Immaginate di chiedere a un modello di intelligenza artificiale di decidere chi vince una scommessa da diecimila euro, o di autorizzare una transazione che sposta fondi veri su una blockchain. La domanda scomoda arriva subito dopo: come facciamo a sapere che il modello ha calcolato davvero quello che dichiara di aver calcolato, e non una risposta comoda scelta da chi gestisce il server? \u00c8 il problema della computazione verificabile applicata all’AI, e l’opML (optimistic machine learning) \u00e8 stato per quasi due anni una delle risposte pi\u00f9 citate.<\/p>
L’idea \u00e8 elegante nella sua semplicit\u00e0. Invece di dimostrare in anticipo, con la crittografia, che il calcolo \u00e8 corretto, si pubblica il risultato sulla blockchain e lo si lascia aperto alle contestazioni per un certo periodo. Se nessuno protesta, il risultato diventa definitivo. Se qualcuno lo contesta, un gioco di verifica stabilisce chi ha ragione e chi ha mentito. \u00c8 lo stesso meccanismo dei rollup ottimistici che oggi regge buona parte dell’ecosistema Ethereum, applicato per\u00f2 all’inferenza dei modelli di machine learning.<\/p>
Per oltre un anno l’opML \u00e8 stato presentato come il compromesso pragmatico: pi\u00f9 economico dello zkML, che deve produrre pesanti prove crittografiche, e pi\u00f9 trustless dei TEE, che chiedono di fidarsi del produttore del chip. Nel 2026, per\u00f2, quel compromesso \u00e8 finito sotto pressione da entrambi i lati. Mentre il mercato cripto vive un altro Uptober sopra i massimi<\/a>, lo zkML \u00e8 diventato pi\u00f9 economico e i chip sono diventati pi\u00f9 veloci, erodendo i due vantaggi su cui l’opML aveva costruito la propria tesi. Questo articolo spiega cos’\u00e8 l’opML, come funziona davvero e perch\u00e9 oggi si trova stretto in una morsa.<\/p> opML sta per optimistic machine learning, machine learning ottimistico. In una frase: si esegue l’inferenza (o l’addestramento) di un modello di AI fuori dalla blockchain, si pubblica on-chain il risultato insieme a un impegno crittografico (una radice di Merkle) che riassume l’intero calcolo, e si considera quel risultato valido salvo contestazione entro una finestra di tempo definita.<\/p> L’aggettivo \u00abottimistico\u00bb non \u00e8 una trovata di marketing, \u00e8 un termine tecnico preso in prestito dai rollup ottimistici come Arbitrum e OP Stack. Il sistema \u00e8 ottimista perch\u00e9 assume per default che chi ha pubblicato il risultato sia onesto. Non chiede una prova preventiva. Scommette sul fatto che, se qualcuno barasse, ci sarebbe almeno un osservatore interessato e capace di accorgersene e di aprire una disputa. Il paper fondativo, \u00abopML: Optimistic Machine Learning on Blockchain\u00bb<\/a>, lo dice con parole quasi identiche: il meccanismo \u00e8 \u00abreminiscent of the optimistic rollup systems\u00bb.<\/p> La differenza con l’altra grande famiglia, lo zkML, \u00e8 netta. Lo zkML produce una prova a conoscenza zero che il calcolo \u00e8 matematicamente corretto, verificabile da chiunque senza doverlo rieseguire: \u00e8 trustless, ma costoso. L’opML non produce alcuna prova in anticipo, pubblica e aspetta. Se il risultato non viene contestato, risparmia quasi tutto il costo della verifica. \u00c8 un modello di fiducia radicalmente diverso, costruito sugli incentivi economici pi\u00f9 che sulla matematica. L’idea fu discussa pubblicamente per la prima volta in un thread su Ethereum Research<\/a> nell’estate del 2023, mesi prima del paper su arXiv.