{"id":693,"date":"2026-10-01T22:35:22","date_gmt":"2026-10-01T22:35:22","guid":{"rendered":"https:\/\/hoge.gg\/it\/calcolo-riservato-tee-ai-verificabile-2026\/"},"modified":"2026-10-01T22:35:22","modified_gmt":"2026-10-01T22:35:22","slug":"calcolo-riservato-tee-ai-verificabile-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/calcolo-riservato-tee-ai-verificabile-2026\/","title":{"rendered":"Calcolo riservato: l’AI verificabile che si fida del chip"},"content":{"rendered":"

Il calcolo verificabile, per anni, \u00e8 stato soprattutto una promessa accademica: tabelle di benchmark, paper su arXiv, token quotati e poco altro che girasse davvero in produzione. Il 1\u00b0 ottobre 2026 quella promessa ha fatto un passo molto concreto. Flare ha acceso Flare Confidential Compute<\/strong> (FCC) sulla sua canary network Songbird, e la stablecoin USDX di Hex Trust \u00e8 diventata la prima a dimostrare on-chain di essere coperta almeno 1:1 senza pubblicare un solo numero delle proprie riserve.<\/p>

La parte interessante non \u00e8 la stablecoin in s\u00e9, ma il meccanismo. I conti vengono eseguiti dentro un ambiente di esecuzione fidato (un TEE, Trusted Execution Environment), un recinto sigillato nel silicio del processore; on-chain finisce solo un risultato firmato che dice \u00abs\u00ec, la copertura regge\u00bb. \u00c8 calcolo verificabile che entra in banca, e lo fa dalla porta meno appariscente: l’hardware, non la matematica delle prove a conoscenza zero.<\/p>

Questa guida parte proprio da l\u00ec. Spiega che cos’\u00e8 il calcolo verificabile, come funziona un TEE, perch\u00e9 nel 2026 il \u00abcalcolo riservato\u00bb (confidential computing) sta correndo pi\u00f9 in fretta dello zkML, dove si rompe (lo ha dimostrato un attacco da meno di mille euro) e come il settore sta provando a rattopparlo con architetture ibride. E, trattandosi di una stablecoin e di riserve, dove entrano in gioco Consob, la Banca d’Italia e l’AI Act europeo.<\/p>

Flare accende il calcolo riservato: provare le riserve senza svelarle<\/h2>

Flare Confidential Compute \u00e8 andata live su Songbird il 1\u00b0 ottobre 2026, dopo che la rete aveva approvato la proposta di governance STP.13 a luglio, come documentano coinlaw.io<\/a> e mpost.io<\/a>. Il sistema permette a uno smart contract di usare dati aziendali riservati senza pubblicarli: gli input entrano in un TEE, vengono elaborati e ne esce un risultato firmato crittograficamente che i contratti on-chain possono verificare in autonomia. Il dato grezzo non lascia mai l’enclave.<\/p>

Il primo caso d’uso \u00e8 una prova di riserva (proof of reserves). Hex Trust fornisce due numeri, una riserva pubblica e una riserva di cassa vincolata; FCC li somma dentro l’enclave e confronta il totale con l’offerta di USDX in circolazione nell’ecosistema. On-chain non vanno n\u00e9 le riserve n\u00e9 l’offerta: va solo un verdetto firmato, \u00abcoperta 1:1 o meglio\u00bb, che alimenta il sistema FAssets di Songbird e i DEX per il pricing. Un contratto-registro dei TEE verifica ogni output firmato prima che gli altri contratti lo possano usare.<\/p>

\u00abIntegrare Flare Confidential Compute rafforza il livello di fiducia per l’adozione istituzionale, perch\u00e9 consente una verificabilit\u00e0 on-chain in tempo reale delle riserve di USDX\u00bb, ha dichiarato Ben Usinger<\/strong>, Head of Stablecoins di Hex Trust, nel comunicato ripreso da coinlaw.io<\/a>. Al momento FCC resta confinata su Songbird, la canary network; il passaggio al mainnet Flare seguir\u00e0 in una fase successiva, e l’architettura \u00e8 pensata per aprirsi ad altri operatori e ad altri fornitori di hardware.<\/p>

\u00c8 un esempio didattico perfetto della tesi di fondo di tutto il calcolo verificabile: spostare la fiducia da \u00abcredi a chi ti d\u00e0 il risultato\u00bb a \u00abverifica il risultato\u00bb. Fino a ieri una prova di riserva era un PDF di un revisore trimestrale. Adesso \u00e8 un controllo continuo, firmato, che un contratto pu\u00f2 rifiutare se non torna. La domanda, come vedremo, \u00e8 a chi stai davvero delegando la fiducia quando quel controllo gira dentro un chip.<\/p>

