Il primo ottobre 2026 la Ethereum Foundation, insieme al collettivo The Open Anonymity Project, ha portato in mainnet un sistema chiamato zkAPI<\/a>. Il meccanismo \u00e8 tanto semplice quanto ambizioso: si depositano ether o USDC in un contratto (il ZkApiVault), il dispositivo dell’utente genera una prova a conoscenza zero che quei fondi coprono la richiesta e in cambio arriva una chiave temporanea con un tetto di spesa. Chi incassa il pagamento non vede mai il prompt inviato al modello; chi fornisce l’inferenza non sa mai chi ha pagato. Come sintetizza il progetto, l’obiettivo \u00e8 che \u00abil server che gestisce il denaro non veda mai il contenuto, e il fornitore che vede il contenuto non conosca mai l’identit\u00e0 dietro la chiave\u00bb. Il disegno, battezzato ZK API Usage Credits, era stato pubblicato sul forum Ethereum Research da Vitalik Buterin e da Davide Crapis, a capo del gruppo dAI della fondazione.<\/p> Un dettaglio tecnico aiuta a inquadrare il resto della guida: zkAPI usa prove Groth16 sulla curva BN254, funzioni hash Poseidon e alberi di Merkle a 32 livelli per impedire la doppia spesa dei crediti. Ma attenzione, perch\u00e9 zkAPI non \u00e8 zk-ML. Lo zkAPI protegge il \u00abchi\u00bb e nasconde a chi fattura il contenuto della domanda; lo zk-ML, la tecnologia al centro di questo articolo, fa una cosa diversa e complementare: dimostra che il calcolo del modello \u00e8 stato eseguito davvero e correttamente, e pu\u00f2 farlo senza rivelare n\u00e9 i dati in ingresso n\u00e9 i pesi della rete. Sono due rami della stessa idea, lo zero-knowledge applicato all’AI, e il 2026 \u00e8 l’anno in cui entrambi hanno smesso di essere teoria da convegno e hanno iniziato a girare in produzione.<\/p> Lo zk-ML, abbreviazione di zero-knowledge machine learning, \u00e8 l’incontro tra due mondi che fino a pochi anni fa parlavano lingue diverse. Da una parte le prove a conoscenza zero, strumenti crittografici che permettono di dimostrare che un’affermazione \u00e8 vera senza rivelare nulla oltre alla sua verit\u00e0. Dall’altra l’apprendimento automatico, cio\u00e8 le reti neurali che oggi scrivono testo, riconoscono immagini e muovono capitali. Mettere insieme i due significa poter prendere una inferenza (l’operazione con cui un modello, dato un input, produce un output) e accompagnarla con una prova compatta che attesta una cosa precisa: quell’output \u00e8 stato calcolato da quel modello, su quell’input, senza scorciatoie.<\/p> Il punto che cambia tutto \u00e8 la verifica asimmetrica. Generare la prova \u00e8 costoso, ma controllarla \u00e8 quasi gratis: un verificatore (un altro computer, uno smart contract, un revisore) pu\u00f2 accertarsi in millisecondi che il calcolo sia corretto, senza rieseguirlo e senza fidarsi di chi lo ha svolto. \u00c8 il contrario del modello mentale a cui ci ha abituati il cloud, dove l’unica garanzia che un’API abbia usato il modello promesso (e non una versione pi\u00f9 piccola e pi\u00f9 economica) \u00e8 la parola del fornitore. Con lo zk-ML la fiducia si sposta dalla reputazione alla matematica: non \u00abfidati del server\u00bb, ma \u00abverifica la prova\u00bb.<\/p> La cornice concettuale l’ha disegnata Vitalik Buterin nel saggio The promise and challenges of crypto + AI applications<\/a>, dove colloca lo zk-ML tra gli approcci che consentono di usare l’AI \u00abcome regola del gioco\u00bb in sistemi decentralizzati solo se l’esecuzione \u00e8 dimostrabile. Finch\u00e9 non puoi provare che il modello ha fatto ci\u00f2 che dichiara, un’AI che gestisce denaro, vota in una governance o decide un prezzo resta un atto di fede.<\/p> Dietro la sigla zk-ML si nascondono in realt\u00e0 due garanzie distinte, ed \u00e8 la loro combinazione a rendere la tecnologia interessante proprio nel 2026. La prima \u00e8 l’integrit\u00e0: la prova certifica che l’output deriva esattamente da quel modello e da quell’input, quindi nessuno ha sostituito i pesi, troncato i calcoli o barato sul risultato. La seconda, spesso trascurata nelle prime spiegazioni, \u00e8 la riservatezza: la propriet\u00e0 \u00abzero-knowledge\u00bb consente di dimostrare la correttezza nascondendo ci\u00f2 che si vuole tenere privato. Puoi provare senza mostrare.