Nel 2026 lo zk-ML ha smesso di essere una curiosit\u00e0 da laboratorio. Le prove a conoscenza zero riescono a certificare che un modello di intelligenza artificiale ha prodotto un certo risultato senza barare, e in diversi casi senza rivelare n\u00e9 i pesi del modello n\u00e9 i dati in ingresso. La domanda che pesa sul settore non \u00e8 pi\u00f9 se la matematica funzioni, ma chi genera queste prove, a quale costo, e se un mercato possa renderle abbastanza economiche da servire a qualcosa. Questa guida parte dalle fondamenta dello zk-ML e arriva al punto che quasi nessuno racconta: il lato dell’offerta, cio\u00e8 la fabbrica delle prove.<\/p>
Lo zk-ML (zero-knowledge machine learning) applica le prove a conoscenza zero, in pratica gli zk-SNARK, all’inferenza di un modello di machine learning. Chi esegue il calcolo allega una prova crittografica, corta ed economica da controllare, che attesta due cose: che l’inferenza \u00e8 stata svolta correttamente e che \u00e8 stata svolta con quel preciso modello. Chi verifica non deve rieseguire nulla, controlla la prova in pochi millisecondi. La fiducia si sposta da \u00abfidati del server che ha girato il modello\u00bb a \u00abverifica la prova\u00bb. \u00c8 la stessa idea che regge gli zk-rollup di Ethereum, applicata per\u00f2 a una rete neurale invece che a un lotto di transazioni.<\/p>
Per anni il limite \u00e8 stato brutale. Provare l’inferenza di un modello grande era troppo lento e troppo costoso, al punto che molti consideravano lo zk-ML inadatto a qualsiasi cosa pi\u00f9 complessa di una piccola rete neurale. Nel 2026 quel muro si \u00e8 incrinato. DeepProve, il sistema sviluppato da Lagrange, ha dimostrato end-to-end l’inferenza di un LLM completo (GPT-2 e Gemma-3), e una nuova generazione di tecniche ha abbattuto il costo delle operazioni che prima facevano esplodere i tempi. Risolto in buona parte il come, il baricentro del dibattito si \u00e8 spostato sull’economia: generare una prova resta la parte cara, e la vera partita dell’anno \u00e8 costruire mercati capaci di produrre prove su scala, come una rete elettrica distribuisce energia.<\/p>
Per capire perch\u00e9 serva un mercato bisogna guardare l’asimmetria al cuore dello zk-ML. Eseguire l’inferenza di un modello \u00e8 relativamente economico; generare la prova crittografica che quell’inferenza \u00e8 corretta \u00e8 da decine a centinaia di volte pi\u00f9 costoso in termini di calcolo. Verificare la prova, invece, \u00e8 quasi gratuito. Produzione cara, verifica a buon mercato: \u00e8 la stessa asimmetria che rende utili gli zk-rollup, e disegna con precisione il problema dello zk-ML, perch\u00e9 il collo di bottiglia non \u00e8 controllare le prove ma fabbricarle.<\/p>
Vitalik Buterin, nel suo saggio sul rapporto tra crypto e intelligenza artificiale<\/a>, ha quantificato gli ordini di grandezza. La moltiplicazione tra matrici, che \u00e8 il grosso del lavoro di una rete neurale, si prova con un overhead contenuto, \u00abless than 4x\u00bb nelle sue parole; sono le operazioni non lineari a far esplodere il conto, con un costo intorno a \u00abaround 200x\u00bb; e provare con uno zk-SNARK anche solo un blocco di Ethereum, scrive, \u00abcan take hours\u00bb. \u00c8 il motivo per cui, finch\u00e9 la generazione delle prove resta cos\u00ec onerosa, il settore non ha un problema di matematica ma di economia industriale: come produrre tante prove, in fretta, a un prezzo che qualcuno sia disposto a pagare.<\/p> Questa asimmetria spiega perch\u00e9 lo zk-ML non si compri come un normale servizio cloud. In un’API tradizionale paghi per l’inferenza e basta; qui paghi l’inferenza pi\u00f9 la prova, e la prova pu\u00f2 pesare molto pi\u00f9 del calcolo originale. Chi costruisce un prodotto deve quindi chiedersi se la garanzia crittografica valga quel sovrapprezzo, e la risposta cambia radicalmente a seconda del contesto: per un chatbot gratuito non ha senso, per un contratto che muove milioni di euro o per un referto che deve resistere a una contestazione legale pu\u00f2 valere ogni centesimo. \u00c8 da questa domanda, non dalla matematica, che nasce l’idea di un mercato delle prove.