zk-ML: l’intelligenza artificiale verificabile arriva on-chain
Il zk-ML usa le prove a conoscenza zero per dimostrare che un modello di IA ha prodotto un risultato senza svelare dati o pesi. Ecco chi lo costruisce e perché conta per crypto e DeFi.
L’incontro tra intelligenza artificiale e blockchain ha prodotto molte promesse e parecchio rumore. Una delle idee più concrete, e tra le meno raccontate, si chiama zk-ML, sigla per zero-knowledge machine learning. Il principio si enuncia in una riga e si realizza con grande fatica: dimostrare in modo matematico che un modello di IA ha generato un certo risultato, senza rivelare i dati in ingresso, i pesi del modello, o entrambe le cose. Per un settore costruito sulla verifica senza fiducia, è la tessera che mancava.
Cos’è il zk-ML e perché se ne parla
Il machine learning produce risultati, ma raramente prove. Quando un’app vi assegna un punteggio di credito o un exchange segnala un ordine come sospetto, dovete fidarvi che il modello dichiarato sia davvero quello eseguito. Il zk-ML rovescia il rapporto: usa le prove a conoscenza zero per allegare a ogni inferenza una ricevuta crittografica, verificabile da chiunque in pochi millisecondi, che attesta la correttezza del calcolo senza esporre il modello né i dati. Vitalik Buterin lo ha indicato come il metodo oggi più maturo per portare l’IA on-chain, pur invitando gli sviluppatori alla cautela quando l’IA decide le regole del gioco anziché limitarsi a giocarlo (vitalik.eth.limo), un monito ripreso anche dalla stampa di settore (coindesk.com).
La distinzione utile, descritta bene anche dal team di World nella sua introduzione tecnica, separa l’integrità del calcolo dalla riservatezza: si può dimostrare che a un certo input corrisponde un certo output e, in aggiunta, scegliere di nascondere l’input, il modello o entrambi (world.org).
Le prove a conoscenza zero in due minuti
Una prova a conoscenza zero permette a una parte, il prover, di convincere un’altra, il verifier, che un’affermazione è vera senza rivelare nulla oltre alla sua verità. Le due famiglie più usate sono gli zk-SNARK e gli zk-STARK: cambiano gli assunti crittografici e la dimensione delle prove, ma condividono due proprietà chiave. Sono succinte, perché la verifica resta rapida ed economica anche quando il calcolo dimostrato è enorme, e sono solide, perché è di fatto impossibile produrre una prova valida per un’affermazione falsa.
Ethereum conosce bene questa tecnologia: i rollup zk comprimono migliaia di transazioni in un’unica prova verificata on-chain. Il zk-ML applica la stessa logica a un oggetto diverso, la rete neurale. Invece di dimostrare che un blocco di transazioni è valido, si dimostra che un certo modello, su un certo input, restituisce un certo output.
Dal modello al circuito: come nasce una prova
Tradurre una rete neurale in un circuito dimostrabile è la parte complicata. Il flusso tipico parte da un modello esportato in formato ONNX, lo standard aperto per descrivere grafi di calcolo. Da lì una libreria come EZKL, sviluppata da Zkonduit, trasforma il grafo in un circuito aritmetico compatibile con sistemi di prova come Halo2 (github.com/zkonduit/ezkl). Sul versante STARK, il progetto Giza ha seguito la stessa idea con Orion, un runtime ONNX scritto in Cairo, oggi archiviato a favore di un motore più efficiente basato sul prover STWO (github.com/gizatechxyz/orion).
Due ostacoli dominano il lavoro di ingegneria. Primo, i modelli usano numeri in virgola mobile mentre i circuiti lavorano su interi in campi finiti: serve quindi quantizzare i pesi e adottare aritmetica a virgola fissa, con un compromesso tra precisione e costo. Secondo, le funzioni non lineari come ReLU e softmax, banali per una GPU, diventano costose da rappresentare e spesso richiedono tecniche dedicate come gli argomenti di lookup. È qui che si gioca gran parte dell’efficienza di un framework.
Tre strade verso l’IA verificabile: zk-ML, opML e TEE
Le prove crittografiche non sono l’unico modo per rendere affidabile un’inferenza. Accanto al zk-ML puro convivono due alternative. L’opML, optimistic machine learning, prende in prestito la logica degli optimistic rollup: il risultato si dà per buono e resta contestabile entro una finestra temporale tramite un gioco di frode in stile Truebit. È molto più leggero, al punto che ORA ha mostrato l’esecuzione di un modello da 7 miliardi di parametri, un LLaMA da circa 26 GB, su un comune PC senza GPU (arxiv.org). La terza via sfrutta gli ambienti di esecuzione fidati, i TEE, enclave hardware che garantiscono l’integrità del calcolo ma spostano la fiducia sul produttore del chip.
| Approccio | Garanzia | Prestazioni | Riservatezza |
|---|---|---|---|
| zk-ML | Crittografica, prova zk | Bassa, generazione lenta | Alta, nasconde dati e pesi |
| opML | Crypto-economica, prove di frode | Alta, regge anche modelli grandi | Limitata, dati pubblici per i challenger |
| TEE | Hardware, enclave sicure | Molto alta | Buona, dipende dal fornitore |
I protagonisti del settore
La nicchia è piccola ma vivace e raccoglie team che arrivano sia dalla crittografia sia dal machine learning. La tabella seguente riassume gli attori più citati e la loro specializzazione.