Che cos’\u00e8 il calcolo verificabile<\/h2>

Calcolo verificabile significa produrre un risultato pi\u00f9<\/em> una prova, economica da controllare, che quel risultato \u00e8 stato calcolato correttamente. Chi verifica non deve rieseguire il lavoro: gli basta controllare la prova. Nell’AI il problema \u00e8 acuto perch\u00e9 l’inferenza di un modello \u00e8 costosa e opaca. Quando un oracolo, un agente o un servizio ti restituisce l’output di un modello, come fai a sapere che ha usato davvero quel modello, con quei pesi, su quell’input, e che non ha barato per risparmiare sui costi o per manipolare il risultato?<\/p>

Vale la pena distinguere due cose che vengono spesso confuse. Noleggiare potenza di calcolo decentralizzata (affittare GPU su reti come Akash o Bittensor) non \u00e8 calcolo verificabile: ti d\u00e0 la macchina, non la prova che la macchina abbia fatto il suo dovere in modo onesto. Chi affitta una GPU a uno sconosciuto si fida che quello esegua il modello richiesto e non una versione pi\u00f9 economica; il calcolo verificabile \u00e8 esattamente lo strato che toglie quella fiducia cieca. Per chi vuole capire la differenza dal lato pratico, la nostra guida al noleggio di GPU su Akash<\/a> mostra bene dove finisce il \u00abmercato del calcolo\u00bb e dove dovrebbe iniziare la \u00abprova del calcolo\u00bb.<\/p>

Il quadro concettuale di riferimento resta il saggio di Vitalik Buterin \u00abThe promise and challenges of crypto + AI applications\u00bb, che individua quattro ruoli per l’AI nei sistemi cripto e avverte che usare l’AI come \u00abregola del gioco\u00bb va maneggiato con estrema cautela. Lo stesso testo quantifica il problema tecnico che spiega perch\u00e9 il calcolo riservato ha preso tanto spazio: provare l’inferenza di un modello con una prova crittografica \u00abin chiaro\u00bb ha un sovraccarico enorme, intorno a 200 volte per gli strati non lineari<\/a>, e generare la prova di un blocco Ethereum pu\u00f2 \u00abrichiedere ore\u00bb. Se la crittografia costa cos\u00ec tanto, non stupisce che molti abbiano cercato una scorciatoia nell’hardware.<\/p>

Dentro un TEE: enclave, attestazione e la catena della fiducia<\/h2>

Un TEE \u00e8 una regione isolata del processore in cui codice e dati girano cifrati e protetti dal resto della macchina, compreso il sistema operativo, l’hypervisor e, in teoria, lo stesso operatore del server. Le implementazioni commerciali hanno nomi diversi ma idea simile: Intel TDX<\/strong> e il pi\u00f9 vecchio SGX a livello di CPU, AMD SEV-SNP<\/strong>, e il confidential computing delle GPU NVIDIA H100, H200 e Blackwell<\/strong>, che estende l’enclave anche all’acceleratore dove gira davvero l’inferenza. Senza GPU confidenziali, il calcolo riservato dell’AI resterebbe un esercizio teorico, perch\u00e9 i modelli non girano sulla CPU.<\/p>

Il pezzo che trasforma un recinto in una prova si chiama attestazione remota<\/em>. Prima di fidarsi, un verificatore chiede all’enclave di dimostrare chi \u00e8: il chip genera un documento firmato con una chiave radicata nel silicio, che certifica quale codice \u00e8 caricato e che l’ambiente \u00e8 autentico e non manomesso. Solo dopo aver controllato quella firma il verificatore accetta gli output. Nel caso di Flare, \u00e8 esattamente questo che fa il contratto-registro: controlla la firma del TEE prima di lasciar usare il risultato. \u00c8 lo stesso schema che Google Cloud descrive come \u00abnon fidato, ma verificato\u00bb nel suo aggiornamento sul confidential computing del 24 giugno 2026<\/a>.<\/p>

Qui si vede gi\u00e0 il tallone d’Achille. La catena di fiducia non finisce nella matematica: finisce nel produttore del chip. Fidarsi di un’attestazione TDX vuol dire fidarsi che Intel abbia implementato bene l’enclave, che la sua chiave di firma non sia trapelata e che non esistano canali laterali per sbirciare dentro. Una prova a conoscenza zero, al contrario, \u00e8 verificabile da chiunque sappia fare i conti, senza dover credere a nessun fornitore. Questa differenza (fiducia nel chip contro fiducia nella matematica) \u00e8 il filo conduttore di tutto quello che segue.<\/p>