<\/p> Per capire la posizione dell’opML conviene disegnare lo spettro della computazione verificabile. A un estremo c’\u00e8 lo zkML, che offre la garanzia pi\u00f9 forte (fiducia zero, verifica puramente matematica) al prezzo pi\u00f9 alto. All’estremo opposto ci sono i TEE, gli ambienti di esecuzione fidati, che danno una verifica quasi gratuita e quasi istantanea ma chiedono di fidarsi del produttore del chip e della sua resistenza agli attacchi side-channel. In mezzo si collocano due approcci: quello cripto-economico, basato su stake e slashing, e appunto l’opML.<\/p> L’opML si \u00e8 venduto come la via di mezzo sensata. Il costo del calcolo \u00e8 quasi nativo, perch\u00e9 nel caso normale (nessuna contestazione) non si genera alcuna prova pesante: si paga solo la pubblicazione di un risultato e di un impegno. La fiducia richiesta non \u00e8 nel chip di un singolo fornitore, ma nell’ipotesi che esista almeno un verificatore onesto disposto a controllare. In teoria, il meglio dei due mondi: pi\u00f9 economico della crittografia pura, pi\u00f9 aperto dell’hardware proprietario.<\/p> Attenzione per\u00f2 a non confondere la computazione verificabile con la semplice computazione decentralizzata. Affittare potenza di calcolo su una rete distribuita, per esempio noleggiando una GPU su Akash<\/a>, risolve il problema di dove far girare il modello, non quello di dimostrare che il nodo ha calcolato onestamente. Una rete GPU ti d\u00e0 la macchina, non la garanzia. L’opML e i suoi concorrenti si occupano esattamente del secondo problema: provare l’onest\u00e0 del risultato, non solo fornire i cicli di calcolo.<\/p> L’opML non \u00e8 nato dal nulla. Il suo cuore, il gioco di verifica interattivo, viene da un progetto che precede di anni i rollup ottimistici: Truebit, proposto da Jason Teutsch e Christian Reitwiessner nel paper \u00abA scalable verification solution for blockchains\u00bb<\/a>. L’intuizione di Truebit era che non serve rieseguire on-chain un intero calcolo pesante per sapere se \u00e8 corretto. Basta un protocollo di bisezione che individui il singolo passo in cui due parti sono in disaccordo, e arbitrare soltanto quel passo.<\/p> Funziona cos\u00ec. Chi contesta e chi ha pubblicato il risultato eseguono lo stesso programma. Se divergono, si gioca una sorta di \u00abcaccia al colpevole\u00bb a dimezzamenti successivi: il programma viene diviso a met\u00e0, le due parti dichiarano lo stato intermedio, e si scopre in quale met\u00e0 c’\u00e8 il disaccordo. Si ripete sulla met\u00e0 incriminata, poi sul quarto, poi sull’ottavo, finch\u00e9 non resta una sola istruzione. Quella singola istruzione, minuscola, \u00e8 l’unica cosa che la blockchain deve eseguire per capire chi ha ragione. Un calcolo che dal vivo richiede miliardi di operazioni si riduce, in disputa, a una manciata di passi arbitrati on-chain.<\/p> I rollup ottimistici come Optimism e Arbitrum hanno reso popolare questo schema per l’esecuzione generica dell’EVM. L’opML lo applica a un caso specifico e molto pi\u00f9 ostico: l’inferenza di una rete neurale, fatta di miliardi di moltiplicazioni in virgola mobile. La sfida tecnica, come vedremo, \u00e8 proprio rendere quell’esecuzione abbastanza deterministica e riproducibile da poter essere bisezionata e arbitrata.<\/p> Il componente centrale dell’opML \u00e8 una Fraud Proof Virtual Machine (FPVM), una macchina virtuale a prove di frode. Serve a garantire che tutti vedano lo stesso calcolo, passo per passo, in modo identico su qualsiasi macchina. Senza questa standardizzazione il gioco di bisezione sarebbe impossibile: due nodi onesti potrebbero arrivare a risultati leggermente diversi solo perch\u00e9 usano GPU diverse, e la disputa non avrebbe senso.