Quando un modello di intelligenza artificiale produce una risposta, quella risposta arriva da un computer che non potete vedere. Il calcolo avviene off-chain, sulla GPU di un data center che appartiene a qualcun altro; on-chain, o dentro il vostro wallet, arriva soltanto il risultato. Non c’\u00e8 nessuna prova che sia stato eseguito il modello giusto sull’input giusto, nessuna garanzia che nessuno abbia messo le mani sui pesi o sul prompt. Per un chatbot che consiglia una ricetta la cosa \u00e8 irrilevante. Per un agente che firma transazioni, per un oracolo che regola un derivato o per un modello che decide se concedervi un prestito, la distanza tra \u00abfidati\u00bb e \u00abverifica\u00bb vale milioni.<\/p>
Il verifiable compute (in italiano calcolo verificabile) \u00e8 la risposta, insieme crittografica ed economica, a questo problema. Nel 2026 ha smesso di essere una promessa da paper accademico ed \u00e8 diventato infrastruttura che gira in produzione: le prove di un’inferenza si generano in secondi, i marketplace di prove hanno un mainnet attivo e, per la prima volta, un sistema ha dimostrato end-to-end un modello linguistico completo. Eppure non esiste un solo metodo che vinca su tutti gli altri.<\/p>
Il motivo ha un nome preso in prestito dalla teoria delle blockchain: il trilemma. Un sistema di inferenza decentralizzata non pu\u00f2 ottenere allo stesso tempo integrit\u00e0 elevata, bassa latenza e basso costo; deve rinunciare a una delle tre. Questa guida spiega il calcolo verificabile partendo proprio da quel compromesso, mostra come lo zkML, i TEE, l’opML e la sicurezza cripto-economica si dispongono ai vertici del triangolo, e perch\u00e9 il 2026 \u00e8 l’anno in cui questi mondi cominciano a fondersi.<\/p>
Il calcolo verificabile consiste nel produrre un risultato accompagnato da una prova, poco costosa da controllare, che quel risultato sia stato calcolato correttamente. Chi riceve la risposta non deve rieseguire il calcolo n\u00e9 fidarsi di chi lo ha svolto: gli basta verificare la prova. \u00c8 lo stesso spostamento concettuale che le blockchain hanno imposto ai pagamenti, applicato all’esecuzione di software arbitrario e, in particolare, all’inferenza dei modelli di machine learning. Si passa da \u00abfidati del server\u00bb a \u00abverifica la prova\u00bb.<\/p>
Qui sta la differenza, spesso fraintesa, tra calcolo verificabile e semplice calcolo decentralizzato. Reti come Bittensor<\/a> o i marketplace di GPU distribuiti affittano potenza di calcolo: distribuiscono il lavoro su molte macchine, ma non dimostrano che il lavoro sia stato fatto in modo onesto. Se un nodo restituisce un output sbagliato, per pigrizia o per dolo, la rete da sola non se ne accorge. Il verifiable compute aggiunge esattamente il pezzo mancante: una garanzia, matematica o economica, che il numero che vi arriva \u00e8 davvero quello che il modello avrebbe prodotto.<\/p> Vitalik Buterin, nel suo saggio del gennaio 2024 The promise and challenges of crypto + AI applications<\/a>, ha organizzato l’incrocio tra AI e crypto in quattro categorie: l’AI come giocatore, come interfaccia, come regole del gioco e come obiettivo del gioco. Il verifiable compute \u00e8 ci\u00f2 che rende praticabile la terza, la pi\u00f9 delicata: usare un modello come parte delle regole di un protocollo, per esempio per risolvere un mercato di previsione o prezzare un asset, senza doversi fidare ciecamente di chi esegue il modello. Buterin stesso avverte di muoversi con estrema cautela, perch\u00e9 un’AI dentro le regole diventa un bersaglio per chi vuole manipolarla.