💻 computer science

Repeated-Game Security for Restaking-Based Verifiable Inference

Cet article démontre que la compatibilité incitative à un tour souvent supposée dans l'inférence vérifiable basée sur le restaking est insuffisante en raison d'un écart de jeu répété où le slashing proportionnel ne parvient pas à décourager la non-conformité rationnelle au fil du temps, et propose un mécanisme déployable combinant des défis dépendants de l'historique et un slashing pondéré par la réputation pour restaurer la sécurité à long terme sans nécessiter de vérification cryptographique par requête.

Auteurs originaux : Zhenhang Shang, Yingzhe Yu, Kani Chen

Publié 2026-08-11

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Zhenhang Shang, Yingzhe Yu, Kani Chen

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un monde où des cerveaux informatiques géants et super-intelligents (appelés Grands Modèles de Langage) peuvent répondre à vos questions, écrire vos histoires ou résoudre vos problèmes de mathématiques. Mais voici le piège : faire fonctionner ces cerveaux coûte cher et est lent. Ainsi, les entreprises veulent embaucher des travailleurs indépendants pour faire le travail de réflexion à leur place. Le problème est le suivant : comment savoir si le travailleur n'a pas simplement deviné la réponse ou utilisé un cerveau plus petit et moins cher pour économiser de l'argent ? C'est le monde de l'inférence vérifiable.

Pour résoudre cela, nous utilisons un système appelé restaking (mise en gage de nouveau). Pensez-y comme à un dépôt de garantie. Le travailleur dépose une pile d'argent numérique (la mise) comme une promesse de faire le travail honnêtement. S'il dévie, un arbitre vérifie son travail et, s'il est pris en faute, l'arbitre lui prend une partie de son dépôt. C'est ce qu'on appelle le slashing (le déchéance). Pendant longtemps, les experts ont pensé que c'était un filet de sécurité parfait. Ils pensaient que si l'amende pour dévier était supérieure à l'argent économisé en déviant, personne ne chercherait jamais à dévier. C'était un contrat de type « coup unique » : Ne vole pas le biscuit, ou tu perdras le bocal.

Mais et si le travailleur n'effectuait pas seulement un travail, mais des millions de tâches, encore et encore ? C'est là que l'histoire devient complexe. La publication que vous allez lire pose une question brillante : le filet de sécurité du « coup unique » fonctionne-t-il réellement quand le jeu est joué de manière répétée ? Les auteurs, Zhenhang Shang, Yingzhe Yu et Kani Chen de l'Université des sciences et technologies de Hong Kong, ont découvert que l'ancien filet de sécurité possède un trou caché. Ils ont découvert que si un travailleur dévie juste un peu, il peut en fait s'en sortir, même si l'amende semble effrayante au premier abord. Pourquoi ? Parce que chaque fois qu'il est pris, l'amende ne prend qu'une fraction de son dépôt. Ainsi, son dépôt devient de plus en plus petit, rendant les amendes futures de plus en plus faibles, tandis qu'il continue d'empocher les économies réalisées en déviant sur chaque nouvelle tâche. C'est comme un voleur qui continue de voler un peu d'or, et chaque fois que le garde le rattrape, le garde ne prend qu'un petit morceau de l'or restant, faisant chuter le « risque » du voleur jusqu'à ce qu'il soit pratiquement intouchable.

La Grande Découverte : La Faille du « Récidiviste »

Les auteurs ont réalisé que l'ancienne règle — « Ne dévie pas car l'amende est plus grande que le gain » — ne fonctionne que pour une décision unique et ponctuelle. Mais dans le monde réel, ces fournisseurs d'IA sont là pour le long terme, répondant à des milliers, voire des millions de questions. Le document modélise cela comme un jeu répété, où le fournisseur et le protocole jouent tour après tour.

