」的子空间。作者论证这类隐蔽信道在检测层面是不可靠的：任何经由所声明监控器分解得到的检测器，在该盲子空间上都是不变的；而良性适配同样会使用该子空间，因此诚实适配器与后门适配器在所评估的每一个盲子空间统计量上都相互重叠，无法区分。基于此，作者不再尝试检测，而是让该信道在结构上「不存在」并给出可验证证明：发布方构造适配器，使其仅通过监控器覆盖的方向读取输入，并以零知识方式证明这一点，同时不泄露其所认证的「读取因子」。证书开销很低，因为最昂贵的部分——识别监控器的盲点——是公开基座模型的确定性函数，故只需证明一条线性恒等式；所服务的残差被限定为基座模型自身的公开下界，而不是证明方自选的容差。系统名为 ServeGuard，是一个供应链原语：发布方交付「携带证明的适配器」，消费者或监管方可无需获知读取因子、无需信任发布方，即可验证该适配器相对所声明监控器不携带此类隐藏信道；另设准入时类型守卫，将保证绑定到实际被接纳的适配器字节上。实验覆盖四个模型家族、最多 7B 的八个检查点，显示监控预算具有架构依赖性：在分组查询（GQA）检查点上所测边界饱和于 value-path 秩，而多头注意力检查点则不然；在 0.5B 模型上，良性适配的约束几乎零成本，因此监控器质量成为安全杠杆。

该论文聚焦软件供应链治理中的一个现实矛盾:SBOM(软件物料清单)已成为企业架构中治理软件供应链的关键机制,但跨组织共享 SBOM 会暴露敏感的依赖信息(具体的第三方组件、版本、内部技术栈),出于商业机密与攻击面收敛的顾虑,供应商普遍不愿意完整披露,导致 SBOM 的实际采纳率受限。为破解这一矛盾,作者提出 TrustBOM:一套面向企业 CI/CD 工作流、可扩展且具备保密性的 SBOM 架构。其核心思想是把'披露完整依赖图'替换为'对消费者关心的命题做可验证声明'——软件提供方可以证明其软件中不存在特定漏洞或不存在受限制许可证的组件,而无需公开底层依赖图。技术手段是零知识非成员证明(zero-knowledge non-membership proofs):证明者在不泄露集合成员信息的前提下,证明某个元素(如某 CVE 对应组件、某受限许可证组件)不属于其依赖集合。这些证明并非全量生成,而是根据消费者定义的策略约束(consumer-defined policy constraints)选择性地触发与组合,即只对采购方/集成方真正关心的约束出证。架构设计上的关键卖点是可扩展性:证明生成的开销随断言的约束数量线性增长,而不是随 SBOM 自身规模(组件数量)增长,因此在组件动辄成百上千的大型企业环境中仍可保持可控成本。论文给出了实证评估:在通用商用硬件上呈现线性性能,平均每条约束的证明生成时间约为 0.9 秒,说明该方案在企业平台生态中部署是可行的。贡献可归纳为三点:形式化'保密 SBOM'这一跨组织信任问题并给出策略驱动的选择性证明模型;提出可线性扩展的证明生成架构并集成进 CI/CD;通过原型与基准测试验证性能可行性。适合读者:软件供应链安全与治理研究者、SBOM/VEX 标准实践者、隐私增强技术(尤其零知识证明)应用研究者,以及负责 DevSecOps 平台与制品准入架构的工程师。

该论文关注形式化验证与软件保障中的基础原语——UNSAT 证明（不可满足性证明）。在实际工程中，SAT/SMT 求解器生成的证明往往编码了专有逻辑、内部约束或安全敏感信息，直接公开披露会导致知识产权泄露或攻击面暴露。零知识 UNSAT 认证正是为化解这一矛盾而提出：证明者可在不泄露底层证明任何细节（除"该实例确实不可满足"这一结论外）的前提下，让验证者相信不存在可满足赋值。Luo 等人此前提出的 ZkUnsat 协议通过"在零知识下证明一个弱化后的归结（resolution）证明的有效性"来实现该目标，首次验证了零知识认证的可行性。然而其可扩展性受制于显著的证明者内存开销，难以处理真实规模的实例。本文受 LRAT 等高效明文 UNSAT 证明格式的启发，提出一种不引入额外泄露的预处理技术：将证明进行归一化，使每一条派生子句都由固定公开长度 k 的归结链来支撑。这一归一化既消除了链长度本身的侧信道泄露，又显著降低了证明者内存占用。在 SAT 2002 竞赛基准上，取 k=16 时，该方法比基线 ZkUnsat 多认证约 62% 的实例；在认证实例数量相同的情况下，内存占用降至基线的 25% 以下。该工作属于密码学与形式化方法交叉方向，适合零知识证明、形式化验证、隐私保护计算及安全审计工具的研究者与工程师阅读。

