零知识证明（ZKP）已成为隐私和可验证计算的核心技术，广泛应用于保护处理数十亿美元的数字货币区块链以及处理敏感个人数据的身份应用。然而，ZKP系统复杂，细微的实现错误可能完全破坏其安全保障，使攻击者能够伪造货币或身份证明。为此，研究人员和从业者开发了越来越多的漏洞检测和形式化验证方法来确保这些系统的安全性。但它们的实际有效性和采用情况仍不明确。本文旨在阐明ZKP安全工具的现状。首先，我们系统化了这些工具的格局，发现大多数工具针对Circom，而对较新的DSL和zkVM的支持有限。接着，我们使用六个工具对70个真实世界漏洞进行了评估，发现这些工具在隔离目标上检测到45.7%的漏洞，但在完整代码库上，检测率降至19.6%，且重要的漏洞类别未被覆盖。我们还首次对形式化验证工作进行了系统分析，揭示当前工作主要集中在约束正确性上，并指出了关键差距和风险。最后，我们对48位从业者进行了调查，结果显示开发和安全性仍然以人为主导，LLM被广泛使用，从业者更青睐具有更清晰保证和更低集成难度的工具。总体而言，我们的结果强调了将安全工具更好地集成到开发和审计过程中的必要性，并为研究人员和从业者提供了可操作的见解。本文适合需要了解ZKP安全工具现状、有效性及挑战的安全研究人员、区块链开发者以及审计人员阅读。

同态加密（HE）允许在不解密的情况下对加密数据进行计算，广泛应用于隐私保护场景。然而，HE的安全性通常假设服务器是“诚实但好奇”的，即服务器会忠实执行计算。若服务器是恶意的，则无法保证计算结果的正确性。可验证HE（vHE）旨在检测恶意行为，但现有方案要么比底层HE操作慢四个数量级以上（Atapoor等，CIC 2024），要么虽快但与服务器端私有输入不兼容（Chatel等，CCS 2024）。本文提出ZHE框架：高效零知识证明（ZKP），用于证明HE评估的正确执行，同时保护服务器的私有输入。具体贡献包括：（1）为模运算和（逆）数论变换（NTT）设计了两种新的高效ZKP，它们是HE评估的基本运算；（2）构建了针对HE评估的定制化ZKP，具有可扩展性、快速证明时间、非交互式在线阶段，适用于所有基于Ring-LWE的HE方案（如BGV和CKKS）；（3）基于BGV和CKKS实现了协议，并在多种HE工作负载上进行了大量实验。与最先进工作相比，证明者和验证者时间均有提升；特别是证明者成本仅为底层HE操作的约27–36倍，比最先进工作便宜2到3个数量级。

本文提出并研究了零知识训练证明（zkPoT）的概念，旨在解决模型所有者如何在保护训练数据集和最终模型隐私的前提下，向验证者证明其模型是按照正确规范训练的。作者首先形式化了zkPoT的安全定义，包括完备性、可靠性和零知识性等属性，为隐私保护的训练证明提供了严格的安全模型。尽管理论上可以使用通用零知识证明系统为任意模型构建zkPoT，但该方法会导致证明生成时间过长，不适用于实际场景。为此，本文创新性地结合了MPC-in-the-head（将多方计算思想用于零知识证明）和zkSNARKs（简洁的非交互式零知识论证）两种技术路线，通过在证明大小和计算时间之间取得平衡，设计出具体高效的协议。作者将这一思想实例化，针对逻辑回归模型提出了一个新颖的zkPoT协议，并进行了实验验证。实验结果表明，该协议在保持隐私性的同时，显著降低了证明生成的开销，使得zkPoT在实际部署中成为可能。本文的主要贡献包括：首次形式化定义zkPoT安全模型；提出结合MPC-in-the-head与zkSNARKs的混合设计范式；针对逻辑回归给出具体协议实现并证明其安全性。该工作适用于对模型训练完整性有严格要求的场景，如合规审计、联邦学习验证、以及可信机器学习即服务等。

本文提出了一种基于向量不经意线性评估（VOLE）的高效零知识证明协议套件JesseQ，包含JQv1和JQv2两个变体。零知识证明在隐私保护、区块链验证等领域具有广泛应用，但现有协议如QuickSilver和LPZKv2在证明者计算开销上仍有优化空间。JQv1针对布尔电路，每个AND门仅需扩展域上2次标量乘法（每次为O(κ)比特运算，κ=128为安全参数），且每个门仅需1个域元素通信；对于大域算术电路，每个乘法门仅需2次域乘法。JQv2以证明者计算量翻倍为代价，将通信成本再减半。实验表明，在布尔电路在线阶段，JQv1和JQv2相比现有最优方案实现至少3.9倍加速；大域电路方面，JQv1性能相近，JQv2提升1.3倍。通信成本保持不变或更优。值得注意的是，在廉价AWS实例上，JQv1仅需1美元即可证明9.2万亿个AND门（或61比特域上的5.8万亿个乘法门）。JQv在点积、矩阵乘法、格密码问题等应用中相比QuickSilver有40%-200%的性能提升，并能无缝集成Batchman框架，进一步提升批处理析取语句的效率。