<\/p> Perch\u00e9 provare un modello \u00e8 cos\u00ec caro? Per tre ostacoli ben precisi. Il primo sono le operazioni non lineari, come le funzioni di attivazione ReLU o softmax: dentro un circuito aritmetico costano moltissimo, e per anni sono state approssimate con polinomi, perdendo precisione. Il secondo \u00e8 la virgola mobile: i circuiti ragionano su numeri interi dentro un campo finito, non sui float a 32 bit con cui gira un modello reale, da cui la necessit\u00e0 di quantizzare. Il terzo \u00e8 la scala: moltiplicare questi costi per miliardi di parametri rendeva la generazione di una prova un esercizio da ore o giorni.<\/p> Il 2026 ha portato due strumenti che cambiano l’equazione: i lookup e il protocollo sumcheck. Jolt Atlas, il zkVM Jolt di a16z adattato da ICME Labs e NovaNet alle operazioni tensoriali del formato ONNX, sostituisce la rappresentazione a circuito delle funzioni non lineari con tabelle di consultazione precalcolate. Wyatt Benno di ICME Labs lo sintetizza cos\u00ec<\/a>: \u00abLookups eliminate the need for circuit representation entirely\u00bb, con un benchmark che porta la generazione da circa 4-5 secondi di EZKL a circa 0,7 secondi. Tradotto: l’ostacolo che costava di pi\u00f9, le operazioni non lineari, \u00e8 passato da collo di bottiglia a dettaglio gestibile.<\/p> Il risultato visibile \u00e8 DeepProve. Dall’apertura del codice, a giugno 2026, il sistema di Lagrange dichiara<\/a> oltre 12 milioni di prove generate e 3 milioni di inferenze verificate, con una generazione delle prove decine di volte pi\u00f9 rapida e una verifica centinaia di volte pi\u00f9 veloce rispetto allo stato dell’arte precedente. Ismael Hishon-Rezaizadeh, CEO di Lagrange, ha scelto una frase a effetto per l’open source: \u00abThe black box is open\u00bb. Il muro degli LLM non \u00e8 caduto del tutto, perch\u00e9 i modelli di frontiera restano fuori portata, ma per la prima volta un LLM completo \u00e8 stato provato dall’inizio alla fine.<\/p> C’\u00e8 un avvertimento che accompagna ogni prova zk-ML e che conviene conoscere prima di fidarsi dell’etichetta \u00abAI verificata\u00bb. Una prova certifica il modello che \u00e8 entrato nel circuito, non necessariamente quello che gira in produzione. Poich\u00e9 i float a 32 bit non entrano nei circuiti, il modello va quantizzato, in genere a interi a 8 bit. Elena Burger, deal partner di a16z crypto, \u00e8 stata netta<\/a>: \u00abzero-knowledge proofs today can’t represent 32-bit floating point operations in the necessary arithmetic circuit format without massive overheads\u00bb, e un modello quantizzato \u00e8 \u00aba crude approximation of the higher-quality initial model\u00bb.<\/p> In altre parole, la prova \u00e8 solida dal punto di vista matematico (soundness), ma pu\u00f2 attestare una versione approssimata del modello: la solidit\u00e0 non \u00e8 fedelt\u00e0. I lookup del 2026 hanno recuperato una parte della perdita, perch\u00e9 non servono pi\u00f9 i polinomi approssimati per ReLU e softmax, ma la quantizzazione resta il biglietto d’ingresso. Per gli usi in cui il modello quantizzato \u00e8 il prodotto (un avversario in un gioco, un meccanismo di fee, un modello biometrico sul telefono) il compromesso va benissimo. Per certificare un modello di frontiera, \u00e8 un avvertimento da non ignorare. Strumenti come EZKL espongono persino una manopola esplicita tra accuratezza e costo, con una modalit\u00e0 che allarga la scala numerica per avvicinarsi al modello originale e una che la stringe per risparmiare risorse.<\/p> Lo zk-ML non \u00e8 l’unico modo per rendere verificabile un calcolo di intelligenza artificiale. Il calcolo verificabile ha quattro famiglie, e capirne le differenze serve a inquadrare perch\u00e9 il lato dell’offerta dello zk-ML sia un problema a s\u00e9. Oltre alle prove crittografiche c’\u00e8 l’opML (ottimistico: pubblichi il risultato e lo consideri valido salvo contestazione entro una finestra di tempo), i TEE o ambienti di esecuzione fidati (l’hardware attesta di aver eseguito il modello, ma ti fidi del produttore del chip) e l’approccio crypto-economico (metti in gioco uno stake e vieni tagliato se imbrogli).<\/p>Le tre pareti tecniche, e come il 2026 le ha abbattute<\/h2>
Il compromesso della quantizzazione<\/h2>
zk-ML contro gli altri tre approcci<\/h2>