该论文聚焦零知识证明（ZKP）在实际部署中面临的性能瓶颈问题。ZKP 是实现隐私保护计算与可验证计算的关键技术，但其底层密码学原语计算开销极高。椭圆曲线上的点加（Point Addition, PADD）正是其中最基础、被调用最频繁的原语之一。此前已有若干工作将 PADD 做成硬件加速器，但它们普遍只针对少数几条特定椭圆曲线和少数几个固定设计点（design point），既没有覆盖广阔的设计空间，也缺乏关于硬件设计取舍（面积、延迟、功耗、吞吐）的系统性指导，导致后续设计者难以判断在给定曲线与工艺条件下应如何选择实现方案。 为填补这一空白，作者提出 Locus——一个专门用于优化与探索点加硬件设计空间的自动化框架。Locus 的输入是任意一条属于受支持方程形式（如 Weierstrass 等形式）的椭圆曲线参数，框架据此自动生成对应的 ASIC 与 FPGA 实现，从而把‘手工定制单点设计’变为‘参数化生成 + 系统性探索’。基于 Locus，作者完成了首个以硬件为中心、覆盖 1000 个以上设计点的 PADD 综合研究，量化刻画了不同架构选择之间的权衡关系。 实验结果显示：在 12nm 工艺节点下，Locus 生成的 PADD 设计相比既有 ASIC 实现取得 2.71 倍几何平均加速与 3.11 倍几何平均面积缩减；相比 CPU 实现取得 34.67 倍几何平均加速；在当前面积（iso-area）约束下集成到已有 ZKP 加速器中，端到端证明生成获得 3.15 倍几何平均加速。论文同时开源了 Locus 工具链（GitHub 上的 cryptolets 仓库 locus 分支），便于研究者复现与扩展。总体而言，该工作把椭圆曲线点加硬件从‘经验驱动的点设计’推进到‘可参数化、可自动搜索的设计空间方法论’，对 ZKP 硬件加速器与隐私计算基础设施的性能工程具有直接参考价值。

该论文关注语义检索的可验证性问题。现代应用的推荐系统、网页搜索与大模型 RAG（检索增强生成）都依赖语义检索：服务提供方掌握索引并执行查询，客户端只能被动信任结果确实由约定算法在指定索引上产生。恶意或成本敏感的提供方可能截断检索结果、引入排序偏差，甚至悄悄偏离约定执行流程而不被察觉。可验证检索通过零知识证明消除这一信任假设——在不泄露索引的前提下证明结果确实按照约定算法在已承诺的索引上得出。然而要高效实现这一目标非常困难：大规模检索依赖 HNSW 这一基于图的近似最近邻算法，其数据依赖的遍历路径难以映射到零知识证明固定的约束系统上。已有可验证系统因此退而求其次，采用规则化、基于聚类的索引结构，编码更简单，但牺牲了图检索的召回率。本文提出 Atlas：其核心是一套针对 HNSW 搜索的新型零知识证明，由三项技术构成——(1) 预处理把所有与数据库规模相关的开销转移到离线阶段，使单次查询的证明开销只随遍历过程而非数据库规模增长；(2) 将 HNSW 重构为固定大小状态的流程，并证明该重构返回与原算法相同的结果；(3) 时间步标记批处理，把整个遍历中每一步的论证合并为一个。Atlas 是首个在规模化场景下演示可验证图检索的系统：在 SIFT1M 基准上单查询证明耗时低于一秒，在 1 亿向量规模下为 2.0 秒，同时保持与明文 HNSW 相同的召回率，并且除检索结果本身外不泄露任何索引信息。在完整 RAG 流水线中，Atlas 的可验证检索保持端到端答案质量，且相比此前所有可验证检索系统，在更低证明成本下达到更高答案质量。适合关注可信 AI 基础设施、隐私增强技术、向量数据库与 RAG 安全的研究者与工程师阅读。

传统轻客户端依赖验证者每个区块都通过 Merkle 树等状态承诺对整个区块链状态进行提交，客户端从而能用短证明验证事实。但维护大规模且不断增长的状态树给验证者带来显著负担，且位于区块生产的关键路径上。因此许多现代高吞吐链选择完全避免这种方案。本文提出一个是否能在不要求验证者维护完整状态承诺的前提下支持高效包含证明的问题，并给出了 Guppy 协议。Guppy 让验证者只提交状态更新，而由一个链下的、不受信任的服务基于递归零知识证明（ZKP）维护一个完整的、可验证的 Merkle 树。该设计保持验证者开销可忽略，且不增加区块构建的渐进复杂度。核心思想包含两点：一是使用哈希链承诺将验证者签名验证移出 ZK 电路，从而保持证明电路高效；二是设计了并行递归证明流水线，利用现代 ZKP 中廉价的递归特性，使延迟只随吞吐量对数增长。基于 Plonky2 的实现显示，Guppy 能维护大小为 2^30 的 Merkle 树，同时每秒处理数千个更新，且仅增加 2-4 秒的延迟。

