zk-ML: come funziona la prova che l’AI ha calcolato bene

Un modello di intelligenza artificiale è una scatola nera. Gli si fornisce un input, restituisce un output, e nel mezzo ci sono miliardi di moltiplicazioni che nessuno, nemmeno chi ha addestrato il modello, riesce a ispezionare a occhio. Per gran parte del software questo non è un problema: ci si fida del fornitore. Ma la crypto nasce dal principio opposto, «non fidarti, verifica», e quel principio va in cortocircuito nel momento in cui un contratto intelligente, un oracolo o un agente autonomo deve accettare come vera la risposta di un modello che non può rieseguire.

Lo zk-ML (zero-knowledge machine learning) prova a sciogliere questo nodo. L’idea è produrre, insieme al risultato di un’inferenza, una ricevuta crittografica che dimostra due cose: che è stato eseguito quel modello preciso e che l’ha eseguito su quegli input, ottenendo esattamente quell’output. Chi verifica non deve rieseguire il calcolo né vedere i pesi del modello: gli basta controllare una prova che si valida in millisecondi.

Vale la pena chiarire subito un equivoco. Lo zk-ML non serve a rendere l’AI più intelligente né a spiegarne le decisioni: non è uno strumento di interpretabilità. Serve a una cosa sola, ma cruciale in un contesto senza fiducia: garantire che il calcolo dichiarato sia esattamente il calcolo avvenuto. Per anni è stato più una promessa accademica che una tecnologia utilizzabile, perché dimostrare l’inferenza anche di una piccola rete neurale poteva richiedere ore. Nel 2026 qualcosa si è mosso davvero, al punto che un LLM intero è stato dimostrato dall’inizio alla fine. Questa guida spiega come è fatta la macchina che genera quelle prove, dove sbatteva contro il muro e perché adesso quel muro si sta incrinando.

Che cos’è lo zk-ML, in una frase

Lo zk-ML è l’insieme delle tecniche che permettono di dimostrare, con una prova a conoscenza zero, che una specifica inferenza di machine learning è stata calcolata correttamente. «A conoscenza zero» significa che la prova può nascondere informazioni sensibili (gli input dell’utente, i pesi del modello, o entrambi) rivelando soltanto ciò che serve: che il calcolo è avvenuto secondo le regole.

Conviene separare subito due proprietà che spesso vengono confuse. La prima è l’integrità: la prova certifica che il risultato non è stato manomesso e che proviene proprio da quel modello. La seconda è la riservatezza: grazie alla componente a conoscenza zero, si può dimostrare l’integrità senza esporre i dati. Molte applicazioni vogliono solo la prima; altre, come la sanità o la finanza, hanno bisogno anche della seconda. Tenere a mente questa distinzione è utile, perché determina quale strumento conviene usare.

Perché la crypto vuole verificare l’AI

Vitalik Buterin, in un saggio del 2024 tornato di grande attualità, ha classificato quattro modi di combinare AI e crypto: l’AI come giocatore dentro un meccanismo, come interfaccia verso di esso, come regola del gioco e come obiettivo del gioco. Sul terzo caso, l’AI che diventa la regola (per esempio un modello che decide come si muovono i fondi in un protocollo), la sua indicazione è di muoversi con estrema cautela. Il motivo è ovvio: se un’AI stabilisce chi viene liquidato o quanto vale un asset, chiunque abbia interesse a barare proverà a manipolarla, e senza una prova non c’è modo di accorgersene.

La posta in gioco non è teorica. Immaginiamo un protocollo di prestito che usa un modello per stimare la volatilità di un collaterale e decidere il rapporto di sovracollateralizzazione. Se quel modello gira su un server che nessuno può controllare, chi lo gestisce potrebbe fargli restituire un valore compiacente, aprendo la strada a prestiti sottogarantiti o a liquidazioni ingiuste. Con una prova zk-ML, il contratto accetta l’output solo se accompagnato dalla dimostrazione che è stato prodotto proprio da quel modello, su quei dati, senza scorciatoie. La fiducia si sposta dall’operatore alla matematica.

