Jahrelang galt zk-ML als das eleganteste und zugleich unpraktischste Versprechen der KI-Krypto-Szene: ein kryptografischer Beweis, der zeigt, dass ein KI-Modell eine Ausgabe wirklich so berechnet hat, wie es behauptet, ohne dass jemand die Rechnung nachvollziehen muss. Elegant, weil er Vertrauen durch Mathematik ersetzt. Unpraktisch, weil ein solcher Beweis f\u00fcr ein ernstzunehmendes Modell schlicht zu teuer war. 2026 hat sich dieses Bild verschoben. Zum ersten Mal wurde die vollst\u00e4ndige Inferenz eines echten Sprachmodells bewiesen, neue Verfahren senkten die Kosten f\u00fcr die teuersten Rechenschritte drastisch, und erste Anwendungen laufen produktiv.<\/p>
Und trotzdem notieren die Token der Projekte, die diese Technik bauen, zwischen 89 und fast 100 Prozent unter ihren H\u00f6chstst\u00e4nden. Dieser Text erkl\u00e4rt, was zk-ML ist, warum es so schwer war, warum 2026 der Wendepunkt kam, wof\u00fcr die Technik heute wirklich benutzt wird und warum die Kluft zwischen funktionierender Technik und einbrechenden Kursen so gro\u00df ist. F\u00fcr deutsche Anlegerinnen und Anleger ordnet er au\u00dferdem ein, wo BaFin und MiCA greifen und wo nicht.<\/p>
zk-ML steht f\u00fcr Zero-Knowledge Machine Learning: die Anwendung von Zero-Knowledge-Beweisen, meist ZK-SNARKs oder ZK-STARKs, auf die Ausf\u00fchrung eines maschinellen Lernmodells. Der Kern ist einfach zu benennen, auch wenn die Umsetzung es nicht ist. Wer ein KI-Modell auf einem fremden Server laufen l\u00e4sst, bekommt eine Antwort zur\u00fcck, hat aber keinerlei Garantie, dass dieser Server tats\u00e4chlich das versprochene Modell auf die versprochene Eingabe angewendet hat. Vielleicht hat er ein billigeres, kleineres Modell benutzt. Vielleicht hat er die Antwort manipuliert. Vielleicht ist einfach ein Fehler passiert. zk-ML erzeugt zus\u00e4tzlich zur Antwort einen mathematischen Beweis, der genau eines belegt: Diese Ausgabe stammt aus genau diesem Modell, angewendet auf genau diese Eingabe. Der Beweis l\u00e4sst sich in Millisekunden pr\u00fcfen, ohne die Rechnung selbst zu wiederholen.<\/p>
Wichtig ist, was zk-ML nicht ist. Es beweist nicht, dass ein Modell „gut“ oder „wahr“ ist. Es beweist Integrit\u00e4t der Ausf\u00fchrung, nicht Qualit\u00e4t des Ergebnisses. Ein schlechtes Modell, korrekt ausgef\u00fchrt, liefert einen g\u00fcltigen Beweis f\u00fcr eine schlechte Antwort. zk-ML ist also kein Wahrheitsdetektor, sondern eine Quittung: der Nachweis, dass niemand zwischen Modell und Antwort geschummelt hat. Diese Unterscheidung klingt akademisch, ist aber der ganze Punkt, denn genau hier setzen die meisten Missverst\u00e4ndnisse an. Wer glaubt, ein Beweis mache eine KI vertrauensw\u00fcrdig, verwechselt die korrekte Ausf\u00fchrung mit einem korrekten Urteil.<\/p>