本文提出 ZK-eSIM，一种面向 eSIM 远程配置（GSMA RSP）流程的隐私保护重设计方案。现有 RSP 在配置文件订购和下载阶段会暴露长期标识符，例如稳定的设备标识符 EID、配置文件标识符以及长期证书材料，使得移动运营商和配置文件分发基础设施能够将多次配置事件关联到同一 eUICC，进而结合账户记录关联到同一用户，破坏订阅者匿名性并支持跨会话跟踪。ZK-eSIM 的核心创新包括三部分：(1) 使用零知识证明替代设备标识符的直接披露，以证明设备有效性和资格，而不泄露具体身份；(2) 通过短期一次性假名凭证和每会话唯一标识符强制实现会话不可链接性，防止跨会话跟踪；(3) 设计联合授权的托管机制，实现隐私保护的问责可追溯性，确保任何单一实体无法单方面去匿名化用户。作者形式化了多实体、诚实但好奇（honest-but-curious）威胁模型，并在标准密码学假设下证明了订阅者匿名和会话不可链接性。实现方面，论文在测试 eUICC 上部署了 Java Card 小程序，并修改了 LPA 和 SM-DP+ 服务器，在商用硬件上评估性能。实验量化了相对于传统 RSP 的端到端密码学开销，表明 ZK-eSIM 仅增加可接受的实用开销，在不改变现有 GSMA 角色和接口的前提下弥补了关键隐私缺口。论文适合关注移动通信安全、隐私增强技术和 eSIM 标准化的研究人员及安全架构师阅读。

该论文首次系统性地研究了函数秘密共享（Function Secret Sharing, FSS）中的访问控制问题。FSS 允许一个分发者将函数 f 的份额分发给两个或多个评估者，评估者可以在不泄露 f 本身信息的情况下，对任意输入 x 本地计算出 f(x) 的秘密份额。然而，传统 FSS 模型未验证分发者是否被授权共享特定函数。本文提出了访问控制 FSS 模型：针对函数族 F 及其上的访问控制列表，评估者在收到 f 的份额后，可以有效验证分发者是否持有该 f 的访问密钥。该模型支持多种新应用，包括多方环境中的匿名认证、私有数据库中的访问控制，以及匿名通信系统中的认证和垃圾信息防护。文中定义的形式化构造抽象并改进了近期多个系统中临时实现 FSS 访问控制的方案。其核心效率提升模块是一个基于离散对数的、支持秘密共享元素上的零知识证明（ZKPoK），该模块本身可能具有独立的研究价值。实验评估表明，在匿名通信场景中，与现有访问控制技术相比，计算开销降低了 50 至 70 倍；在私有数据库应用中，当数据库条目达到 500,000 条以上时，引入访问控制带来的摊销处理成本仅为 1.5 至 3 倍。该工作适合密码学、隐私计算、匿名通信和数据库安全领域的研究者与工程师阅读。

本文报告了 OreProof 的设计科学实践：一个面向关键矿物（以黄金为实例）供应链的可追溯性平台原型。核心问题在于供应链中存在结构性矛盾：监管方和买家要求可验证的来源，而上游参与者不愿透露供应商身份、品位/产量和价格等敏感信息。OreProof 旨在解决这种“可验证性与披露性”之间的权衡。架构上采用混合链上/链下数据模型，利用 Groth16 零知识证明实现选择性披露，使用 Merkle 批量锚定管线提升吞吐量，并在公共 zkEVM 测试网上签发符合 UNTP（联合国可追溯性协议）的可验证凭证。实验对比了透明基线，在既定攻击者模型下，可直接推断的机密属性从四类中的三类降至零；批量锚定显著提高了处理量。论文贡献包括原型工件和四条初步设计原则：1）对承诺数据进行证明而不是暴露数据；2）仅验证原始来源并标记混合商品中的未知输入；3）从一开始就签发符合标准的凭证；4）按供应链角色划分披露权限。适合对供应链安全、零知识证明应用、可追溯性系统和隐私保护设计感兴趣的研究人员与从业者阅读。