Gli esempi concreti si moltiplicano. Un agente autonomo che gestisce un fondo dovrebbe dimostrare di aver seguito la strategia dichiarata e non un’altra. Un oracolo che pubblica un prezzo derivato da un modello dovrebbe poter provare quale modello ha usato. Un agente costruito su un framework come Eliza che firma transazioni per conto di un utente ha bisogno di garanzie verificabili prima che qualcuno gli affidi una chiave. In tutti questi casi la domanda è la stessa: come faccio a sapere che l’AI ha calcolato ciò che dice di aver calcolato? Lo zk-ML è una delle poche risposte che non richiedono di fidarsi di nessuno.

Le tre proprietà di una prova a conoscenza zero

Nel senso tecnico, una prova a conoscenza zero deve soddisfare tre proprietà. La completezza: se il calcolo è stato fatto onestamente, il verificatore accetterà sempre la prova. La solidità: se il risultato è falso, è computazionalmente impossibile produrre una prova che venga accettata, salvo una probabilità trascurabile. La conoscenza zero vera e propria: la prova non rivela nulla oltre alla verità dell’affermazione.

Applicate all’inferenza di un modello, queste proprietà si traducono così. La completezza garantisce che chi ha eseguito il modello onestamente potrà sempre convincere la controparte. La solidità impedisce a un nodo disonesto di spacciare per output del modello un numero inventato: la matematica non glielo consente. La conoscenza zero, infine, è opzionale ma preziosa: consente a un ospedale di dimostrare che una diagnosi è uscita da un modello certificato senza pubblicare la cartella clinica del paziente, o a un’azienda di provare che il suo modello proprietario ha prodotto un certo risultato senza regalare i pesi ai concorrenti.

Sotto il cofano, le prove più usate nello zk-ML appartengono a due famiglie: le SNARK (prove succinte e non interattive, molto compatte da verificare) e le STARK (che rinunciano a un setup fidato e reggono meglio la scala, al prezzo di prove più grandi). Sistemi come Halo2, i vari schemi Plonkish o i protocolli basati sul sumcheck sono i motori concreti che trasformano i vincoli aritmetici in una prova. Per chi costruisce, la scelta del motore determina tempi, dimensione della prova e costo di verifica on-chain; per chi legge, basta sapere che sono strumenti diversi per lo stesso obiettivo: dimostrare un calcolo senza rifarlo. Va aggiunto che «prova di validità» e «prova a conoscenza zero» non sono sinonimi, anche se nel gergo del settore vengono usati in modo intercambiabile: un sistema può fornire integrità senza riservatezza oppure entrambe, e la differenza conta quando si progetta un’applicazione reale.

Dal modello alla prova: il ciclo di vita

Per capire dove lo zk-ML diventa difficile, conviene seguire una singola inferenza lungo tutta la catena, dal modello addestrato alla prova che un contratto verifica on-chain. I passaggi sono più o meno sempre questi.

1. Addestramento ed esportazione. Il modello viene addestrato con gli strumenti abituali (PyTorch, TensorFlow, JAX) e poi esportato in un formato interoperabile, quasi sempre ONNX, che descrive la rete come un grafo di operazioni.
2. Quantizzazione. I pesi e le attivazioni, di norma in virgola mobile a 32 bit, vengono convertiti in numeri interi a precisione ridotta (spesso 8 bit). È il passaggio che rende il modello dimostrabile, ma che introduce un’approssimazione.
3. Aritmetizzazione. Ogni operazione del grafo (moltiplicazioni di matrici, ReLU, softmax) viene tradotta in vincoli matematici che un sistema di prova sa maneggiare: un circuito aritmetico oppure, negli approcci più recenti, una serie di lookup.
4. Generazione della prova. Il prover esegue il calcolo e, contemporaneamente, produce la prova crittografica. È la fase costosa: richiede molta memoria e molto tempo di calcolo.
5. Verifica. Il verificatore (un contratto su una blockchain, oppure qualsiasi altra macchina) controlla la prova. Questa fase è deliberatamente economica: pochi millisecondi e un costo di gas contenuto, indipendentemente da quanto era grande il modello.

Questa asimmetria (prova costosa, verifica economica) è il cuore del valore dello zk-ML: sposta tutto il lavoro sul provatore e lascia al verificatore un compito banale. Il problema è che le fasi di quantizzazione, aritmetizzazione e generazione nascondono tre ostacoli tecnici che per anni hanno reso lo zk-ML impraticabile su modelli seri. Conviene esaminarli uno per uno.