<\/p> Cosa, in concreto, si pu\u00f2 nascondere? Tre cose, in combinazioni diverse. L’input, cio\u00e8 i dati dell’utente: la cartella clinica, la transazione, il volto biometrico. I pesi del modello, cio\u00e8 la propriet\u00e0 intellettuale di chi lo ha addestrato. Oppure entrambi. Un ospedale potrebbe dimostrare ai pazienti che una diagnosi \u00e8 uscita dal modello certificato dall’autorit\u00e0 sanitaria, senza che il fornitore veda i dati clinici e senza che l’ospedale riceva i pesi riservati del modello. Una banca potrebbe provare a un cliente, o a un revisore, che il rifiuto di un prestito \u00e8 stato prodotto dal modello di scoring approvato, senza esporre il profilo creditizio usato come riferimento.<\/p> \u00c8 proprio su questa seconda promessa che si sta spostando la frontiera. Per due anni il dibattito sullo zk-ML \u00e8 stato quasi tutto sulla correttezza: provare che un’AI on-chain non bari. Ma le applicazioni che muovono mercati veri (sanit\u00e0, finanza, identit\u00e0, pubblica amministrazione) hanno un vincolo ancora pi\u00f9 stringente, che non \u00e8 \u00abdimostrami che hai calcolato bene\u00bb ma \u00abcalcola senza vedere i miei dati\u00bb. La riservatezza, in Europa, non \u00e8 un lusso: \u00e8 un obbligo di legge, come vedremo.<\/p> Per capire perch\u00e9 lo zk-ML \u00e8 stato cos\u00ec difficile serve seguire il percorso che porta da un modello addestrato a una prova verificabile. Si parte da una rete gi\u00e0 allenata e la si esporta in un formato standard, di solito ONNX, che descrive il modello come un grafo di operazioni. Poi arriva il passaggio pi\u00f9 delicato: la quantizzazione. I modelli lavorano in virgola mobile a 32 bit, ma le prove a conoscenza zero vivono in un mondo di numeri interi dentro un campo finito. Occorre quindi riscrivere la rete con aritmetica intera, tipicamente a 8 bit.<\/p> Il modello quantizzato viene poi \u00abaritmetizzato\u00bb: ogni moltiplicazione, ogni somma, ogni funzione di attivazione diventa un vincolo in un sistema di equazioni, il circuito. Il prover esegue il modello, registra tutti i valori intermedi e genera la prova crittografica che quei valori rispettano i vincoli. Il verificatore, a quel punto, controlla la prova senza rieseguire nulla. Il collo di bottiglia \u00e8 tutto nel prover: costruire e risolvere il circuito di una rete neurale \u00e8 enormemente pi\u00f9 oneroso che far girare la rete e basta.<\/p> La quantizzazione, inoltre, ha un prezzo in accuratezza. Come ha spiegato Elena Burger, deal partner di a16z crypto, in una analisi diventata un riferimento<\/a>, \u00able prove a conoscenza zero oggi non riescono a rappresentare operazioni in virgola mobile a 32 bit nel formato a circuito aritmetico richiesto senza costi enormi\u00bb; il risultato \u00e8 che il modello dimostrabile \u00e8 spesso \u00abun’approssimazione grezza\u00bb di quello originale. Tenere insieme fedelt\u00e0 del modello e dimostrabilit\u00e0 \u00e8 la tensione di fondo di tutto il settore.<\/p> Perch\u00e9, allora, per anni si \u00e8 detto che lo zk-ML non avrebbe mai retto un modello serio? Per tre ostacoli ben precisi. Il primo sono le operazioni non lineari. Le moltiplicazioni tra matrici, il cuore di una rete, si traducono in circuito con un sovraccarico contenuto; Buterin stima meno di quattro volte rispetto al calcolo nativo. Ma le funzioni non lineari come ReLU e softmax, indispensabili perch\u00e9 una rete \u00abdecida\u00bb qualcosa, esplodono: nello stesso saggio Buterin indica un sovraccarico intorno a 200 volte. Sono proprio i passaggi che danno intelligenza al modello a costare di pi\u00f9 da provare.<\/p> Il secondo muro \u00e8 la virgola mobile, di cui si \u00e8 detto: i numeri reali con cui ragiona un modello non entrano in un circuito senza essere prima storpiati in interi. Il terzo \u00e8 la scala. Un conto \u00e8 provare una piccola rete che riconosce cifre scritte a mano, un altro \u00e8 un modello linguistico con miliardi di parametri. Buterin ricordava che generare una prova a conoscenza zero di un intero blocco Ethereum, molto pi\u00f9 semplice di un LLM, poteva richiedere ore; applicare la stessa logica a un transformer sembrava fantascienza.<\/p> Questi tre muri spiegano anche perch\u00e9 lo zk-ML ha la forma che ha: la quantizzazione aggressiva, i modelli piccoli, i tempi di prova misurati in minuti o ore. Per anni il settore ha vissuto in una nicchia di reti giocattolo, utili per le dimostrazioni ma lontane dai modelli che la gente usa davvero. Nel 2026 questo quadro \u00e8 cambiato.