该论文针对多智能体AI平台从试运行快速走向生产过程中代理间信任机制原始的问题。当前代理要么传输原始数据（过度共享），要么接受对方的自然语言自我声明（不可验证且易受提示注入攻击）。现有应对方案侧重于身份、可见性和事后检测，而近期提出的密码学强制策略仅停留在仿真阶段。作者将可验证的数据最小化从提案推进到运行系统：设计了一个零知识证明网关（Zero-Knowledge Proof Gateway），使代理间交换的是经过治理定义的谓词证明（如“值在政策允许范围内”），而非数据本身，从而在架构上预防数据暴露而非事后检测。由于现有互操作协议无法直接承载此类证明，他们提出一种“槽”（slot）机制，并从一个端点同时实现到MCP（Model Context Protocol）和Agent2Agent协议。性能测试表明，32位阈值谓词在单个商用vCPU上证明耗时6.2毫秒，验证耗时1.0毫秒，生成的Bulletproofs证明仅为608字节；通过11个对抗性实验和19项协议一致性检查，并已部署到Kubernetes环境验证网络隔离。案例研究证明零售客户订单金额在限额内，但全程不泄露具体金额，落地了GDPR的数据最小化原则，并成为欧盟法律明确点名的可强制执行技术措施。论文进一步处理了一个现有工作未解决的空白：谓词证明只将语句绑定到承诺值，并不绑定到记录系统。作者构建了一种双向融合飞地（enclave）证明与谓词证明的方法，使验证单个工件可同时证明“谓词成立”且“该值由特定被测量的二进制程序读取”，并用模拟权威机构进行了测试。该研究适合关注AI代理安全、数据最小化、密码学协议工程与隐私保护技术的安全研究人员、AI平台架构师及合规工程师阅读。

该论文提出 zkLogin，一种面向区块链系统的隐私保护认证方案，允许用户使用现有的 Web2 身份凭据（如 Google、Facebook 等 OAuth 账号）登录区块链应用，而无需管理私钥或助记词。核心思想是利用零知识证明（ZKP）将传统身份提供方（IdP）颁发的签名令牌转换为与区块链账户绑定的临时密钥对，从而在链上完成签名操作时不会泄露用户的真实身份或 IdP 凭据。具体地，zkLogin 让用户向 IdP 获取一个短期有效的签名消息，该消息包含用户的随机主种子（main seed）的承诺；用户通过零知识证明向区块链验证器证明自己拥有与该承诺对应的种子，并在交易中使用由种子派生出的临时密钥对签名。区块链节点仅需要验证 ZKP 和来自 IdP 的签名，而无需重新信任 IdP 或获取用户的长期秘密。论文还详细描述了协议的安全模型、性能开销（包括证明生成与验证成本），并与现有方案（如社交恢复、多方计算钱包）进行了对比。实验表明，在移动设备上生成证明的时间在可接受的秒级范围，链上验证成本远低于传统基于椭圆曲线多签的方案。该工作为解决区块链钱包的易用性与隐私性矛盾提供了新思路，适合区块链基础设施开发者、钱包提供商以及关注身份认证隐私的研究人员阅读。

本文提出了一种名为 zkCross 的新型跨链隐私保护审计架构。随着区块链生态中跨链交互日益频繁，跨链交易的安全性和隐私性成为关键挑战：一方面需要确保跨链数据的完整性和审计可追溯性，另一方面又要保护交易双方的隐私，避免敏感信息泄露。现有跨链方案通常依赖中心化公证人或中继链，难以在去中心化环境下同时满足隐私保护与可审计性。zkCross 结合零知识证明（zk-SNARKs）与跨链通信协议，设计了一种可在不暴露交易细节的前提下验证跨链状态转换正确性的方案。其核心思想是让源链上的交易生成简洁的零知识证明，目标链或审计方仅通过验证该证明即可确信跨链操作符合既定规则，而无需获取原始交易数据。文章还讨论了该架构在跨链资产转移、多链身份认证、合规审计等场景下的适用性，并分析了其安全性、隐私性与性能开销。适合对跨链安全、隐私保护计算、零知识证明应用感兴趣的区块链安全研究者、协议设计者及审计机构人员阅读。

本文提出 ShadowPath，一种面向可验证凭证（Verifiable Credentials）的隐私保护撤销状态验证方案。在可验证凭证模型中，持有者可以出示由颁发者签名的数字声明，而无需颁发者参与每次出示过程。但撤销机制使隐私模型复杂化：验证者必须确认凭证是否仍然有效。传统的状态检查可能暴露重复的标识符、注册表位置或请求元数据，这些信息可能被用作稳定句柄，将持有者的不同出示行为关联起来，从而导致用户被跟踪。ShadowPath 的核心思想是将凭证状态查询从验证者侧转移到持有者侧。每次出示时，持有者在本地获取由验证者选定的注册表根，并生成零知识证明，表明其凭证在该注册表根下未被撤销。验证者只能获得最终的状态结果，而无法获知任何可观察的元数据，例如凭证索引或查询时间。作者首次将 Verkle 树应用于凭证撤销场景，并与稀疏 Merkle 树进行系统比较，以评估路径深度缩短带来的收益是否能抵消 KZG 多项式承诺认证的更高计算开销。实验基于 30 次桌面设备测试，结果显示：Groth16 证明生成时间的中位数在稀疏 Merkle 树下为 371.6 毫秒，而 Verkle 树为 2.11 秒；验证时间分别为 3.70 毫秒和 7.55 毫秒。在两类主流移动设备上，基于 Verkle 树的 Groth16 证明生成时间约为 3 秒。这些数据表明，更短的身份认证路径并不必然带来更廉价的零知识证明，因为 Verkle 树所依赖的 KZG 承诺在证明生成阶段引入了显著开销。此外，论文证明，在使用新鲜的会话随机数且假设会话值的独立性时，验证者可见的状态数据不会揭示两次出示是否使用了同一凭证，但这一保证并不涵盖颁发者与验证者串通或存在同步流量的场景。该研究为可验证凭证撤销机制的设计提供了重要的实验数据和理论分析，尤其适用于对隐私敏感的去中心化身份系统。