Primo ostacolo: le operazioni non lineari

Non tutte le operazioni di una rete neurale costano uguale da dimostrare. Le moltiplicazioni di matrici, che costituiscono la parte quantitativamente dominante del calcolo, si prestano bene ai sistemi di prova: Buterin osserva che le migliori implementazioni mostrano un overhead inferiore a 4 volte per dimostrare una moltiplicazione di matrici. Il guaio sono le operazioni non lineari: le funzioni di attivazione come ReLU o softmax, i confronti, gli arrotondamenti. Espresse come vincoli aritmetici, queste funzioni diventano sproporzionatamente costose, e lo stesso Buterin nota che l’overhead sui livelli non lineari resta significativo, con le migliori implementazioni pratiche intorno a 200 volte.

Il paradosso è evidente: la parte del modello che pesa di più nel calcolo grezzo è quella facile da dimostrare, mentre le funzioni che occupano una frazione minima del tempo di esecuzione fanno esplodere il costo della prova. Per anni la ricerca sullo zk-ML è stata in larga parte una caccia a modi più intelligenti di aritmetizzare la non linearità.

Secondo ostacolo: la virgola mobile

Il secondo scoglio è la rappresentazione dei numeri. I modelli lavorano in virgola mobile, tipicamente a 32 bit, mentre i sistemi di prova ragionano su campi finiti di numeri interi. Tradurre l’una nell’altra non è gratis. Elena Burger, deal partner di a16z crypto, lo ha spiegato con chiarezza: «i parametri e le attivazioni dei modelli sono spesso codificati a 32 bit per precisione, ma le prove a conoscenza zero oggi non riescono a rappresentare operazioni in virgola mobile a 32 bit nel formato di circuito aritmetico necessario senza overhead enormi».

La soluzione pratica è la quantizzazione: si convertono i numeri in interi a 8 bit, molto più docili per un circuito. Ma qui si paga un prezzo. Come nota la stessa Burger, il modello effettivamente verificato «potrebbe essere un’approssimazione grossolana del modello iniziale di qualità superiore». In altre parole, si dimostra con certezza matematica l’esecuzione di un modello che non è esattamente quello di partenza. Per un classificatore di immagini la perdita di accuratezza può essere accettabile; per applicazioni sensibili è un compromesso da valutare con attenzione.

Terzo ostacolo: la scala

Il terzo problema è semplicemente la dimensione. Più parametri ha un modello, più operazioni vanno dimostrate, più tempo e memoria servono al prover. Con i sistemi di qualche anno fa i numeri erano scoraggianti, e Buterin fotografava bene l’ordine di grandezza: «un blocco Ethereum richiede poche centinaia di millisecondi per essere verificato direttamente, ma generare una ZK-SNARK che ne dimostri la correttezza può richiedere ore». Trasportato su una rete neurale, questo significava che dimostrare anche un modello modesto poteva costare ore di calcolo per un singolo esempio. Moltiplicare quel costo per i miliardi di parametri di un LLM equivaleva, in pratica, all’impossibilità.

Non a caso i primi esperimenti seri si concentravano su modelli minuscoli. Modulus Labs, la startup «ZK-meets-AI» che nel 2023 raccolse un round da sei milioni di dollari guidato da Variant e 1kx, era stata tra le prime a misurare in modo sistematico il costo dei sistemi di prova applicati all’AI, con il report «The Cost of Intelligence». I suoi dimostratori vivevano dentro giochi on-chain con AI minuscole, come RockyBot, proprio perché tempo di prova e uso di memoria erano i vincoli decisivi. Finché il proving restava così lento, lo zk-ML era una curiosità da laboratorio.

La svolta dei lookup e il 2026

Il muro ha iniziato a cedere quando la comunità ha cambiato approccio all’aritmetizzazione. Invece di codificare ogni funzione non lineare come un circuito, la si può precalcolare in una tabella e poi dimostrare, tramite un argomento crittografico chiamato lookup, che un certo valore appartiene a quella tabella. Wyatt Benno, di ICME Labs, lo sintetizza senza mezzi termini: «i lookup, al contrario, eliminano del tutto la necessità della rappresentazione a circuito».