zk-ML geh\u00f6rt zu einer gr\u00f6\u00dferen Familie, die in der Krypto-Welt unter dem Begriff Verifiable Compute l\u00e4uft. Das Grundprinzip: Statt einem Betreiber zu vertrauen, pr\u00fcft man einen Beweis. Das ist ein Unterschied ums Ganze. Reine dezentrale Rechenm\u00e4rkte wie Akash oder das Netzwerk hinter Bittensor vermieten Hardware, sie beweisen aber nicht, dass die gemietete Maschine ehrlich gerechnet hat. Verifiable Compute verlangt beides: das Ergebnis und einen Beleg, dass es korrekt zustande kam. Vitalik Buterin ordnete diese Landschaft schon Anfang 2024 in einem viel zitierten Essay zu den Chancen und Grenzen von Krypto plus KI und unterschied vier Wege, die Ehrlichkeit einer Berechnung abzusichern (vitalik.eth.limo<\/a>). zk-ML ist davon der strengste.<\/p> Warum ist das mehr als eine akademische Spielerei? Weil immer mehr Wertsch\u00f6pfung von KI-Ausgaben abh\u00e4ngt, die niemand nachpr\u00fcfen kann. Ein autonomer Agent, der mit einer eigenen Wallet handelt, trifft Entscheidungen auf Basis eines Modells, das auf einem Server irgendwo l\u00e4uft. Ein DeFi-Protokoll, das Geb\u00fchren oder Risikoparameter von einem KI-Modell setzen l\u00e4sst, verl\u00e4sst sich darauf, dass dieses Modell nicht manipuliert wurde. Ein Prognosemarkt, der einen Streit per KI-Urteil aufl\u00f6st, braucht die Gewissheit, dass das Urteil nicht nachtr\u00e4glich gedreht wurde. In all diesen F\u00e4llen ist die Frage dieselbe: Woher wei\u00df ich, dass die Maschine wirklich das getan hat, was sie behauptet? zk-ML gibt darauf die kompromissloseste Antwort, einen Beweis, den man nicht f\u00e4lschen kann, ohne die zugrunde liegende Kryptografie zu brechen.<\/p> Wenn zk-ML so \u00fcberzeugend ist, warum hat es so lange gedauert? Weil zwischen der Idee und einem echten Modell drei Mauern stehen, und jede war f\u00fcr sich genommen hoch genug, um die Technik jahrelang aufzuhalten.<\/p> Die erste Mauer sind die nicht-linearen Operationen. Ein neuronales Netz besteht nicht nur aus Matrixmultiplikationen, sondern auch aus Aktivierungsfunktionen wie ReLU, Sigmoid oder Softmax. F\u00fcr einen ZK-Beweis sind die Matrixmultiplikationen vergleichsweise g\u00fcnstig; Buterin sch\u00e4tzte in seinem Essay den Mehraufwand daf\u00fcr auf weniger als das Vierfache. Die nicht-linearen Schichten dagegen kosteten in klassischen Schaltkreisen rund das Zweihundertfache. Genau diese Funktionen, die ein Modell erst ausdrucksstark machen, waren also der mit Abstand teuerste Teil des Beweises.<\/p> Die zweite Mauer ist die Flie\u00dfkomma-Arithmetik. Moderne Modelle rechnen mit 32-Bit-Gleitkommazahlen, w\u00e4hrend ZK-Schaltkreise mit ganzzahliger Arithmetik \u00fcber endlichen K\u00f6rpern arbeiten. Die Modelle m\u00fcssen also quantisiert werden, auf 8 Bit oder weniger heruntergerechnet, und jede Quantisierung kostet Genauigkeit. Was das f\u00fcr die Zuverl\u00e4ssigkeit bedeutet, behandelt der Abschnitt zum Flie\u00dfkomma-Kompromiss weiter unten; hier z\u00e4hlt nur, dass die \u00dcbersetzung von Flie\u00dfkomma zu Ganzzahl nie verlustfrei ist.