零知识证明可以在不重新运行工作负载、也不暴露敏感数据的情况下验证计算结果。Magnetar 通过支持标准编程语言、显著的速度提升以及抗量子安全特性，助力零知识证明走向主流：https://t.co/y9sI0sFWJw https://t.co/0lMcdsG9sU

Magnetar 带来更快、更简单、抗量子的零知识证明

来源：https://www.microsoft.com/en-us/research/blog/proof-based-general-purpose-computing-with-magnetar/ Magnetar 能证明程序的执行过程，并返回一个任何人都可以验证的小型证明，其安全性仅依赖于标准哈希函数。

概览

• 一种全新的计算范式。 零知识证明让你运行一个工作负载，在获得结果的同时，还能获得一份简短的证明，表明程序被正确执行。任何人都可以在毫秒内验证这份证明——无需重新运行程序，无需信任执行者，也不需要程序所处理的原始数据。
• 三大挑战一直阻碍着零知识证明的广泛采用：让证明的生成速度足够快；让普通程序无需密码学专业知识即可使用；以及让证明所依赖的密码学在几十年后仍然可信。
• Magnetar 在这三个挑战上都取得了重大进展。 它能证明用 Rust、Go 或 C 编写的程序，平均速度比此前最快的同类系统快 10 到 39 倍，且安全性仅依赖于标准哈希函数。这是微软研究院十多年零知识证明实用化研究的最新成果。

一种全新的计算范式

计算机产生的每个结果都隐含着一个问题：程序是否如声明的那样运行，并产生了正确的输出？如今，回答这个问题往往需要在验证之外附带一定程度的信任。我们信任运营者、供应商、交易对手或代理，并依靠合同、审计和日志来建立这种信任。

零知识证明提供了一种建立信任的根本不同的方法。程序运行后，在输出结果的同时还会生成一份简短的证明——一份密码学证书，证明该程序在这些输入下产生了这些输出。证明体积小、验证速度快。收到证明的人可以在毫秒内确认结果，无需重新运行程序，并且可以将证明传递给任何需要相同保证的人。借助零知识特性，证明还不会泄露任何本应保密的输入信息。

这改变了现实世界中“正确性“的含义。一个结果不再因为出自谁手而被信任，而是因为它所附带的证明而可被验证。一个代表他人行事的 AI 代理可以附上证明，表明每个动作都符合其获授权限的策略。受监管的金融机构可以证明交易被正确处理，而无需公开交易内容。一旦生成证明变得像运行程序一样常规，这些都将成为可能。

三大挑战

零知识证明发明于 1980 年代，证明程序执行的相关理念也几乎同时出现。阻碍它们成为通用工具的，是三个至今未能同时解决的挑战。

效率。 从历史上看，生成证明所需的计算量比运行程序本身高出数百万倍。经过多年研究，这一开销已大幅降低，但最快的系统往往是以在其他方面做出妥协来换取速度的。

通用性和易用性。 许多证明系统要求开发者手动将程序重写为密码学电路——即对该特定计算的固定算术描述。这需要数月时间。应用的每次修改都意味着新的电路，而这种转换本身就是安全漏洞的常见来源。一种通用替代方案是证明普通处理器的执行，使任何已编译的程序都能按原样被证明。但在此之前，这种通用性是以速度或安全上的巨大代价换来的。

安全性。 证明的强度取决于其底层的密码学。许多证明系统依赖椭圆曲线，而足够强大的量子计算机可以破解它。微软正在通过其 Quantum Safe 计划来解决这一问题，将产品和服务迁移到后量子密码学，这一目标最近已提前至 2029 年（https://www.microsoft.com/en-us/security/blog/2026/06/30/microsoft-advances-quantum-safe-security-as-the-risk-timeline-shifts/）。后量子证明系统已经存在，但其中一些依赖格假设，大多数依赖为降低证明成本而新发明的密码学函数。这些新的密码学函数尚未经历保护当今互联网的传统密码学所经受的数十年检验，其中一些还依赖于关于纠错码的、尚未被证明的数学猜想。它们是以强有力的假设换取了速度。

装饰性图片及文字 (https://labs.ai.azure.com/)

Foundry Labs

Foundry Labs 搭建了微软突破性成果与能够将其付诸实践的建设者、科学家和好奇的心灵之间的桥梁。

十余年的研究积累

十多年来，微软研究院一直在致力于使零知识证明和可验证计算变得实用。早期的研究遵循了两条路径，两者都仅对小程序实用。第一种方法（https://dl.acm.org/doi/10.1145/2699436）利用一种称为求和检查协议（sum-check protocol，https://dl.acm.org/doi/10.1145/146585.146605）的技术，让验证者通过与证明者的简短对话来检查一次长计算，但这仅适用于具有特定分层结构的计算。第二种方法（https://eprint.iacr.org/2012/215）使用椭圆曲线密码学为几乎任何计算创建非常小的证明，但这需要一次性的可信设置，涉及秘密信息——一旦泄露，任何人都可以伪造证明。这种方法也容易受到量子计算机的攻击。

2019 年，一种名为 Spartan（https://www.microsoft.com/en-us/research/publication/spartan-efficient-and-general-purpose-zksnarks-without-trusted-setup/）的新零知识证明系统回到了求和检查方法，并使其能够在无需可信设置的情况下用于通用程序。Spartan 还可以用不同的密码学构建模块来实例化。正是这种灵活性，使得该证明系统后来仅依赖于哈希函数来构建。此后一系列成果填补了其余的拼图：