Il filone tecnico più discusso del 2026 è Jolt Atlas, un adattamento della zkVM Jolt di a16z (basata su lookup e sul protocollo sumcheck) alle operazioni tensoriali dei modelli in formato ONNX, portato avanti da ICME Labs e NovaNet. L’idea di fondo è che una macchina virtuale costruita quasi interamente su lookup elimina buona parte della complessità che rendeva costosa la non linearità: niente polinomi quoziente, niente decomposizione in byte, niente prodotti a catena. I numeri iniziano a raccontare una storia diversa: sullo stesso modello di classificazione, un prover basato su Jolt impiega circa 0,7 secondi contro i 4-5 secondi di EZKL, la libreria che per anni è stata il riferimento. Dalle ore dei primi sistemi a frazioni di secondo, il salto è enorme.

Alla base di questi progressi c’è proprio il sumcheck, un protocollo interattivo che consente di dimostrare in modo efficiente affermazioni su grandi somme di valori e che si sposa particolarmente bene con le operazioni tensoriali di una rete neurale. Combinato con i lookup, permette di trattare le funzioni non lineari senza costruire i circuiti mostruosi che le rappresentavano prima. È un cambio di paradigma più che un’ottimizzazione incrementale: sposta il collo di bottiglia dalla forma del modello alla pura quantità di calcolo, che è esattamente il tipo di problema che l’hardware sa aggredire.

DeepProve e la prima prova di un LLM intero

Il segnale più forte che il 2026 sia un anno di svolta arriva da Lagrange e dal suo sistema DeepProve. A giugno l’azienda ha reso open source l’intero stack (circuiti, prover, verificatore e pipeline ONNX), dichiarando oltre 12 milioni di prove generate e più di 3 milioni di inferenze verificate dall’inizio alla fine nell’arco di un anno. Ma il dato che conta di più è un altro: DeepProve è il primo sistema zk-ML di livello produttivo a dimostrare un’inferenza LLM completa, con GPT-2 e Gemma-3 provati end-to-end e i modelli in stile Llama in fase di sviluppo attivo. Rispetto allo stato dell’arte precedente, l’azienda rivendica prove fino a 60 volte più veloci e verifiche 671 volte più rapide, senza perdita di accuratezza; il sistema legge modelli in ONNX, safetensors e GGUF, i formati con cui gli LLM vengono effettivamente distribuiti.

Il traguardo va letto con prudenza: dimostrare GPT-2, con le sue poche centinaia di milioni di parametri, non equivale a dimostrare un modello di frontiera da centinaia di miliardi, e i modelli in stile Llama sono ancora in corso. Ma la direzione è chiara, e il fondatore e CEO di Lagrange, Ismael Hishon-Rezaizadeh, l’ha inquadrata così: «Non abbiamo costruito DeepProve per possedere l’AI verificabile. L’abbiamo costruito perché nessuno dovesse farlo». La sua sintesi del momento è netta: «oggi DeepProve diventa una primitiva, la scatola nera è aperta». Come dimostrazione pubblica, Lagrange ha usato Turing Roulette, un esperimento con oltre 500.000 partecipanti e 3,7 milioni di inferenze verificate dal vivo.

La mappa degli strumenti nel 2026

Lo zk-ML non è un prodotto unico ma un ecosistema di librerie e sistemi di prova, ciascuno con un compromesso diverso tra facilità d’uso, velocità e generalità. La tabella riassume i protagonisti principali.

zk-ML contro TEE e opML

Lo zk-ML non è l’unico modo di rendere verificabile un calcolo di AI, ed è importante capire dove si colloca rispetto alle alternative. Le prove crittografiche offrono la garanzia più forte (nessuna fiducia in hardware o in un operatore), ma sono le più costose da generare. I TEE, gli ambienti di esecuzione fidati come le enclave di Intel o le GPU con confidential computing di NVIDIA, sono molto più veloci ma spostano la fiducia sul produttore del chip. L’opML (optimistic machine learning) pubblica il risultato e apre una finestra di contestazione con prove di frode: economico, ma con latenza e bisogno di almeno un controllore onesto. Infine c’è l’approccio cripto-economico puro, basato su stake e slashing, dove la garanzia è che barare costa più di quanto rende.