<\/p> Il concetto che tiene insieme tutta questa storia \u00e8 stato formalizzato in un paper del dicembre 2025, Optimistic TEE-Rollups<\/a>, firmato da Aaron Chan e colleghi. Gli autori lo chiamano trilemma della verificabilit\u00e0: un sistema di inferenza decentralizzata non pu\u00f2 raggiungere simultaneamente alta integrit\u00e0 computazionale, bassa latenza e basso costo. Pu\u00f2 averne due, mai tre.<\/p> Chi conosce le blockchain riconoscer\u00e0 lo schema. \u00c8 lo stesso trilemma della scalabilit\u00e0 (decentralizzazione, sicurezza, scalabilit\u00e0) che ha dominato il dibattito su Ethereum per un decennio, trasposto sul piano del calcolo dell’AI. E come nel caso delle blockchain, non \u00e8 un limite temporaneo che l’ingegneria eliminer\u00e0 l’anno prossimo: \u00e8 la struttura stessa del problema. Ogni progetto serio di verifiable compute \u00e8, in fondo, una scelta su quale vertice sacrificare.<\/p> Semplificando, le quattro grandi famiglie di soluzioni si dispongono cos\u00ec:<\/p> Le prossime sezioni percorrono questi quattro vertici uno per uno, per capire che cosa ciascuno offre e che cosa rinuncia.<\/p> Prima di guardare le soluzioni, vale la pena capire perch\u00e9 dimostrare un’inferenza di AI sia molto pi\u00f9 difficile che dimostrare, poniamo, una transazione. La ragione la spiega ancora Buterin, con due numeri. Dimostrare in zero-knowledge una moltiplicazione tra matrici, il cuore di una rete neurale, comporta oggi un overhead inferiore a 4 volte; ma gli strati non lineari (le funzioni di attivazione come ReLU o softmax) hanno un overhead intorno alle 200 volte. Sono proprio quegli strati, piccoli ma ostili alla matematica dei circuiti, il vero collo di bottiglia.<\/p> Il risultato pratico \u00e8 brutale. \u00abUn blocco di Ethereum richiede poche centinaia di millisecondi per essere verificato direttamente da un client, ma generare una prova ZK-SNARK della sua correttezza pu\u00f2 richiedere ore\u00bb, scrive Buterin. Trasferite questo su un modello linguistico con miliardi di parametri e capirete perch\u00e9, fino a poco tempo fa, dimostrare crittograficamente un LLM era considerato impossibile nella pratica.<\/p> C’\u00e8 poi un secondo ostacolo, meno noto ma insidioso: il paradosso del determinismo. L’inferenza su GPU non \u00e8 riproducibile bit per bit. L’ordine in cui migliaia di core sommano numeri in virgola mobile cambia leggermente il risultato da un’esecuzione all’altra, per via degli arrotondamenti. Ma sia le prove crittografiche sia le prove di frode dell’opML hanno bisogno che lo stesso input produca sempre lo stesso output, altrimenti non c’\u00e8 nulla di stabile da dimostrare o da contestare. Rendere deterministica l’inferenza su hardware nato per non esserlo \u00e8 una delle sfide ingegneristiche centrali del settore, come abbiamo raccontato nell’analisi dedicata allo zkML e alla sfida degli LLM<\/a>.<\/p> Il primo vertice \u00e8 quello della prova crittografica pura, lo zkML (zero-knowledge machine learning). L’idea: eseguire il modello dentro una macchina virtuale che, oltre al risultato, emette una prova a conoscenza zero (uno ZK-SNARK) verificabile in millisecondi da chiunque, senza rieseguire nulla e senza vedere i pesi o i dati. Nessuna fiducia in un hardware o in un operatore: solo matematica. \u00c8 il massimo dell’integrit\u00e0, e per questo il vertice pi\u00f9 ambito del triangolo.<\/p> Il prezzo \u00e8 il costo. Per anni lo zkML \u00e8 rimasto confinato a modellini giocattolo, del tipo che riconosce le cifre scritte a mano, perch\u00e9 dimostrare qualcosa di pi\u00f9 grande richiedeva ore di calcolo e hardware costoso. La svolta del 2026 \u00e8 stata far crollare quel muro. A giugno il team di Lagrange ha reso open source DeepProve<\/a>, il primo sistema zkML di livello produttivo capace di dimostrare end-to-end un modello linguistico completo: GPT-2 e Gemma-3, con oltre 12 milioni di prove generate e pi\u00f9 di 3 milioni di inferenze verificate nell’arco di un anno, prove fino a 60 volte pi\u00f9 veloci e verifica fino a 671 volte pi\u00f9 rapida rispetto allo stato dell’arte precedente. I modelli della classe Llama sono ancora in sviluppo, quindi conviene restare cauti; ma la barriera concettuale \u00e8 caduta.