Le quattro vie per provare che l’AI ha calcolato bene<\/h2>

Non esiste un solo modo di rendere verificabile l’AI. Ne esistono quattro, ciascuno con un diverso compromesso tra quanto \u00e8 forte la garanzia, quanto costa e quanto \u00e8 veloce. Il calcolo riservato (TEE) \u00e8 uno di questi, ed \u00e8 quello che oggi spedisce di pi\u00f9; gli altri tre servono a capire perch\u00e9.<\/p>

Approccio<\/th>Come prova<\/th>Di cosa ti devi fidare<\/th>Costo e latenza<\/th>Progetti<\/th><\/tr><\/thead>
zkML<\/strong> (prove ZK)<\/td>Prova crittografica che il calcolo \u00e8 corretto, verificabile da chiunque<\/td>Solo della matematica (zero fiducia)<\/td>Altissimo: fino a ~200x sugli strati non lineari, generazione in minuti o ore<\/td>EZKL, Lagrange (DeepProve), Succinct, Boundless<\/td><\/tr>
TEE<\/strong> (calcolo riservato)<\/td>Attestazione hardware firmata che il codice giusto \u00e8 girato in un’enclave<\/td>Del produttore del chip (Intel, AMD, NVIDIA)<\/td>Basso: circa 5-10% di sovraccarico, tempo quasi reale<\/td>Phala, Flare, EigenCompute, Google Cloud Confidential Space<\/td><\/tr>
opML<\/strong> (ottimistico)<\/td>Pubblica il risultato, finestra di contestazione con prova di frode<\/td>Che almeno un osservatore onesto vigili<\/td>Medio: latenza della finestra di disputa, niente tempo reale<\/td>Ora Protocol (OAO), lignaggio Truebit<\/td><\/tr>
Cripto-economico<\/strong><\/td>Stake e slashing: barare costa pi\u00f9 che comportarsi bene<\/td>Che il capitale a rischio sia davvero grande<\/td>Basso in latenza, garanzia solo economica<\/td>EigenCloud, reti di validatori<\/td><\/tr><\/tbody><\/table><\/figure>

La ragione per cui lo zkML, pur essendo il pi\u00f9 elegante, non ha preso il mercato dell’inferenza in tempo reale \u00e8 sintetizzata bene da Elena Burger<\/strong>, Deal Partner di a16z crypto: le prove a conoscenza zero di oggi \u00abnon riescono a rappresentare operazioni in virgola mobile a 32 bit nel formato a circuito aritmetico necessario senza sovraccarichi enormi\u00bb, e costringono a quantizzare il modello a 8 bit, ottenendo una \u00abapprossimazione grezza del modello originale di qualit\u00e0 superiore\u00bb (a16zcrypto.com<\/a>). Tradotto: la via crittografica pura paga in precisione e in tempo. Il TEE no, ed \u00e8 per questo che ha vinto la prima ondata di adozione reale.<\/p>

Perch\u00e9 nel 2026 i TEE stanno correndo<\/h2>

Il primo argomento \u00e8 la velocit\u00e0. Il confidential computing su GPU moderne aggiunge un sovraccarico modesto: Phala indica \u00abcirca 5-10% a seconda del carico e dell’hardware\u00bb, con i modelli pi\u00f9 grandi che pagano quasi zero perch\u00e9 il costo vero \u00e8 il trasferimento dei dati sul bus PCIe, non il calcolo in s\u00e9. Una prova ZK sullo stesso modello costerebbe ordini di grandezza in pi\u00f9. Per un agente che deve rispondere in un secondo, o per una stablecoin che deve attestare le riserve di continuo, questa differenza \u00e8 tutto.<\/p>

Il secondo argomento \u00e8 il volume. Phala<\/a> processava, al 30 settembre 2026, circa 51 miliardi di token di modello confidenziali al giorno<\/strong> secondo i dati del suo provider su OpenRouter, su un mix di Intel TDX e GPU NVIDIA H100, H200 e B300 Blackwell: una cifra cresciuta da pochi miliardi in primavera. Non \u00e8 un prototipo: \u00e8 traffico di produzione, l’unico numero di throughput reale che il settore del calcolo verificabile pu\u00f2 esibire a queste scale.<\/p>

Il terzo argomento \u00e8 che il confidential computing sta diventando mainstream, e la cripto ci \u00e8 arrivata presto. Nel giugno 2026 Google Cloud ha presentato le Confidential VM di serie G4 con GPU NVIDIA RTX PRO 6000 Blackwell, gli SDK open source per cifrare prompt e risposte dell’inferenza, e il supporto per Apple Private Cloud Compute<\/strong>, che gira proprio su Google Cloud usando Intel TDX, il confidential computing NVIDIA su Blackwell e l’architettura di sicurezza Titanium. Quando Apple costruisce la propria AI privata sullo stesso stack hardware di Phala e Flare, il messaggio \u00e8 chiaro: l’enclave non \u00e8 pi\u00f9 esotica, sta diventando una base di partenza.<\/p>