Nel 2026 la tendenza dominante non è scegliere un approccio ma combinarli in sistemi ibridi, un tema che abbiamo approfondito parlando del trilemma dell’AI verificabile: integrità, latenza e costo non si possono massimizzare tutti insieme. La regola pratica resta semplice: se il valore in gioco è alto e la latenza è tollerabile, lo zk-ML; se serve reattività in tempo reale, TEE o approcci ottimistici.

Dove si usa già lo zk-ML

Il salto dai benchmark alle applicazioni reali è ancora agli inizi, ma qualche caso concreto esiste. Il più citato è l’integrazione tra EZKL e OpenGradient: usando prove a conoscenza zero, i nodi di una rete decentralizzata possono dimostrare di aver eseguito il modello giusto sugli input giusti. Su questa base è stato costruito un meccanismo di commissioni dinamiche per Uniswap V3, in cui un modello adatta le fee di un pool alle condizioni di mercato, insieme a stime di volatilità che aiutano i protocolli di prestito a calibrare meglio le garanzie. Sono esempi in cui l’AI decide qualcosa che muove denaro, e una prova è ciò che impedisce a chi gestisce i nodi di barare.

Le radici del settore, del resto, affondano nel gaming: i primi dimostratori di Modulus Labs vivevano dentro giochi on-chain in cui un’AI avversaria doveva essere provabilmente onesta. Altri filoni promettenti sono gli oracoli verificabili (dimostrare che un prezzo o una statistica derivano davvero da un certo modello o da una certa query), la risoluzione dei mercati di previsione, la provenienza dei modelli e, sempre più, gli agenti autonomi che devono provare la propria inferenza prima di firmare una transazione. È lo stesso terreno di cui parliamo nella guida all’inferenza decentralizzata per chi costruisce: rendere il calcolo economico è metà del lavoro, renderlo verificabile è l’altra metà.

C’è poi un filone che tocca da vicino i lettori italiani: la conformità. Man mano che regolatori e clienti chiedono garanzie sul comportamento dei modelli, una prova crittografica può diventare un modo per attestare, senza rivelare dati riservati, che un sistema di scoring creditizio o di antiriciclaggio ha applicato esattamente il modello approvato. È un caso d’uso ancora immaturo, ma è quello che allinea meglio gli interessi di chi costruisce e di chi vigila, ed è probabilmente la ragione per cui negli ultimi mesi diversi progetti hanno spostato l’accento dalla pura performance alla verificabilità.

Regolamentazione: AI Act, Consob e MiCA

Sul piano normativo lo zk-ML si muove in un territorio ancora in via di definizione, ma con una spinta strutturale a suo favore. Dal 2 agosto 2026 il regolamento europeo sull’intelligenza artificiale (AI Act) è entrato nella fase di applicabilità generale, con l’avvio dell’attività di controllo della Commissione e degli obblighi di trasparenza; le regole per i modelli di uso generale (GPAI) si applicano già dall’agosto 2025, mentre gli obblighi più stringenti per i sistemi ad alto rischio dell’Allegato III scattano in modo scaglionato, tra il 2 dicembre 2027 e il 2 agosto 2028. Più cresce la richiesta di dimostrare che un sistema di AI ha funzionato come dichiarato, più una tecnologia che produce quella prova in modo crittografico diventa interessante. È la stessa logica che Lagrange sintetizza citando una ricerca McKinsey secondo cui il 71% dei dirigenti aziendali dichiara che non porterà in produzione sistemi di AI senza una prova di correttezza.

In Italia la cornice resta quella di MiCA, recepita con il D.lgs. 129/2024, che affida a Consob la vigilanza su condotta e autorizzazioni e a Banca d’Italia gli aspetti prudenziali e sulle stablecoin; il periodo transitorio si è chiuso il 1 luglio 2026. L’infrastruttura zk-ML in sé non è un servizio regolato, ma i token che la pagano e, soprattutto, i servizi costruiti sopra (un agente che gestisce asset di clienti, per esempio) possono rientrare nel perimetro. Vale la pena notare che la stessa Consob usa da tempo tecniche di machine learning per la sorveglianza sugli abusi di mercato, con un principio di controllo umano sui risultati: un promemoria che la questione della fiducia negli algoritmi riguarda anche i regolatori, non solo il mercato. Il dibattito su come chiudere i vuoti normativi europei, del resto, è aperto, come abbiamo raccontato analizzando la revisione di MiCA.