<\/p> Die dritte Mauer ist die schiere Gr\u00f6\u00dfe. Beweiszeit und Speicherbedarf wachsen mit der Zahl der Operationen, und gro\u00dfe Modelle haben Milliarden davon. Buterin hielt fest, dass der ZK-Beweis f\u00fcr einen einzelnen Ethereum-Block schon Stunden dauern kann; ein modernes Sprachmodell ist um Gr\u00f6\u00dfenordnungen komplexer. Ein oft genanntes fr\u00fches Beispiel aus der Forschung des zkML-Experten Daniel Kang: Ein Beweis f\u00fcr ein einziges Empfehlungsmodell dauerte mit dem damaligen Werkzeug EZKL rund sechs Stunden, und das f\u00fcr eine einzige Eingabe (medium.com\/@danieldkang<\/a>). Solange das so blieb, war zk-ML f\u00fcr alles jenseits winziger Modelle schlicht unbenutzbar.<\/p> Wo genau diese Kosten anfallen, zeigt ein Blick auf den Ablauf eines Beweises. Er entsteht nicht in einem Schritt, sondern in einer Kette, und jedes Glied hat seinen Preis; die drei Mauern stecken vor allem in der Quantisierung und der Beweiserzeugung.<\/p> Der letzte Schritt ist der ganze Sinn der \u00dcbung: Die teure Arbeit f\u00e4llt einmal beim Prover an, die Pr\u00fcfung ist f\u00fcr alle anderen billig. Genau diese Asymmetrie, teuer beweisen und billig pr\u00fcfen, macht zk-ML f\u00fcr Blockchains interessant, wo tausende Knoten dasselbe Ergebnis akzeptieren m\u00fcssen, ohne es einzeln nachzurechnen.<\/p> Die erste Mauer, die nicht-linearen Operationen, ist 2026 gefallen, und zwar durch einen Trick, der so simpel klingt, dass er fast entt\u00e4uscht: Nachschlagetabellen, im Fachjargon Lookups. Statt eine komplizierte Funktion wie ReLU als arithmetischen Schaltkreis nachzubauen, hinterlegt man ihre Ergebnisse in einer Tabelle und beweist nur noch, dass ein bestimmter Eintrag korrekt nachgeschlagen wurde. Kombiniert mit einem Verfahren namens Sumcheck, das die Korrektheit vieler solcher Schritte in einem geb\u00fcndelten Beweis pr\u00fcft, verschwindet ein Gro\u00dfteil des Aufwands, der die nicht-linearen Schichten so teuer machte.<\/p> Der prominenteste Vertreter dieses Ansatzes ist Jolt Atlas, eine Weiterentwicklung des von a16z Crypto stammenden Jolt-zkVM, angepasst von ICME Labs und NovaNet auf die Tensor-Operationen des ONNX-Formats (arXiv 2602.17452<\/a>, github.com\/ICME-Lab\/jolt-atlas<\/a>). Statt ein Modell m\u00fchsam in einen Schaltkreis zu \u00fcbersetzen, verarbeitet Jolt Atlas die Rechenschritte direkt mit Lookups. Wyatt Benno von ICME Labs bringt die Konsequenz auf den Punkt: „Lookups machen die Schaltkreis-Darstellung komplett \u00fcberfl\u00fcssig“ (blog.icme.io<\/a>). In den Benchmarks des Teams beweist der Lookup-basierte Ansatz eine kleine Modellinferenz in rund 0,7 Sekunden, wo das \u00e4ltere EZKL noch vier bis f\u00fcnf Sekunden brauchte. Ein zus\u00e4tzlicher Vorteil: Weil der Speicherbedarf sinkt, l\u00e4sst sich der Beweis auf normaler Hardware erzeugen, im Idealfall sogar auf dem Ger\u00e4t des Nutzers, statt in einem spezialisierten Rechenzentrum.<\/p> Wenn die Lookups die Kosten senkten, lieferte ein zweites Projekt den Beleg, dass die Technik reif ist. Lagrange, ein auf Beweisinfrastruktur spezialisiertes Team, ver\u00f6ffentlichte 2026 sein zk-ML-System DeepProve und stellte es im Juni quelloffen (lagrange.dev<\/a>, syndizierte Pressemitteilung<\/a>). Die Kennzahlen, die das Team nennt: \u00fcber 12 Millionen erzeugte Beweise und mehr als 3 Millionen end-to-end verifizierte Inferenzen im ersten Jahr, dazu eine rund 60-mal schnellere Beweiserzeugung und eine 671-mal schnellere Verifikation gegen\u00fcber dem bisherigen Stand der Technik.