本文提出 PANDA，一个基于零知识证明（ZKP）的可扩展系统，用于在保护神经网络模型参数私密性的同时，形式化地证明模型的鲁棒性和公平性。随着机器学习模型在安全关键和法律合规场景中的部署日益增多，模型的鲁棒性和公平性保证变得重要，但模型参数常被视为商业机密，不能直接暴露给审计方或终端用户。PANDA 构建在 CROWN 这一高效的鲁棒性认证框架之上，CROWN 已被许多最先进的神经网络形式化验证工具使用。PANDA 的核心贡献是提出一种新的算法，用于证明非线性激活层的线性松弛界，从而生成简单且轻量的证明。实验表明，PANDA 能够在 5 分钟内为超过 290 万参数的神经网络生成局部鲁棒性证明，并在 10 秒内完成验证。相比之下，之前基于 ZKP 的鲁棒性系统依赖指数时间算法，无法扩展到有意义的网络规模。PANDA 的证明生成和验证复杂度在神经元数量上呈多项式增长，因此能够支持的神经网络规模比之前方法大 4 个数量级，同时显著降低证明者的开销。该研究面向机器学习安全、形式化验证和密码学交叉领域的研究人员，尤其适合关注模型完整性证明和隐私保护下的认证技术的安全从业者。

本文提出 MatRiCT+，一个基于后量子格假设的实用型区块链隐私支付协议。该工作建立在 Esgin 等人于 ACM CCS 2019 发表的 MatRiCT 协议之上，整体遵循门罗币（Monero）中使用的 Ring Confidential Transactions（RingCT）思路，旨在为隐私保护加密货币提供可抵御量子计算攻击的高效方案。与 MatRiCT 相比，MatRiCT+ 在典型交易场景下实现了 2 至 18 倍的证明长度缩减（具体取决于输入账户数量 M），并实现了 3 至 11 倍的运行速度提升。其关键优势在于证明长度对输入账户数量 M 的依赖仅为对数级别（O(log M)），而 MatRiCT 的证明长度与 M 成线性关系。为支撑这一效率，作者设计了多种新颖技术来构造紧凑的基于格的零知识证明系统，充分利用了实际格密码中常用的 2 的幂次分圆环的代数性质。此外，作者还通过一种称为 partition-and-sample 的技术设计了一族“最优”挑战空间，该挑战空间具有最小 l1 范数，并且挑战差值以压倒性概率可逆，同时支持高分裂的 2 的幂次分圆环。作者认为这些结果具有广泛的适用性和独立的研究价值。本文的核心贡献在于：1) 提出更高效的后量子区块链隐私支付协议；2) 设计了紧凑的格基零知识证明协议；3) 提出最优挑战空间构建方法。适合对后量子密码学、区块链隐私保护、零知识证明方向感兴趣的研究人员和工程技术人员阅读。

这篇名为《Coral: Fast Succinct Non-Interactive Zero-Knowledge CFG Proofs》的学术论文提出了一种新的零知识证明系统，专门用于验证上下文无关文法（CFG）相关的计算。研究的核心问题是在不泄露任何底层信息的前提下，高效地证明某段数据符合给定的CFG规则，例如验证一个字符串是否由特定语法生成、检查代码的语法合法性或处理序列数据。传统的零知识证明系统在处理CFG时往往需要将文法转换为电路或约束系统，导致证明生成和验证的开销较大。Coral直接利用CFG的结构，构建了一种自定义的简洁非交互式零知识证明（zk-SNARK）方案。该方法通过将文法规则编码为多项式约束，并结合多项式承诺和交互式预言机证明（IOP）技术，实现了对数级别的证明大小和常数级别的验证时间。实验结果表明，Coral在证明生成速度和验证效率上相较于现有的通用零知识证明系统有显著提升，尤其是在处理大型CFG规则集时。论文的贡献包括理论上的证明系统设计、安全证明以及针对性能优化的实现细节。该研究适合对零知识证明底层协议、形式语言验证以及高效隐私保护计算感兴趣的密码学研究人员和安全工程师阅读。由于本文仅提供了摘要，具体的技术方案和实验数据需要阅读全文才能进一步确认。