<\/p> \u00abNon abbiamo costruito DeepProve per possedere l’AI verificabile. L’abbiamo costruito perch\u00e9 nessuno dovesse farlo\u00bb, ha dichiarato Ismael Hishon-Rezaizadeh, CEO di Lagrange, annunciando l’apertura del codice. \u00abL’AI ha bisogno di uno strato di verifica, e quello strato deve essere aperto. Da oggi DeepProve diventa una primitiva. La scatola nera \u00e8 aperta.\u00bb<\/p> Sotto la svolta c’\u00e8 un’innovazione tecnica precisa: le lookup. Progetti come Jolt Atlas (descritto in un paper del febbraio 2026<\/a>) sostituiscono la rappresentazione a circuito delle operazioni non lineari con tabelle di consultazione precompilate, aggredendo esattamente quel fattore 200x che Buterin indicava come collo di bottiglia. Il calcolo che prima andava tradotto, faticosamente, in vincoli aritmetici, ora si riduce a \u00abcerca il risultato nella tabella\u00bb.<\/p> Resta per\u00f2 un compromesso di fondo, ben descritto da Elena Burger di a16z: \u00able prove a conoscenza zero, oggi, non riescono a rappresentare le operazioni in virgola mobile a 32 bit nel formato di circuito aritmetico necessario senza overhead enormi\u00bb. Per aggirare il problema si usano modelli quantizzati a 8 bit, pi\u00f9 adatti ai circuiti ma, come nota la stessa Burger, il modello verificato pu\u00f2 diventare \u00abun’approssimazione grezza\u00bb di quello originale a piena precisione. Si finisce per dimostrare qualcosa di leggermente diverso da ci\u00f2 che gira davvero in produzione. Il ragionamento completo<\/a> \u00e8 nel suo saggio per a16z crypto.<\/p> Attorno allo zkML \u00e8 nata un’economia di marketplace, in cui la generazione di prove diventa un servizio che si compra e si vende. Boundless<\/a>, costruito sopra la tecnologia RISC Zero, ha lanciato il mainnet su Base a settembre 2025 con il sostegno di Ethereum Foundation, Base e Wormhole, introducendo un meccanismo chiamato Proof of Verifiable Work che premia i prover in base a quantit\u00e0 e complessit\u00e0 delle prove prodotte. \u00abPer la prima volta gli sviluppatori su qualsiasi chain possono accedere a una quantit\u00e0 abbondante di calcolo a conoscenza zero\u00bb, ha detto Shiv Shankar, CEO di Boundless. Sul fronte degli zkVM, SP1 di Succinct<\/a> (basato su RISC-V) \u00e8 arrivato al mainnet nell’agosto 2025 ed \u00e8 integrato in decine di protocolli.<\/p> Il secondo vertice rinuncia alla purezza matematica in cambio di velocit\u00e0. I TEE, o Trusted Execution Environment, sono aree isolate e cifrate del processore, in cui il codice gira protetto persino dal sistema operativo e dal proprietario della macchina. Alla fine dell’esecuzione, il chip firma un’attestazione: un certificato hardware che dice, in sostanza, \u00abquesto esatto programma ha girato dentro un’enclave genuina, senza manomissioni\u00bb. La verifica \u00e8 quasi istantanea e l’overhead \u00e8 minimo.<\/p> La novit\u00e0 che ha reso i TEE rilevanti per l’AI \u00e8 il loro arrivo sulle GPU. Le tecnologie di confidential computing di NVIDIA sulle schede H100<\/a>, insieme a Intel TDX e AMD SEV lato CPU, permettono di eseguire l’inferenza dentro un’enclave con un overhead dichiarato inferiore al 7%: un altro mondo rispetto al 200x dello zkML. Su questa base Phala Network<\/a> ha costruito una rete di oltre 30.000 dispositivi TEE con attestazione on-chain; a met\u00e0 agosto 2026 i suoi nodi processavano, secondo i dati di OpenRouter, circa 23,1 miliardi di token di modelli confidenziali al giorno. \u00c8 il verifiable compute che, oggi, gira al volume pi\u00f9 alto in assoluto.