I limiti che restano (e perché i token non seguono)

Resta un paradosso difficile da ignorare. Mentre la tecnologia compie salti da record, i token dei progetti che la costruiscono raccontano una storia opposta. Al 24 agosto 2026, secondo CoinGecko, LA di Lagrange vale circa 0,048 euro, oltre il 96% sotto il suo massimo storico, e PROVE di Succinct è intorno a 0,147 euro, circa il 90% sotto il picco; anche ZKC di Boundless resta lontanissimo dai suoi massimi. È un divario tra utilità dimostrata e valore di mercato che riflette una domanda ancora immatura: la tecnologia funziona, ma chi paga per le prove non è ancora una fila di clienti.

I limiti tecnici, poi, non sono spariti. Dimostrare GPT-2 non è dimostrare un modello di frontiera, e la strada verso gli LLM da centinaia di miliardi di parametri è ancora lunga. La quantizzazione continua a barattare accuratezza con dimostrabilità. Il proving resta costoso e tende a concentrarsi in poche mani specializzate, con il rischio di ricreare centralizzazione proprio dove si cercava di eliminarla. E c’è un nodo più sottile: l’inferenza di un LLM su GPU non è perfettamente deterministica, perché l’ordine delle operazioni in parallelo e gli arrotondamenti in virgola mobile possono cambiare l’output, mentre una prova a conoscenza zero ha bisogno di determinismo assoluto. Sono problemi ingegneristici, non muri invalicabili, ma spiegano perché lo zk-ML resti, per ora, uno strumento da usare dove il valore in gioco giustifica il costo.

Frequently Asked Questions

Che cos’è lo zk-ML?

Lo zk-ML (zero-knowledge machine learning) è l’insieme delle tecniche che permettono di dimostrare, con una prova crittografica a conoscenza zero, che una specifica inferenza di un modello di machine learning è stata calcolata correttamente. Chi verifica non deve rieseguire il calcolo né vedere i pesi del modello: controlla una prova che si valida in millisecondi.

A cosa serve lo zk-ML nella crypto?

Serve a rendere verificabili le decisioni prese da un’AI quando muovono denaro o governano un protocollo: agenti autonomi che devono provare la strategia seguita, oracoli che certificano quale modello hanno usato, meccanismi DeFi come le commissioni dinamiche o le stime di rischio. In tutti questi casi la prova impedisce a chi gestisce il calcolo di barare senza che nessuno se ne accorga.

Qual è la differenza tra zk-ML, TEE e opML?

Lo zk-ML offre una garanzia crittografica che non richiede fiducia in nessuno, ma la generazione della prova è costosa. I TEE sono enclave hardware molto più veloci, ma richiedono di fidarsi del produttore del chip. L’opML pubblica il risultato e lo espone a una finestra di contestazione con prove di frode: è economico, ma introduce latenza e presuppone almeno un controllore onesto.

È possibile dimostrare un LLM come ChatGPT con lo zk-ML?

In parte. Nel 2026 il sistema DeepProve di Lagrange è diventato il primo a dimostrare un’inferenza LLM completa dall’inizio alla fine, con modelli come GPT-2 e Gemma-3, mentre i modelli in stile Llama sono in sviluppo. Dimostrare un modello di frontiera da centinaia di miliardi di parametri, però, resta fuori portata: gli ordini di grandezza del proving sono ancora troppo alti.

Lo zk-ML protegge la privacy dei dati?

Può farlo, ma non è automatico. La componente a conoscenza zero permette di dimostrare che un calcolo è stato eseguito correttamente senza rivelare gli input dell’utente o i pesi del modello. Alcune applicazioni sfruttano questa riservatezza (per esempio in ambito sanitario o per proteggere un modello proprietario), altre usano lo zk-ML solo per l’integrità e lasciano i dati in chiaro. Dipende da come è progettato il sistema.

Luca Ferretti è redattore di HOGE Wire e segue AI, crittografia applicata e mercati cripto per l’edizione italiana.