C’\u00e8 poi una ragione pratica che il mondo delle prove crittografiche fatica ad ammettere: il TEE verifica l’esecuzione di un modello cos\u00ec com’\u00e8, senza doverlo riscrivere, quantizzare o ricompilare in un circuito. Puoi mettere in un’enclave un Llama o un modello proprietario e attestarne l’esecuzione senza toccarne i pesi. Per chi sviluppa, \u00e8 la differenza tra \u00abcambia tutto il tuo stack\u00bb e \u00abaggiungi un’attestazione\u00bb. \u00c8 il motivo per cui il TEE \u00e8 la via che oggi arriva davvero in produzione.<\/p>

Il punto debole: fidarsi del chip non \u00e8 fidarsi della matematica<\/h2>

Tutto questo ha un prezzo, e il prezzo \u00e8 la natura della garanzia. Un TEE non ti d\u00e0 una prova matematica che il calcolo \u00e8 corretto: ti d\u00e0 la parola firmata di un pezzo di silicio che un certo codice \u00e8 stato eseguito in un ambiente che il produttore giura essere sicuro. Sposti la fiducia dall’operatore del server al produttore del chip. \u00c8 un miglioramento enorme rispetto al \u00abfidati e basta\u00bb, ma non \u00e8 la stessa cosa del \u00abnon ti devi fidare di nessuno\u00bb che promette lo zkML.<\/p>

Questa dipendenza dal fornitore ha tre facce. La prima \u00e8 il rischio di implementazione: se la chiave di firma di Intel o NVIDIA trapela, o se c’\u00e8 un baco nella logica dell’enclave, tutte le attestazioni diventano falsificabili. La seconda sono i canali laterali: anni di attacchi (Foreshadow, Plundervolt e i pi\u00f9 recenti sul bus di memoria) mostrano che le enclave perdono informazioni in modi che i progettisti non avevano previsto. La terza \u00e8 la centralizzazione: dipendere da tre aziende americane per la radice della fiducia \u00e8 l’opposto dello spirito decentralizzato che la cripto dice di voler difendere.<\/p>

Come riassume Soubhik Deb<\/strong> di Eigen Labs nel presentare la visione del \u00abcloud verificabile\u00bb, \u00abla fiducia non \u00e8 una funzionalit\u00e0 dell’interfaccia: \u00e8 infrastruttura\u00bb (eigenlabs.org<\/a>). Il punto \u00e8 esattamente questo: se la fiducia \u00e8 infrastruttura, allora conta com’\u00e8 fatta la base. E la base, nel caso dei TEE, \u00e8 hardware che qualcuno pu\u00f2 provare a rompere fisicamente.<\/p>

TEE.Fail: quando l’hardware si rompe per meno di mille euro<\/h2>

Il 28 ottobre 2025 due gruppi di ricerca di Georgia Tech e Purdue hanno pubblicato TEE.Fail<\/strong>, un attacco che rompe il confidential computing su Intel SGX e TDX, AMD SEV-SNP e il confidential computing di NVIDIA, tutti sui sistemi con memoria DDR5. La cosa che fa impressione non \u00e8 il \u00abse\u00bb, ma il \u00abcome\u00bb: come riporta BleepingComputer<\/a>, l’attacco \u00e8 alla portata di \u00abhobbisti dell’informatica a un costo inferiore a 1.000 dollari\u00bb.<\/p>

La tecnica \u00e8 un interposer sul bus di memoria: una sonda inserita tra il modulo DDR5 e la scheda madre che intercetta il traffico cifrato. Da l\u00ec i ricercatori hanno estratto chiavi di firma crittografiche, certificati di provisioning, chiavi private ECDH e la Provisioning Certificate Key di Intel. Con quelle chiavi si possono falsificare attestazioni TEE valide<\/em> e impersonare sistemi genuini. Tradotto nel linguaggio di Flare: un attaccante con quelle chiavi potrebbe firmare un \u00abcoperta 1:1\u00bb che il contratto-registro accetterebbe come autentico, senza che le riserve esistano davvero.<\/p>

C’\u00e8 un’attenuante importante: TEE.Fail richiede accesso fisico alla macchina e privilegi di root a livello di kernel. Come ha fatto notare un commentatore, a quel livello di accesso \u00absei gi\u00e0 completamente fregato\u00bb a prescindere. Intel, AMD e NVIDIA hanno riconosciuto il problema; AMD ha per\u00f2 dichiarato che non svilupper\u00e0 mitigazioni, considerando gli attacchi con accesso fisico \u00abfuori dal modello di minaccia\u00bb.<\/p>