• Phalanx（https://eprint.iacr.org/2021/1263），2021 年，展示了如何利用重复性（例如处理器每一步都执行相同的指令循环），以比 Spartan 快一个数量级的速度证明计算。Magnetar 的处理器描述正是基于这一思想。
• Nova（https://eprint.iacr.org/2021/370）、HyperNova（https://eprint.iacr.org/2023/573）、NeutronNova（https://eprint.iacr.org/2024/1606.pdf）、Neo 和 SuperNeo（https://eprint.iacr.org/2026/242）表明，提前终止 Spartan 的证明过程并将部分结果折叠在一起，可以用远低的成本实际证明任意规模的计算。
• Brakedown（https://eprint.iacr.org/2021/1043），2021 年，引入了一种快速的基于哈希的承诺方案，并将其与 Spartan 结合，诞生了第一个安全性仅依赖标准哈希函数的 Spartan 变体。
• Spice（https://eprint.iacr.org/2018/907）、Lasso（https://eprint.iacr.org/2023/1216）、Nebula（https://eprint.iacr.org/2024/1605），以及随后的 Twist 和 Shout（https://eprint.iacr.org/2025/105），使通用处理器核心的内存操作的证明成本变得低廉；而 Jolt（https://eprint.iacr.org/2023/1217）则表明，将这些技术与 Spartan 结合，可以高效地证明一个完整处理器的执行。
• 今年早些时候，Vega（https://eprint.iacr.org/2025/2094）将这一系列工作应用于数字身份，在不到十分之一秒的时间内证明了政府凭证中的信息（https://www.microsoft.com/en-us/research/blog/vega-zero-knowledge-proofs-for-digital-identity-in-the-age-of-ai/）。
• 更近期，BinarySpartan（https://eprint.iacr.org/2026/1656）将 Spartan 带入了二进制域——在二进制域中，处理器的逻辑和标准哈希函数都可以被高效表达。BinarySpartan 还依赖于 Ligerito（https://eprint.iacr.org/2025/1187），一种 Brakedown 风格但证明更短的承诺方案，以及环切换（ring switching，https://eprint.iacr.org/2024/504）技术，使比特向量的承诺更加高效。

每项工作各自解决了一部分问题。Magnetar 正是这些拼图汇聚之处。

Magnetar（https://www.microsoft.com/en-us/research/publication/magnetar-high-speed-post-quantumrv64-zkvm-from-standard-hashes/）是一个零知识虚拟机，也称 zkVM，它在三大挑战上同时取得了重大进展。

图 1. Magnetar 证明程序的执行过程，并返回一个任何人都可以验证的小型证明，其安全性仅依赖于标准哈希函数。

它是通用的。 Magnetar 证明 RISC-V 的执行——RISC-V 是一种开源处理器架构，拥有针对每种主流语言的成熟编译器。开发者用 Rust、Go 或 C 编写程序，像平常一样编译，Magnetar 就能按原样证明它。试想这意味着什么：一项业务策略、一条数据管道、或者一个以太坊虚拟机（EVM）解释器，都不过是一个程序而已，已经维护它们的工程师可以按原样证明其执行过程。因此，证明不再是少数专家的专属工作。

它比同类系统更快。 Magnetar 在笔记本电脑上每秒可证明 720 万到 870 万条处理器指令。在 15 个基准测试程序中——从密码学哈希到小型 EVM 解释器内的代币转账——其平均速度比同一台机器上最快的现有 zkVM 快 10 到 39 倍，在代币转账基准测试中比另外两个系统快 300 倍以上。经过优化的 Magnetar 每秒可证明 950 万到 1280 万个周期，这将本文报告的每项加速提升约 1.3 倍。其证明的验证时间约为 12 毫秒。

它的安全性依赖于标准密码学。 Magnetar 依赖标准哈希函数（如 SHA-256 或 SHA-3），这些正是已经保护着各组织系统的相同原语。它不需要椭圆曲线、不需要格、不需要专用哈希函数、不需要可信设置，也不需要任何关于纠错码的未证明猜想。哈希函数是密码学工具箱中被研究得最透彻的原语，也是 NIST 将其作为自身保守的后量子选项进行标准化的无状态哈希签名的基础。对于一个仍需在未来数十年保持可信的系统而言，仅依赖标准哈希函数意味着无需在路线图中安排密码学迁移。

同一设计决策还带来了第二个红利。验证 Magnetar 证明主要由评估标准哈希函数和二进制域算术组成，而这正是 Magnetar 能高效证明的操作。因此，验证证明本身就是它的常规工作负载。这使得 Magnetar 能够通过分段证明再合并的方式证明任意规模的计算，也使它能够证明账本或区块链等长时间运行的系统。

这篇技术论文（https://www.microsoft.com/en-us/research/publication/magnetar-high-speed-post-quantumrv64-zkvm-from-standard-hashes/）给出了完整的设计、安全分析和测量数据。

展望未来

Magnetar 将零知识证明和可验证计算推进到了一个新的阶段：它们可以基于组织已经信任的密码学来构建，速度足以实用，且由编写普通代码的工程师即可使用。Magnetar 让密码学证明成为计算的常规输出成为可能。我们预计，技术领导者将不再纠结于执行证明是否实用，而是转而关注哪些结果他们更希望去验证，而非直接信任。

如果您有兴趣探索零知识证明如何支持您的用例，欢迎与我们联系。