<\/p> La prima versione dell’opML era a fase singola: ogni passo dell’inferenza veniva rieseguito dentro la macchina virtuale, un ambiente ristretto e deterministico ma lento, senza accelerazione GPU. Sicuro e semplice, ma impraticabile per i modelli grandi. La soluzione, descritta nella documentazione del progetto su GitHub<\/a>, \u00e8 stata l’approccio multi-fase: il calcolo pesante gira in modo nativo e parallelo, con tutta la velocit\u00e0 dell’hardware reale, finch\u00e9 nessuno protesta. Solo quando scoppia una disputa, e solo sul micro-passo contestato, si scende nella macchina virtuale deterministica. In questo modo la complessit\u00e0 dell’albero di Merkle che indicizza il calcolo passa da un ordine grossolano a uno molto pi\u00f9 gestibile, con un’accelerazione che il team descrive nell’ordine delle \u00abdecine o centinaia di volte\u00bb rispetto alla fase singola.<\/p> Il risultato pi\u00f9 citato \u00e8 che, grazie a una libreria di deep learning leggera scritta ad hoc al posto di TensorFlow o PyTorch, l’opML riesce a far girare un modello da 7 miliardi di parametri come 7B-LLaMA (circa 26 GB) su un normale PC senza GPU. I benchmark del progetto, su compiti piccoli in stile MNIST e su testnet locale, parlano di pochi secondi per l’inferenza e di pochi minuti per il ciclo completo di contestazione. Sono numeri autodichiarati, non verificati da terzi indipendenti, e vanno letti come prove di fattibilit\u00e0 pi\u00f9 che come dati di produzione.<\/p> Tutta la sicurezza dell’opML si concentra in un parametro: la finestra di sfida. \u00c8 il periodo durante il quale un risultato pubblicato pu\u00f2 essere contestato. Finch\u00e9 la finestra \u00e8 aperta, il risultato \u00e8 soltanto provvisorio. Quando si chiude senza contestazioni, diventa definitivo e qualsiasi smart contract pu\u00f2 fidarsene.<\/p> Qui sta il compromesso fondamentale. Una finestra lunga \u00e8 pi\u00f9 sicura, perch\u00e9 d\u00e0 a tutti il tempo di accorgersi di una frode e di aprire una disputa, ma rallenta la finalit\u00e0 e rende l’opML inutilizzabile per qualsiasi applicazione che abbia bisogno di una risposta immediata. Una finestra corta \u00e8 veloce ma rischiosa, perch\u00e9 riduce le occasioni per un verificatore di controllare. Non esiste un valore giusto: dipende da quanto vale ci\u00f2 che il modello sta decidendo.<\/p> Il secondo pilastro \u00e8 l’ipotesi del \u00abguardiano onesto\u00bb: basta un solo verificatore onesto e attento (il cosiddetto modello one-of-N) perch\u00e9 il sistema regga. Ma questa assunzione nasconde un problema classico, gi\u00e0 noto a Truebit: il dilemma del verificatore. Controllare costa tempo e denaro, mentre il premio arriva solo nel raro caso in cui si scopra effettivamente una frode. Se tutti ragionano cos\u00ec, nessuno controlla, e il \u00abguardiano onesto\u00bb diventa un’ipotesi teorica. Truebit tent\u00f2 di risolverlo con errori forzati e jackpot per tenere svegli i verificatori; l’opML, nelle sue versioni pubbliche, non ha una risposta altrettanto strutturata.<\/p> Ora Protocol sostiene che il suo oracolo abbia gestito le richieste senza frodi andate a buon fine. \u00c8 un dato che va per\u00f2 letto con cautela: non risulta pubblicamente che una prova di frode sia mai scattata sul suo oracolo, e l’assenza di contestazioni \u00e8 coerente sia con un sistema perfettamente onesto sia con lo scenario in cui, semplicemente, nessuno sta davvero controllando.<\/p> Il progetto che ha portato avanti l’opML \u00e8 Ora Protocol, nato come Hyper Oracle nel 2022. Il co-fondatore Kartin Wong, ex ingegnere con un passato in Google, ha costruito un team che unisce competenze di oracoli e di crittografia applicata al machine learning; alla scienza si \u00e8 aggiunta Cathie So, ricercatrice con un passato nel gruppo zkML della Ethereum Foundation, un dettaglio non casuale visto che Ora lavora sia su opML sia su zkML.