Ed \u00e8 qui che sta il paradosso per la cripto. \u00abFuori dal modello di minaccia\u00bb ha senso per un data center aziendale chiuso a chiave. Ma il senso stesso di una rete di GPU decentralizzata \u00e8 che chiunque possa offrire hardware, anche in modo anonimo. In quel contesto, il fornitore del calcolo \u00e8<\/em> il potenziale attaccante fisico: ha la macchina in mano, ha il root, pu\u00f2 montare l’interposer. Chi affitta la propria GPU su una rete aperta (lo stesso scenario della nostra guida ad Akash<\/a>) \u00e8 esattamente la figura contro cui il modello di minaccia dei TEE \u00e8 pi\u00f9 debole. Lo strumento che dovrebbe rendere fidato il calcolo su hardware sconosciuto \u00e8 pi\u00f9 fragile proprio dove serve di pi\u00f9.<\/p>

La risposta del 2026: ibridi e doppia radice di fiducia<\/h2>

La reazione del settore non \u00e8 stata abbandonare i TEE, ma smettere di appoggiarsi a una sola radice di fiducia. La parola chiave del 2026 \u00e8 \u00abibrido\u00bb: combinare la velocit\u00e0 del TEE con una seconda garanzia che non dipenda dallo stesso chip.<\/p>

La ricetta pi\u00f9 citata arriva da un paper intitolato \u00abOptimistic TEE-Rollups\u00bb (arXiv 2512.20176<\/a>), che formalizza un \u00abtrilemma della verificabilit\u00e0\u00bb: un sistema di inferenza non pu\u00f2 avere allo stesso tempo integrit\u00e0 elevata, bassa latenza e basso costo. La proposta OTR mette insieme TEE su H100 per una finalit\u00e0 quasi immediata, prove di frode ottimistiche e controlli a campione con prove ZK, dichiarando il 99% del throughput di un servizio centralizzato a circa 0,07 dollari per query e una finalit\u00e0 provvisoria sotto il secondo, con un’accelerazione fino a 1.400 volte rispetto allo zkML puro. Lo stesso paper boccia l’opML per le sue \u00abfinestre di disputa proibitive, che impediscono l’interattivit\u00e0 in tempo reale\u00bb.<\/p>

EigenCloud, il progetto guidato da Sreeram Kannan, segue una strada parallela: EigenCompute esegue un’app containerizzata in una VM confidenziale su AMD SEV-SNP o Intel TDX, ma la copre con \u00abmiliardi di sicurezza economica\u00bb sotto forma di stake e slashing del restaking, con una roadmap che aggiunge le prove ZK in futuro. La logica \u00e8 semplice: se il chip ti tradisce, perdi comunque lo stake, quindi barare resta sconveniente, qualunque cosa dica l’attestazione.<\/p>

Infine c’\u00e8 l’hardening per doppia radice, che la stessa Apple ha scelto per Private Cloud Compute: radicare l’attestazione in due<\/em> fornitori indipendenti (Intel e NVIDIA, pi\u00f9 Titanium di Google) e tenere un registro pubblico, append-only e verificabile, di tutto l’hardware in servizio. Google Cloud, dal canto suo, ha aggiunto a Confidential Space l’integrazione con Intel Trust Authority, un servizio di attestazione indipendente dal provider. Il principio \u00e8 semplice: se devi fidarti di un chip, almeno non fidarti di uno solo.<\/p>

Il paradosso del determinismo<\/h2>

C’\u00e8 un problema sottile che attraversa tutte e quattro le vie, e che i TEE non risolvono da soli. L’inferenza di un LLM su GPU non \u00e8 deterministica: lo stesso prompt, alla stessa temperatura, pu\u00f2 produrre output diversi perch\u00e9 l’ordine delle operazioni in virgola mobile cambia col carico e con la dimensione del batch. Un TEE attesta che un certo codice \u00e8 girato, ma non che due esecuzioni oneste producano lo stesso identico risultato. E senza un risultato canonico, su cosa si basa la verifica?<\/p>

La risposta del 2026 \u00e8 rendere l’inferenza bit-esatta. Il paper di EigenAI (arXiv 2602.00182<\/a>) descrive un motore deterministico che, \u00absu 10.000 esecuzioni, ha prodotto hash identici, senza nessuna divergenza a livello di bit\u00bb, con un sovraccarico di latenza intorno all’1,8%. Il vantaggio \u00e8 elegante: se ogni replica onesta produce la stessa identica stringa di byte, \u00abla verifica si riduce a un confronto di uguaglianza\u00bb invece che a un voto probabilistico. Il limite onesto, ammesso dagli stessi autori, \u00e8 che la corrispondenza bit a bit vale solo su GPU dello stesso identico modello: hardware eterogeneo (H100 contro H200) rompe di nuovo tutto, e imporre un \u00abhardware canonico\u00bb ri-centralizza i mercati di GPU che si volevano aprire. \u00c8 lo stesso attrito che pesa sulle reti di calcolo decentralizzato.<\/p>