<\/p> Der eigentliche Meilenstein ist aber ein anderer: Bereits im August 2025 erzeugte Lagrange nach eigenen Angaben den ersten vollst\u00e4ndigen Zero-Knowledge-Beweis f\u00fcr die Inferenz von OpenAI GPT-2, ein echtes, wenn auch \u00e4lteres Sprachmodell. Inzwischen sind GPT-2 und Googles Gemma-3 Ende-zu-Ende bewiesen; Modelle der Llama-Klasse befinden sich nach Angaben des Teams in aktiver Entwicklung. Wichtig f\u00fcr die Einordnung: Das ist ein Machbarkeitsnachweis, kein Beleg, dass sich ein Frontier-Modell mit hunderten Milliarden Parametern schon heute wirtschaftlich beweisen l\u00e4sst. Aber die Mauer, an der zk-ML jahrelang scheiterte, hat einen tiefen Riss.<\/p> Ismael Hishon-Rezaizadeh, Gr\u00fcnder und CEO von Lagrange, rahmt den Schritt bewusst offen. In seinen Worten habe man DeepProve nicht gebaut, um verifizierbare KI zu besitzen, sondern damit es niemand besitzen muss; heute werde DeepProve zu einem Primitiv, und die Blackbox sei offen (im Original: „Today, DeepProve becomes a primitive. The black box is open“). Wie gro\u00df der Bedarf sein k\u00f6nnte, untermauert das Team mit einer Zahl aus der Beratungsbranche: Laut einer von Lagrange zitierten McKinsey-Erhebung sagen 71 Prozent der befragten F\u00fchrungskr\u00e4fte, sie w\u00fcrden KI-Systeme nicht skalieren, ohne einen Nachweis ihrer Korrektheit.<\/p> Dass die Technik nicht nur im Labor l\u00e4uft, zeigte eine \u00f6ffentliche Demo namens Turing Roulette, ein Mensch-gegen-KI-Spiel, in dem laut Lagrange \u00fcber 500.000 Teilnehmer mehr als 3,7 Millionen live verifizierte Inferenzen ausl\u00f6sten. F\u00fcr ein Krypto-Gaming-Publikum ist das der greifbarste Beleg: Jeder Zug der KI kam mit einem Beweis, dass kein Modell heimlich ausgetauscht wurde.<\/p> Bemerkenswert ist auch der Schritt, DeepProve quelloffen zu stellen. Ein Beweissystem, das nur als geschlossener Dienst existiert, verlangt wieder Vertrauen in genau den Anbieter, dessen Ehrlichkeit man eigentlich beweisen wollte. Offener Code l\u00e4sst sich pr\u00fcfen, forken und unabh\u00e4ngig betreiben; erst dadurch wird ein Beweis zu einem neutralen Baustein statt zu einem Produkt. Ob sich damit auch Geld verdienen l\u00e4sst, ist eine andere Frage, auf die der Abschnitt zur Kluft zwischen Technik und Token zur\u00fcckkommt.<\/p> Wer heute zk-ML bauen will, w\u00e4hlt aus einer kleinen, aber ausdifferenzierten Werkzeugkiste. Grob lassen sich zwei Lager unterscheiden: spezialisierte Compiler, die ein Modell direkt in einen Beweis-Schaltkreis \u00fcbersetzen, und universelle Zero-Knowledge-VMs (zkVMs), die beliebige Programme beweisen und auf die ein Modell aufgesetzt wird. Die folgende \u00dcbersicht ordnet die wichtigsten Namen ein.<\/p>Die drei Mauern des zk-ML<\/h2>
Der Durchbruch 2026: Lookups statt Schaltkreise<\/h2>
DeepProve und der erste vollst\u00e4ndige LLM-Beweis<\/h2>
Das Werkzeug-\u00d6kosystem im \u00dcberblick<\/h2>