<\/p> Nel giugno 2024 la societ\u00e0 ha raccolto 20 milioni di dollari da Polychain, HF0 e HashKey Capital. In quell’occasione Wong ha spiegato a CoinDesk<\/a> che l’obiettivo era \u00abunlock the design space for AI dapps\u00bb, sbloccare lo spazio di progettazione per le applicazioni decentralizzate basate su AI, portando i modelli di machine learning direttamente nell’ecosistema Ethereum. La visione, in altre parole, non era vendere opML come prodotto, ma usarlo come infrastruttura su cui costruire oracoli, agenti e persino mercati di modelli.<\/p> Il token nativo, ORA, serve soprattutto da carburante: ogni chiamata all’oracolo costa da 0,01 a 1,00 ORA, a seconda del modello. Non \u00e8 pensato principalmente come token di governance, quanto come unit\u00e0 di pagamento per il servizio. Come vedremo pi\u00f9 avanti, il prezzo di quel token racconta per\u00f2 una storia molto diversa da quella della tecnologia.<\/p> L’applicazione principale dell’opML \u00e8 l’OAO, l’Onchain AI Oracle. \u00c8 un insieme di contratti, con lo stesso indirizzo (0x0A0f4321214BB6C7811dD8a71cF587bdaF03f0A0) replicato su oltre una dozzina di reti tra cui Ethereum, Optimism, Arbitrum, Base, Polygon, Linea, Mantle e BSC. Il flusso \u00e8 lineare: uno smart contract invia una richiesta, i nodi opML eseguono il modello, pubblicano il risultato con la finestra di sfida, e al termine un callback riporta la risposta al contratto richiedente. Blockworks<\/a> ha confermato la disponibilit\u00e0 dell’oracolo sulla mainnet di Ethereum. Il catalogo, elencato nel repository OAO<\/a>, comprende modelli a pesi aperti come Llama, Qwen, Mistral, Gemma, DeepSeek e generatori di immagini come Stable Diffusion e FLUX.<\/p> Sull’OAO Ora ha costruito opAgent, un framework di \u00abagenti perpetui on-chain\u00bb presentato il 31 gennaio 2025, controllati dalla logica di uno smart contract anzich\u00e9 da una chiave privata, con l’opML come ponte che rende verificabile ogni loro azione. C’\u00e8 poi l’IMO, l’Initial Model Offering, un tentativo di tokenizzare i ricavi di un modello: lo standard ERC-7641<\/a> (ancora in bozza) descrive un token che, nelle parole del suo stesso abstract, \u00abembodies shares\u00bb, incorpora quote, consentendo di bruciarle per riscattare una parte proporzionale dei ricavi; i contenuti generati sono invece ancorati allo standard ERC-7007<\/a>, gi\u00e0 finalizzato, che prevede sia prove di validit\u00e0 (zkML) sia prove di frode (opML).<\/p> Qui va segnalata una sfumatura che pesa pi\u00f9 di quanto sembri. L’opML protegge davvero solo i modelli a pesi aperti, quelli che un contestatore pu\u00f2 rieseguire in modo indipendente per verificare il risultato. Quando l’oracolo relaya un modello chiuso tramite API, come GPT-4o, non c’\u00e8 alcun modo di rieseguirlo: quel risultato \u00e8 di fatto soltanto trasmesso e attestato, non verificato con una prova di frode nel senso proprio. \u00c8 una distinzione che molti materiali promozionali tendono a lasciare in secondo piano.<\/p> Per collocare l’opML conviene metterlo accanto ai suoi tre concorrenti. Vitalik Buterin, co-fondatore di Ethereum, in un suo saggio sull’incrocio tra crypto e AI<\/a> ha ricordato quanto sia caro portare una rete neurale in un circuito a conoscenza zero: le moltiplicazioni matriciali hanno un overhead contenuto, ma le operazioni non lineari possono comportare un sovraccarico \u00abaround 200x\u00bb, e generare certe prove \u00abcan take hours\u00bb. \u00c8 proprio questo costo che l’opML aggira rinunciando alla prova preventiva. La tabella seguente riassume i quattro approcci.<\/p>Che cos’\u00e8 l’opML, in una frase<\/h2>
L’opML come compromesso pragmatico<\/h2>
L’eredit\u00e0 di Truebit e dei rollup ottimistici<\/h2>
Come funziona: la macchina virtuale a prove di frode<\/h2>
La finestra di sfida e il guardiano onesto<\/h2>
Ora Protocol: chi c’\u00e8 dietro l’opML<\/h2>
OAO, opAgent e cosa ci gira sopra<\/h2>
I quattro modi di verificare l’AI<\/h2>