A cosa serve davvero: riserve, agenti, dati sensibili<\/h2>

La teoria \u00e8 interessante, ma la domanda da porre a ogni tecnologia \u00e8: chi la compra e perch\u00e9. Il calcolo riservato ha trovato almeno quattro usi concreti dove la garanzia vale il costo.<\/p>

Prova di riserva e dati istituzionali.<\/strong> \u00c8 il caso Flare-USDX: un ente deve dimostrare un fatto su dati che non pu\u00f2 o non vuole rendere pubblici (riserve, posizioni, dati dei clienti). Il TEE pubblica il verdetto, non i numeri. Lo stesso schema vale per i \u00abconfidential compute\u00bb che banche e custodi stanno sperimentando per portare on-chain dati che la compliance tiene riservati. In un mondo dove ogni stablecoin seria dovr\u00e0 dimostrare la copertura, una prova di riserva continua e firmata \u00e8 pi\u00f9 solida di un attestato trimestrale.<\/p>

Agenti AI autonomi.<\/strong> Gli agenti nel 2026 hanno guadagnato un’identit\u00e0 e dei binari di pagamento (il protocollo x402 e i suoi rivali, che abbiamo raccontato in come pagano gli agenti AI<\/a>), ma gli manca lo strato di fiducia: come fa chi paga a sapere che l’agente ha davvero eseguito il modello giusto prima di firmare una transazione? Il calcolo verificabile \u00e8 esattamente quel tassello, e i framework di agenti (dallo stack di Eliza<\/a> in gi\u00f9) iniziano a trattarlo come un requisito, non un extra. Un agente che gestisce capitale deve poter provare le proprie azioni, non solo dichiararle.<\/p>

Inferenza privata.<\/strong> Sanit\u00e0, finanza e settore legale non possono mandare dati sensibili a un endpoint di terze parti in chiaro. Un TEE con prompt cifrati permette di usare un modello su dati riservati senza che il fornitore del modello li veda mai. \u00c8 il caso d’uso che Google Cloud mette in cima con i suoi SDK di cifratura dei prompt, e quello che rende il confidential computing appetibile ben oltre la cripto.<\/p>

Oracoli e giochi verificabili.<\/strong> Un oracolo che pubblica l’output di un modello (un prezzo, un punteggio di rischio, l’esito di una partita) ha bisogno che quell’output sia provabilmente non manomesso. Qui TEE, opML e zkML competono a seconda di quanto conta il tempo reale e quanto conta l’assenza di fiducia. Per un risultato di gioco in diretta il TEE vince sulla latenza; per un verdetto ad alto valore su cui si muovono molti soldi, la prova crittografica resta lo standard aureo.<\/p>

La tecnologia spedisce, i token no<\/h2>

C’\u00e8 una frattura che accompagna tutto il settore: l’infrastruttura funziona e cresce, ma i token che dovrebbero rappresentarla restano profondamente sotto i massimi. Il calcolo verificabile \u00e8 un ottimo prodotto e, almeno finora, un pessimo asset. La tabella qui sotto raccoglie i principali token del comparto ai prezzi CoinGecko in euro del 1\u00b0 ottobre 2026 (percentuali dai massimi storici calcolate sui valori in euro).<\/p>

Token<\/th>Progetto<\/th>Approccio<\/th>Prezzo (EUR)<\/th>Market cap<\/th>Dal massimo<\/th><\/tr><\/thead>
PHA<\/a><\/td>Phala Network<\/td>TEE<\/td>\u20ac0,0655<\/td>~\u20ac56 mln<\/td>circa -94%<\/td><\/tr>
EIGEN<\/a><\/td>EigenCloud<\/td>cripto-economico<\/td>\u20ac0,218<\/td>~\u20ac212 mln<\/td>circa -96%<\/td><\/tr>
PROVE<\/a><\/td>Succinct<\/td>ZK<\/td>\u20ac0,205<\/td>~\u20ac40 mln<\/td>circa -86%<\/td><\/tr>
LA<\/a><\/td>Lagrange<\/td>zkML<\/td>\u20ac0,062<\/td>~\u20ac12 mln<\/td>circa -96%<\/td><\/tr>
ZKC<\/a><\/td>Boundless<\/td>marketplace ZK<\/td>\u20ac0,037<\/td>~\u20ac11 mln<\/td>circa -98%<\/td><\/tr><\/tbody><\/table><\/figure>