<\/p> La svolta ha due nomi tecnici: lookup e sumcheck. Invece di tradurre ogni funzione non lineare in una catena di vincoli aritmetici, le tecniche basate su tabelle di lookup permettono di \u00abcercare\u00bb il risultato in una tabella precalcolata e provare soltanto che la ricerca \u00e8 corretta. \u00c8 l’intuizione dietro Jolt Atlas, l’adattamento dello zkVM Jolt di a16z al mondo dei tensori ONNX, portato avanti da ICME Labs e NovaNet. Wyatt Benno, tra gli autori, lo ha sintetizzato senza mezzi termini<\/a>: \u00abi lookup eliminano del tutto la necessit\u00e0 di rappresentare il modello come circuito\u00bb, con benchmark che scendono da quattro o cinque secondi di EZKL a meno di un secondo.<\/p> Il salto pi\u00f9 rumoroso lo ha fatto per\u00f2 Lagrange con DeepProve. A giugno 2026 la societ\u00e0 ha reso open source il sistema<\/a>, dichiarando oltre 12 milioni di prove generate e pi\u00f9 di 3 milioni di inferenze verificate, con una generazione di prove da 54 a 158 volte pi\u00f9 veloce di EZKL e verifiche fino a 671 volte pi\u00f9 rapide. Soprattutto, DeepProve \u00e8 stato il primo a provare end-to-end un modello linguistico completo, GPT-2 e poi Gemma-3, con i modelli in stile Llama in sviluppo. Il fondatore e amministratore delegato Ismael Hishon-Rezaizadeh ha accompagnato il rilascio con una frase programmatica: \u00abnon abbiamo costruito DeepProve per possedere l’AI verificabile. Lo abbiamo costruito perch\u00e9 nessuno dovesse farlo. La scatola nera \u00e8 aperta\u00bb.<\/p> Il senso non \u00e8 che domani si potr\u00e0 provare un modello di frontiera in tempo reale: la distanza resta enorme. Ma il muro \u00ablo zk-ML non far\u00e0 mai girare un LLM\u00bb \u00e8 caduto, e con esso l’argomento principale di chi considerava la tecnologia una curiosit\u00e0 accademica. Il sovraccarico, che qualche anno fa si misurava in milioni di volte rispetto all’inferenza nativa, \u00e8 sceso di ordini di grandezza. La domanda \u00e8 passata da \u00absi pu\u00f2 fare?\u00bb a \u00abchi paga per farlo, e per proteggere cosa?\u00bb.<\/p> Lo zk-ML non \u00e8 l’unico modo per far girare un’AI su dati che non si vogliono mostrare. \u00c8 uno dei quattro grandi approcci alla computazione riservata, e capire come si distinguono \u00e8 il modo migliore per capire a cosa serve davvero ciascuno. La differenza sta in che cosa viene nascosto, a chi, e a quale costo.<\/p> Con lo zk-ML chi calcola conosce i dati, ma la prova li nasconde al verificatore: ideale quando si vuole dimostrare la correttezza e, insieme, tenere privato l’input o i pesi. Con la crittografia completamente omomorfica (FHE) si fa un passo oltre: si calcola direttamente sui dati cifrati, cosicch\u00e9 nemmeno chi esegue il calcolo vede mai il testo in chiaro. \u00c8 la scommessa di Zama, la societ\u00e0 francese fondata da Pascal Paillier e Rand Hindi diventata nel 2025 il primo \u00abunicorno\u00bb della FHE con un round da 57 milioni di dollari e una valutazione oltre il miliardo, come riportato da Tech.eu<\/a>. \u00abLa privacy nell’AI \u00e8 cruciale\u00bb, ha dichiarato Hindi in pi\u00f9 di un’intervista<\/a>; \u00absenza, consegniamo semplicemente tutti i nostri dati alle aziende\u00bb.<\/p> La terza via \u00e8 il calcolo multiparte sicuro (MPC): il lavoro viene spezzato tra pi\u00f9 nodi, nessuno dei quali vede l’intero dato, e solo la loro cooperazione produce il risultato; \u00e8 il modello di reti come Nillion. La quarta \u00e8 l’ambiente di esecuzione fidato (TEE), un’enclave hardware che decifra i dati dentro un chip sigillato: velocissima, ma la fiducia si sposta sul produttore del silicio, non sulla matematica. Proprio nel 2025 l’attacco TEE.Fail<\/a> ha mostrato che con meno di mille dollari di hardware e accesso fisico si potevano estrarre le chiavi di attestazione da chip Intel, AMD e NVIDIA, ricordando che \u00abfidarsi del chip\u00bb non equivale a \u00abfidarsi di una prova\u00bb.<\/p>Che cosa significa davvero zk-ML<\/h2>
Le due promesse: correttezza e riservatezza<\/h2>
Dalla rete neurale al circuito: come nasce una prova<\/h2>
I tre muri: non-linearit\u00e0, virgola mobile e scala<\/h2>
Il 2026 abbatte il muro degli LLM<\/h2>
zk-ML, FHE, MPC e TEE: le quattro vie alla privacy<\/h2>