<\/p> Il punto debole \u00e8 evidente: la garanzia dei TEE non \u00e8 a fiducia zero. Vi state fidando del fatto che Intel, AMD o NVIDIA abbiano progettato l’enclave correttamente e che nessuno abbia trovato un attacco side-channel per sbirciarci dentro. La storia recente dei processori, da Spectre e Meltdown in poi, insegna che le enclave si rompono, prima o poi. I TEE offrono bassa latenza e basso costo, ma pagano il trilemma sul lato dell’integrit\u00e0, che dipende da un produttore e dalla tenuta del suo silicio.<\/p> Il terzo vertice punta tutto sul costo. L’opML (optimistic machine learning) prende in prestito la logica degli optimistic rollup: si pubblica il risultato dell’inferenza dando per scontato che sia corretto, insieme a un impegno crittografico on-chain, e lo si considera definitivo a meno che, entro una finestra di contestazione, qualcuno non provi il contrario con una prova di frode. Finch\u00e9 nessuno contesta, non si genera alcuna prova pesante: ecco perch\u00e9 \u00e8 di gran lunga l’approccio meno costoso.<\/p> La tecnica ha radici antiche, nel protocollo Truebit e nella sua idea di verifica interattiva a bisezione, e oggi \u00e8 portata avanti soprattutto da Ora Protocol con il suo Onchain AI Oracle. Ne abbiamo scritto in dettaglio nell’articolo dedicato all’opML e alle prove di frode<\/a>. Il compromesso, per\u00f2, \u00e8 netto: la finestra di contestazione introduce latenza, spesso di minuti o ore, che uccide l’interattivit\u00e0 in tempo reale, e il modello di sicurezza regge solo se esiste almeno un osservatore onesto disposto a controllare e a contestare. C’\u00e8 anche un limite pi\u00f9 sottile: la prova di frode funziona davvero solo con modelli a pesi aperti, che un contestatore pu\u00f2 rieseguire; le API chiuse come quelle di GPT possono essere soltanto attestate, non verificate nello stesso senso.<\/p> Il quarto vertice non produce prove crittografiche affatto. La sicurezza cripto-economica garantisce l’onest\u00e0 con il denaro: gli operatori depositano uno stake e, se barano, lo perdono (slashing). La certezza non \u00e8 matematica ma economica, e si regge su una disuguaglianza: il costo per corrompere il sistema deve restare superiore al profitto ottenibile barando.<\/p> Il progetto simbolo \u00e8 EigenCloud, il rebranding di EigenLayer, che ha rilanciato l’intera azienda attorno alla tesi del \u00abcloud verificabile\u00bb, una sorta di AWS di crypto. I suoi due prodotti, EigenAI (un’API di inferenza verificabile compatibile con lo standard OpenAI) ed EigenCompute (esecuzione di container Docker dentro TEE), sono in alpha sul mainnet dall’autunno del 2025. A giugno 2025 a16z ha acquistato token EIGEN per 70 milioni di dollari<\/a> proprio per sostenere il lancio di EigenCloud, un voto di fiducia notevole in un mercato altrimenti scettico. La garanzia, va detto, resta economica: se abbastanza valore in staking viene compromesso, la verit\u00e0 on-chain pu\u00f2 essere piegata. Non \u00e8 la matematica dello zkML, \u00e8 teoria dei giochi.<\/p> La tabella riassume come i quattro vertici si posizionano rispetto al trilemma, con lo stato di ciascuno a met\u00e0 2026.<\/p>Il trilemma della verificabilit\u00e0: due su tre<\/h2>
Perch\u00e9 l’AI \u00e8 il calcolo pi\u00f9 difficile da dimostrare<\/h2>
zkML: la prova crittografica, integrit\u00e0 al massimo prezzo<\/h2>
TEE: l’attestazione hardware, veloce ma fiduciaria<\/h2>
opML: la scommessa ottimistica sul basso costo<\/h2>
La sicurezza cripto-economica e il cloud verificabile<\/h2>
I quattro approcci a confronto<\/h2>