Il dettaglio da notare \u00e8 proprio la riga in alto. Mentre i token delle prove crittografiche languono, PHA (il token legato ai TEE) \u00e8 salito di oltre il 200% nell’ultimo mese, pur restando circa il 94% sotto il suo massimo. Non \u00e8 un caso: \u00e8 l’unico pezzo del settore con un numero di throughput reale da esibire, e il mercato lo sta premiando per la trazione, non per la speculazione. \u00c8 la conferma, in prezzo, della tesi di questo articolo: nel 2026 la via che spedisce davvero \u00e8 quella hardware.<\/p>

All’estremo opposto c’\u00e8 l’opML: il token ORA di Ora Protocol \u00e8 scivolato sotto il mezzo milione di euro di capitalizzazione, con volumi talmente sottili da rendere il prezzo quasi privo di significato. Bittensor (TAO), l’outsider a maggiore capitalizzazione del comparto AI on-chain, resta un discorso a parte, pi\u00f9 vicino a una scommessa sui subnet che al calcolo verificabile in senso stretto. La morale \u00e8 che la domanda di calcolo verificabile, dove esiste, spesso non ha bisogno di un token per esistere, e questo pesa sulle valutazioni.<\/p>

Perch\u00e9 l’infrastruttura cresce e i token no? In parte \u00e8 il contesto macro: con la stretta monetaria e la rotazione verso i grandi nomi, gli asset infrastrutturali piccoli soffrono, un tema che abbiamo analizzato guardando alla correlazione tra azioni e crypto<\/a>. In parte \u00e8 strutturale: molti di questi servizi si pagano in dollari o stablecoin, non nel token nativo, che resta un gettone di governance o di staking pi\u00f9 che una quota sui ricavi. Finch\u00e9 l’uno non si aggancia all’altro, il divario tra tecnologia e token \u00e8 destinato a restare.<\/p>

Regole: AI Act, Consob e la trasparenza delle stablecoin<\/h2>

Il calcolo verificabile vive in una zona grigia regolamentare, ma non per questo \u00e8 indifferente alle regole. Anzi, due spinte opposte lo riguardano da vicino: una domanda di verificabilit\u00e0 che viene dalla normativa sull’AI, e un perimetro di vigilanza che viene dalla normativa sugli asset cripto.<\/p>

Dal lato AI, l’AI Act europeo \u00e8 diventato applicabile il 2 agosto 2026<\/a>, con l’avvio dell’enforcement della Commissione, gli obblighi di trasparenza (incluso l’etichettamento dei contenuti generati) e le regole sui modelli generici (GPAI), gi\u00e0 in vigore dall’agosto 2025. Gli obblighi pi\u00f9 pesanti sui sistemi ad alto rischio sono stati rinviati dall’AI Omnibus al 2 dicembre 2027 e al 2 agosto 2028. Il punto, per noi, \u00e8 la direzione: una regolamentazione che chiede tracciabilit\u00e0, documentazione e prova del corretto funzionamento crea domanda esattamente per gli strumenti che rendono l’AI verificabile. Dove la legge chiede \u00abdimostralo\u00bb, il calcolo verificabile ha una risposta.<\/p>

Dal lato cripto, l’infrastruttura in s\u00e9 non \u00e8 regolata, ma i token che la pagano e i servizi che ci girano sopra possono rientrare nel perimetro. In Italia il decreto legislativo 5 settembre 2024, n. 129 designa Consob<\/strong> per la condotta di mercato e la tutela dell’investitore e la Banca d’Italia<\/strong> per i profili prudenziali e sulle stablecoin (token di moneta elettronica e asset-referenced), mentre i derivati su cripto restano sotto la MiFID II. Il periodo transitorio di MiCA in Italia si \u00e8 chiuso il 1\u00b0 luglio 2026, e Consob ha adottato le linee guida ESMA sulla classificazione, con l’approccio \u00absostanza sulla forma\u00bb.<\/p>

Qui la prova di riserva di Flare diventa interessante anche per un lettore italiano. MiCA impone agli emittenti di stablecoin requisiti di riserva e di trasparenza stringenti: una prova di riserva continua e firmata, come quella abilitata dal calcolo riservato, \u00e8 esattamente il tipo di strumento che pu\u00f2 trasformare un obbligo di compliance in un controllo automatico e verificabile. USDX non \u00e8 un token MiCA, ma il meccanismo che la rende verificabile \u00e8 quello che un emittente europeo di EMT potrebbe presto trovarsi a dover offrire. Sul fronte fiscale, infine, i token del comparto restano cripto-attivit\u00e0 a tutti gli effetti per il contribuente italiano, con l’aliquota al centro del dibattito che abbiamo seguito nella vicenda dell’Intergruppo e del ritorno al 26%<\/a>.<\/p>