| Progetto | Tecnologia | Specializzazione |
|---|---|---|
| EZKL (Zkonduit) | Halo2, da ONNX a circuito | Proving generico di modelli |
| Giza | Cairo e STARK, prover STWO | Agenti IA verificabili su Starknet |
| ORA | opML e opp/ai | Oracolo IA on-chain su Ethereum e Optimism |
| Risc Zero | zkVM RISC-V | Calcolo generico verificabile, anche ML |
| Modulus Labs | Ricerca e prover dedicati | Benchmark e IA on-chain |
Il collo di bottiglia: quanto costa dimostrare
Il limite del zk-ML non è teorico ma pratico, e si misura in tempo di calcolo. La conversione dall’aritmetica in virgola mobile a quella in campo finito introduce una ridondanza enorme: il costo per generare la prova cresce in modo più che lineare con il numero di parametri, con un fattore di espansione che può andare da mille a diecimila volte il costo dell’inferenza originale. Il lavoro pionieristico di Modulus Labs, intitolato The Cost of Intelligence, ha fissato i primi benchmark seri su questo terreno (medium.com).
I numeri aiutano a capire dove siamo. Per modelli piccoli i tempi sono già accettabili: i benchmark pubblicati da EZKL mostrano una regressione lineare provata in circa 0,12 secondi e un random forest in poco più di 6 secondi (blog.ezkl.xyz). Salendo di scala, è possibile dimostrare modelli da circa 18 milioni di parametri in una cinquantina di secondi su una macchina AWS potente. Ma la distanza dai grandi modelli linguistici resta abissale: il sistema accademico zkLLM impiega oltre 800 secondi per provare un singolo passaggio in avanti su un LLaMA-2 da 13 miliardi di parametri, valore che, esteso a una generazione completa, si tradurrebbe in settimane di calcolo (arxiv.org).
A cosa serve davvero: oracoli, identità e DeFi
Nonostante i limiti, i casi d’uso a portata di mano sono concreti e riguardano proprio i modelli piccoli e medi.
- Oracoli intelligenti: portare on-chain l’output di un modello, come un punteggio di rischio o una previsione, con la prova che è stato eseguito proprio quello dichiarato.
- Punteggi di credito privati: un protocollo di prestito verifica che un utente superi una soglia di affidabilità senza mai vedere i suoi dati finanziari.
- Identità e autenticità: dimostrare che un contenuto proviene da un certo modello, o che dietro un account c’è una persona reale, senza esporre i tratti biometrici.
- Agenti IA verificabili: catene di agenti che si scambiano richieste tra dispositivo, server e blockchain, con ogni passaggio dimostrabile dall’inizio alla fine.
- Antifrode on-chain: modelli che osservano l’attività della rete e attivano risposte automatiche in modo trasparente e controllabile.
Token e mercato: dove guarda il capitale
Serve una premessa onesta: i protagonisti puri del zk-ML, da Zkonduit a ORA, non hanno token ampiamente scambiati, e gran parte dell’infrastruttura è ancora in fase pre-token o poco liquida. Il capitale che insegue la narrativa IA più blockchain si concentra quindi sui grandi nomi del calcolo e dell’IA decentralizzata. Bittensor (TAO) resta il riferimento del comparto: secondo CoinGecko, a fine giugno 2026 viene scambiato nell’ordine dei 185 euro, con una capitalizzazione che oscilla tra i due e i tre miliardi e mezzo di euro a seconda delle fasi di mercato (coingecko.com).
Per il lettore italiano vale la regola di sempre: questi token sono molto volatili e legati a una narrativa, non a ricavi consolidati. Il zk-ML in sé è un livello di infrastruttura, non un asset da comprare; il modo più diretto per esporsi al tema è seguire le piattaforme che lo integrano, non rincorrere il ticker del momento.
Regole europee: MiCA, AI Act e il ruolo di Consob
Sul piano normativo il zk-ML tocca due regolamenti europei. Il MiCA disciplina le criptoattività e i servizi collegati, mentre l’AI Act fissa obblighi di trasparenza e gestione del rischio per i sistemi di intelligenza artificiale. In Italia l’autorità di riferimento sui mercati è la Consob, che non solo vigila ma utilizza essa stessa il machine learning: ha avviato applicazioni sperimentali di tecniche non supervisionate per individuare anomalie e possibili abusi di mercato, sempre con il principio dell’essere umano nel processo decisionale (consob.it).
Proprio qui il zk-ML può diventare interessante per la conformità. La trasparenza richiesta dal mondo crypto e dalle autorità si scontra spesso con l’opacità dei modelli proprietari. Una prova a conoscenza zero consente di dimostrare a un regolatore che un modello rispetta certi criteri, ad esempio che non usa variabili vietate, senza svelarne il segreto industriale. Non a caso Consob, insieme alla francese AMF e all’austriaca FMA, ha chiesto una vigilanza più stringente e uniforme sull’applicazione del MiCA (dimt.it).
Cosa aspettarsi nei prossimi mesi
La traiettoria è abbastanza chiara. Nel breve periodo il zk-ML resterà confinato ai modelli piccoli e medi, dove abilita già oggi antifrode, scoring e raccomandazioni verificabili. Per i grandi modelli linguistici la strada passerà da approcci ibridi: l’opML per i carichi pesanti, le enclave TEE come scorciatoia e le prove crittografiche riservate alle parti più sensibili del calcolo. L’accelerazione hardware e i nuovi prover, da STWO a Plonky3, continueranno a limare i tempi. La domanda da tenere d’occhio non è se l’IA verificabile arriverà, ma quali piattaforme sapranno renderla abbastanza economica da usarla per impostazione predefinita. Chi segue l’incrocio tra IA e crypto farebbe bene a guardare l’infrastruttura più dei prezzi.
Di Marco Talamonti, redazione HOGE Wire.