本文提出了一种针对LLM推理零知识证明验证的新型攻击——Hollow-LLM攻击。在零知识证明（ZKP）场景中，验证者通常需要检查证明者是否基于正确权重执行了推理，但本文发现攻击者可以构造一类“计算上琐碎”的权重，即权重值极小或特定模式，使得验证过程中的多项式承诺或线性测试极易通过，从而在完全不进行真实推理的情况下欺骗验证者。具体地，攻击者利用零知识证明协议中算术电路的特定门约束，将所有权重设置为接近零或具有特殊代数结构的值，导致验证者无法区分真实推理与伪造证明。实验表明，该攻击在多个主流ZKP系统（如crypto、Groth16等）上成功，且对证明大小和验证时间影响微小。该研究揭示了当前LLM推理完整性验证机制在对抗性权重攻击下的脆弱性，强调了在部署ZKP验证时需额外检查权重分布或引入一致性约束。

该论文旨在解决机器学习模型输出结果的可公开验证性问题。作者在Goldwasser等人提出的交互式学习证明框架基础上，首次研究了非交互式学习证明，并定义了一种新概念：公开可验证的统计有效性证书（Publicly-Verifiable Certificates of Statistical Validity, pvCSVs）。该证书允许学习算法发布一个假设h及其对应的证书π，任何持有特定分布的用户都能有效验证该假设在该分布下是否有效。论文重点在自适应统计查询（Adaptive Statistical Query, SQ）算法场景下构造pvCSVs。对于进行了k次自适应查询的SQ算法，作者构建的pvCSVs的样本复杂度仅为O(log k)，而最优学习算法的样本复杂度为~O(√k)，展现了显著优势。此外，论文更广泛地研究了SQ模型中的学习证明系统，展示了该模型的优势与局限性。该工作为机器学习模型的可验证性、鲁棒性和公平性认证提供了新思路，尤其适用于需要公开验证模型性能的场景，如联邦学习、可信AI审计等。

本文针对下一代软件定义汽车（SDV）中区域化架构（ZoA）下OTA更新的安全挑战，提出了一种基于硬件根信任和隐私保护的认证协议zk-ScalHard。当前主流标准Uptane和AUTOSAR Adaptive依赖公钥基础设施（PKI），但随着电子控制单元（ECU）数量激增，PKI认证方式在车内和车云通信中产生带宽瓶颈，且集中式架构易泄露敏感车辆配置和乘客隐私。zk-ScalHard引入基于硅物理不可克隆函数（PUF）的去中心化层次信任模型，并设计了两种新型零知识证明（ZKP）电路：区域身份与完整性（ZIDI）电路和高性能计算聚合（HPCA）电路。这些电路结合多方计算（MPC）和递归聚合技术，实现了去中心化和可扩展性。通过将ZKP与PUF集成，协议保证了车辆级数据主权。与Uptane相比，zk-ScalHard实现了通信和验证复杂度O(1)常数级，而传统方案为O(n)线性复杂度。实验评估显示，认证带宽降低99.2%，时间攻击面减少99.9%。该架构符合GDPR要求，为未来区域化SDV提供了可扩展、安全且隐私保护的认证方案。

本文研究了在流式认证数据上实现隐私保护证明的问题。在该场景中，服务器从可信数据提供者处持续接收数据流，并被要求向第三方正确且隐私地证明对数据执行的计算结果。第三方除了知道声称结果的正确性外，不获得任何数据信息。挑战在于第三方仅与服务器通信，却能验证结果相对于提供者所认证数据的有效性。该问题广泛应用于股票市场监控与预测服务、政府基于大型医疗数据库发布的统计等场景，这些都需要可靠且可扩展的解决方案。论文提出了针对签名数据的高效零知识证明方法，支持对数据流进行可验证计算，同时确保数据隐私。主要贡献包括：形式化定义了流式认证数据上的零知识证明模型，设计了高效的协议实现，并通过实验证明了其性能优势。适合密码学、隐私保护计算、数据流处理等领域的研究人员和工程师阅读。

本文提出了一种新的机器学习模型认证度量——方向锐度（Directional Sharpness），旨在高效且可靠地指示模型的泛化能力。在模型认证中，泛化能力是关键质量指标，但直接认证泛化不可行，因为它依赖于未知数据且不可直接测量。传统代理指标如测试准确率在训练过程受扰动时可能产生误导，而现有度量如锐度（Sharpness）虽有实证支持与泛化相关，但计算成本高，且在训练偏离规定流程时可能不可靠。方向锐度通过关注特定方向上的损失变化，能够在训练偏差存在的情况下更有效地评估泛化能力。实验和分析表明，方向锐度与泛化能力的相关性优于现有度量，且能更可靠地识别泛化能力差的模型。此外，方向锐度在模型审计场景中可高效计算，验证者可以访问训练数据，并通过零知识证明（Zero-Knowledge Proofs）在不暴露训练数据的前提下认证模型质量。本文适合对机器学习模型可靠性、安全认证、以及隐私保护验证感兴趣的从业人员阅读。