Cosa guardare adesso<\/h2>

Il 2026 ha spostato il calcolo verificabile dalla slide alla produzione, e lo ha fatto soprattutto attraverso l’hardware. Flare su Songbird, Phala a decine di miliardi di token al giorno, Apple e Google che portano il confidential computing nel mainstream: la via dei TEE ha vinto la gara della prima adozione reale perch\u00e9 \u00e8 abbastanza veloce ed economica da reggere l’inferenza vera, in tempo reale, senza riscrivere i modelli.<\/p>

I tre segnali da seguire sono chiari. Primo, se e quando FCC passer\u00e0 dal canary Songbird al mainnet Flare, e quanti altri emittenti adotteranno prove di riserva confidenziali. Secondo, se gli ibridi (OTR, EigenCompute, doppia radice) usciranno dai paper per girare in produzione, perch\u00e9 \u00e8 l\u00ec che la garanzia smette di dipendere da un solo chip. Terzo, l’hardening dell’hardware: dopo TEE.Fail, la credibilit\u00e0 dell’attestazione dipende da quanto in fretta Intel e NVIDIA chiuderanno i buchi fisici che AMD ha scelto di ignorare.<\/p>

La linea di fondo non cambia. Fidarsi del chip \u00e8 un enorme passo avanti rispetto a fidarsi di un server, ma non \u00e8 ancora fidarsi della matematica. Il settore lo sa, e per questo il 2026 non \u00e8 l’anno in cui i TEE hanno battuto lo zkML: \u00e8 l’anno in cui ha vinto l’idea che nessuno debba pi\u00f9 accettare un risultato dell’AI solo perch\u00e9 qualcuno lo afferma. Verificare, non fidarsi: \u00e8 questa la vera soglia che si sta alzando.<\/p>

Domande frequenti<\/h2>

Che cos’\u00e8 il calcolo riservato (confidential computing)?<\/h3>

Il calcolo riservato \u00e8 una forma di calcolo verificabile che esegue dati e modelli dentro un TEE, un’enclave sigillata nel processore e isolata da sistema operativo e operatore del server. Il chip produce un’attestazione firmata che certifica quale codice \u00e8 girato, cos\u00ec chi verifica pu\u00f2 fidarsi del risultato senza vedere i dati grezzi. \u00c8 la via pi\u00f9 veloce all’AI verificabile, con un sovraccarico intorno al 5-10%.<\/p>

Qual \u00e8 la differenza tra TEE e zkML?<\/h3>

Un TEE prova l’esecuzione tramite un’attestazione hardware firmata dal produttore del chip: \u00e8 veloce ma richiede di fidarsi di Intel, AMD o NVIDIA. Lo zkML produce una prova crittografica verificabile da chiunque senza fidarsi di nessuno, ma oggi \u00e8 ordini di grandezza pi\u00f9 lento e costoso, al punto da costringere a quantizzare il modello. In breve: TEE significa fidarsi del chip, zkML significa fidarsi della matematica.<\/p>

I TEE sono sicuri? Cosa \u00e8 successo con TEE.Fail?<\/h3>

I TEE alzano molto l’asticella rispetto al semplice fidarsi di un server, ma non sono infallibili. L’attacco TEE.Fail, pubblicato nell’ottobre 2025, ha estratto chiavi di firma da Intel, AMD e NVIDIA con un interposer DDR5 da meno di 1.000 dollari, permettendo di falsificare attestazioni. Richiede per\u00f2 accesso fisico e privilegi di root, e la risposta del 2026 \u00e8 usare architetture ibride con doppia radice di fiducia, slashing e controlli a campione con prove ZK.<\/p>

Che cos’\u00e8 Flare Confidential Compute?<\/h3>

Flare Confidential Compute \u00e8 un sistema, live su Songbird dal 1\u00b0 ottobre 2026, che permette agli smart contract di usare dati riservati elaborati dentro un TEE pubblicando solo un risultato firmato. Il primo caso d’uso \u00e8 la prova di riserva della stablecoin USDX di Hex Trust: on-chain va solo il verdetto \u00abcoperta 1:1 o meglio\u00bb, mentre le cifre delle riserve restano private. Gira su Google Cloud confidential computing ed \u00e8 gestito dalla Flare Foundation.<\/p>

Il calcolo verificabile \u00e8 regolamentato in Italia?<\/h3>

L’infrastruttura di calcolo verificabile in s\u00e9 non \u00e8 regolata, ma i token che la pagano e i servizi che ci girano sopra possono rientrare nel perimetro. In Italia Consob vigila sulla condotta di mercato e la Banca d’Italia sui profili prudenziali e sulle stablecoin, secondo il D.lgs. 129\/2024 che attua MiCA; i derivati su cripto restano sotto la MiFID II. L’AI Act europeo, applicabile dal 2 agosto 2026, spinge inoltre verso un’AI tracciabile e dimostrabile.<\/p>