该论文提出了一种名为 PriME-Deal 的隐私保护双边数据交易协议，旨在解决现有基于属性的访问控制方案在数据交易中存在的策略泄露、计算开销大、依赖可信第三方等问题。PriME-Deal 是一个非交互式协议，能够在公共区块链上同时实现策略隐藏的双边匹配、高效的阈值访问控制和可审计的公平交换。核心方法包括：卖家将秘密令牌嵌入到基于伪随机掩码的 oblivious 键值存储中，该令牌受买家策略保护；买家通过标签探测在本地重构令牌，无需组合枚举，并通过零知识证明证明重构的正确性。公平交换通过链上抵押披露和加密审计机制实现，无需可信第三方。安全性在通用可组合框架下基于标准假设证明。实验表明，与最先进的阈值模糊 IB-ME 方案相比，卖家发布时间减少两个数量级（策略含 500 个属性时，8.76 秒 vs 690 秒）；在典型配置 (200,20,5) 下，买家令牌重构和证明生成需 8.9 秒，其中零知识证明仅需 0.6 秒且与参数规模无关；链上成本约 2860 万 gas，远低于以太坊区块限制。该协议是首个同时实现线性卖方开销、双边策略隐藏和可审计公平性的实用隐私保护数据交易方案。

本文研究多验证者零知识证明（MVZK）协议的效率问题。MVZK 作为非交互式零知识证明和指定验证者零知识证明之间的中间方案，具有广泛的应用场景，例如区块链中的隐私保护、去中心化计算等。现有的大多数 MVZK 协议假设大多数验证者是诚实的，或者在处理环运算时效率低下。本文提出了一种新的 MVZK 协议，适用于预处理模型，并且允许任意恒定比例的验证者被腐败（与证明者合谋）。该协议是首个基于环（ring）的 MVZK 方案，不同于先前在域上的研究（针对不诚实多数情况），其通信复杂度与验证者数量无关，而先前方案的通信复杂度随验证者数量线性增长。这一关键进步显著提升了可扩展性和效率。作者提供了端到端的实现，并通过基准测试展示了性能：在64个验证者且50%腐败率下，吞吐量达到147万门/秒；在75%腐败率下，吞吐量为88万门/秒。该工作适用于密码学研究者、零知识证明系统构建者以及需要高效多验证者零知识证明的应用开发人员。

本文提出 FIDEM，一个符合 MUD（Manufacturer Usage Description）标准的框架，用于安全绑定 IoT 设备与其 MUD 配置文件。MUD 标准允许制造商通过在线 MUD 文件指定设备的预期网络流量，从而在网络边缘实施访问控制。设备会广播一个指向该文件的 URL，但标准并未定义如何安全地将设备与其配置文件绑定。这导致恶意设备可以通过广告其他合法设备的 MUD URL 来操纵网络策略执行。现有解决方案存在依赖公钥基础设施（PKI）、不符合标准、需要制造商过多参与或无法支持安全配置文件更新等问题。FIDEM 通过基于零知识证明（ZKP）的认证机制，在 DHCP 扩展中实现设备与配置文件的加密绑定，无需 PKI，最小化制造商参与，并支持安全配置文件更新。形式化分析表明，FIDEM 能抵御比先前工作更强的攻击者模型，包括供应链妥协和利用合法设备作为加密预言机的攻击。在 ESP32-S3 和 ESP32-C6 两种参考受限设备上的实际评估显示，与标准 DHCP 相比，FIDEM 仅引入约 5ms 延迟和 20mJ 能量开销，相较于基于证书的方案速度提升约 20 倍，能耗降低 35%。该研究为 IoT 安全策略的自动实施提供了实用且符合标准的解决方案。

本文针对现有RingCT（环机密交易）协议在处理多输入交易时效率低、匿名性弱的问题，提出了一种新型的任意多证明（any-out-of-many proof）方案。该方案是一种对数大小的零知识证明，用于证明公开列表中存在任意数量的秘密，且不泄露秘密的具体个数，克服了以往部分知识证明必须暴露秘密数量的缺陷。作者还通过通用的内积变换技术，结合Bulletproofs压缩方法，将证明大小优化至2⌈log₂(N)⌉+9。基于该证明方案，他们构建了一个紧凑的RingCT协议，能够为多输入交易提供对数级别的通信复杂度，并在匿名性上达到已知最高水平，优于Omniring等方法。此外，该协议经修改还可应用于多重环签名等场景。论文的主要贡献是提出了首个基于部分知识证明的、具有最强匿名性的RingCT协议，并展示了其在区块链隐私保护中的广泛适用性。

该论文提出了 VeriLoRA，首个将低秩适配（LoRA）微调与零知识证明（ZKP）相结合的框架，旨在解决大语言模型（LLM）在不可信环境下微调的安全性和可验证性问题。LoRA 通过低秩矩阵分解大幅降低微调所需的计算和存储资源，但标准 LoRA 过程无法保证参数更新的正确性和数据隐私。VeriLoRA 利用先进的密码学原语——包括查找参数（lookup arguments）、和校验协议（sumcheck protocols）以及多项式承诺（polynomial commitments）——为基于 Transformer 架构的 LLM 微调中的前向传播、反向传播和参数更新提供端到端的可验证性。该框架能确保微调过程的正确性，同时保护模型参数和训练数据的隐私。实验基于开源 LLaMA 模型（最大 13B 参数），使用 GPU 实现验证了其实际可行性。VeriLoRA 填补了参数高效微调与可验证安全之间的空白，为在敏感或不可信环境中安全部署 LLM 提供了关键技术支持。适合对 LLM 安全、隐私保护、密码学应用感兴趣的研究人员阅读。

该论文提出 ZKSL，一个可验证且高效的拆分/联邦学习框架，将训练过程与零知识证明相结合。核心目标是实现联邦学习的隐私保护与可验证正确性，同时避免高昂的证明开销。ZKSL 通过三个设计支柱实现： (i) 层间并行证明，逐层生成证明并聚合； (ii) PC-PLONK，引入专用的隐私承诺列来高效强制执行跨层一致性，避免在电路内进行哈希（在论文规模下不可行）或脱离电路进行哈希（破坏零知识信任模型）； (iii) 异步计算-证明调度（K-window），将随机梯度下降与证明解耦，使训练过程不会因证明生成而停滞。论文提供了开源原型，包括立即可用的配置和脚本，可复现 LeNet（两方）和 DeepFM（三方）上的关键结果。它产生结构化日志，记录前向/梯度/反向各阶段的证明生成时间。预期结果是，在启用分层并行时，前向和反向阶段的证明时间显著减少，并且在异步调度下端到端吞吐量更高，与论文图表中报告的趋势一致。该工作适合关注隐私保护机器学习、联邦学习安全性和可验证计算的研究人员和工程师阅读。

数据估值是数据市场中的核心任务，Shapley值归因用于决定买方的付款如何在数据提供者之间分配。传统上，市场运营商独立执行归因，但要求参与者和外部审计员信任无法在底层私有数据上独立重算的分数。零知识证明（ZKP）理论上可以协调隐私与可验证性之间的冲突，但现有ZK估值系统由于证明时间过长或需要公开验证集而无法满足实际市场需求。本文提出ZK-Value，一个实用的端到端ZK数据估值系统。系统通过完全协同设计的架构解决可扩展性瓶颈：(1) LSH-Shapley，一种基于局部敏感哈希的估值原语，用每个桶的碰撞计数替代昂贵的成对距离度量，显著降低计算复杂度；(2) ZK-LSH-Shapley，一个定制的ZKP协议，通过将碰撞计数编码为桶级直方图而非朴素成对张量，大幅减少见证大小，从而降低证明开销；(3) 结构性的证明系统优化，包括超预言机批处理和稀疏性跳过，进一步加速证明生成。在12个标准数据集上的实验表明，ZK-Value的估值质量与当前最先进的KNN-Shapley基线相当（AUROC差异在0.033以内），证明生成时间从数秒到数分钟，比专门设计的ZK基线快12.6到68.1倍，验证时间低于4.6秒。该工作为数据市场中隐私保护且可验证的数据估值提供了实用的解决方案。

该论文提出了一种名为 Dubhe 的零知识证明系统，专门针对标准 AES 加密算法实现了高效、简洁的证明。传统的零知识证明（如基于 R1CS 或 QAP 的方案）在处理 AES 这类复杂算术电路时往往面临巨大的证明尺寸和验证开销。Dubhe 通过设计定制的算术化电路和多项式承诺方案，显著降低了 AES 计算电路的表示复杂度，使得证明尺寸仅为几百字节，验证时间达到亚秒级。论文详细描述了 Dubhe 的算术系统：将 AES 的字节代换、行移位、列混合和轮密钥加操作转化为低次数的多项式约束，并利用新型的线性时间可验证的批处理技术来合并多个门。实验结果表明，对于 AES-128 的加密操作，Dubhe 的证明生成时间约 10 秒，验证时间 50 微秒，证明大小 1.5KB。此外，论文还讨论了 Dubhe 在密码学锁箱、隐私交易和可验证计算等应用中的潜力。该工作为在资源受限设备或区块链场景中证明 AES 运算的正确性提供了可行的密码学工具。