Ils ont découvert un « écart de jeu répété ». Voici le tour de magie utilisé par le déviateur :

La Mise en Place : Le fournisseur dépose une mise importante.
La Déviation : Il utilise un modèle plus basique et plus rapide pour répondre aux questions, économisant ainsi de l'argent sur chaque requête.
L'Erreur : Parfois, l'arbitre (le protocole) le prend en flagrant délit.
La Faille : Le protocole ne retire qu'un pourcentage de la mise, disons 20 %. Le fournisseur perd de l'argent, mais il lui en reste toujours 80 %.
Le Cycle : Parce que sa mise est désormais plus petite, la prochaine fois qu'il est pris, l'amende est encore plus faible (20 % d'un nombre plus petit). Mais l'argent qu'il économise en déviant sur la question suivante est exactement le même qu'auparavant !

Le papier prouve mathématiquement que cela crée un déséquilibre dangereux. Les économies restent constantes, mais la pénalité diminue à chaque fois qu'il est pris. Les auteurs montrent que pour de nombreux systèmes existants (comme EigenAI, VeriLLM et Sertn AVS), cet écart est bien réel. Même si ces systèmes réussissent le test de sécurité du « coup unique », ils échouent au test du « long terme ». Dans les simulations, un déviateur rationnel pourrait réaliser un profit supplémentaire de 1,5 % à 8 % simplement en exploitant cette faille de jeu répété, même lorsque le système pense être sécurisé.

La Solution : Un Système Plus Intelligent, Sensible à l'Historique

Alors, comment réparer un système qui s'affaiblit chaque fois qu'un déviateur est pris ? Les auteurs proposent un nouveau mécanisme qui agit comme un arbitre intelligent doté de mémoire. Au lieu de simplement regarder combien d'argent il reste au travailleur, le nouveau système examine son historique.

Ils introduisent trois outils ingénieux pour colmater la brèche :

Scores de Suspicion (L'œil Vigilant) : Le système tient un score pour chaque travailleur. S'il agit bizarrement (comme répondre trop vite ou donner des réponses légèrement différentes), son score de suspicion augmente. Plus le score est élevé, plus l'arbitre est susceptible de vérifier son travail. Cela signifie que si vous déviez, vous n'êtes pas seulement amendé ; vous êtes surveillé de plus près la fois suivante.
Amendes Pondérées par la Réputation (La Lettre de Mort) : Au lieu de simplement prendre un pourcentage de l'argent restant, l'amende dépend également de la réputation du travailleur. Si vous avez un mauvais historique, l'amende devient beaucoup plus dure, même si votre dépôt est petit. Cela empêche le tour de passe-passe de la « pénalité décroissante ».
Vesting (La Laisse) : Lorsqu'un travailleur tente de quitter le jeu (retirer son argent), le système ne le laisse pas s'enfuir immédiatement. Son argent est « verrouillé » pendant un certain temps. S'il tente de dévier et de partir, le système peut toujours le rattraper et prendre son argent pendant cette période de verrouillage. Cela empêche la stratégie « dévier et s'enfuir ».

Est-ce que cela fonctionne vraiment ?

Les auteurs n'ont pas seulement imaginé cela ; ils ont construit un simulateur pour tester leur théorie. Ils ont opposé leur nouveau système aux anciens en utilisant différents types de « déviateurs », incluant certains qui dévient constamment, d'autres qui ne dévient que lorsqu'ils pensent que personne ne regarde, et d'autres qui tentent de dévier puis de s'enfuir.

Les résultats étaient prometteurs. Dans les simulations, les anciens systèmes laissaient les déviateurs conserver leur profit supplémentaire. Mais le nouveau système, avec ses règles sensibles à l'historique, a réduit les profits des déviateurs de 31 % à 54 %. Dans certains cas, il a même fait de la déviation une stratégie perdante, transformant un profit en perte pour le déviateur.

Ils ont également testé à quel point la déviation est « détectable ». Ils ont utilisé de vrais modèles d'IA (allant de petits modèles de 0,5 milliard de paramètres à de très gros modèles de 14 milliards de paramètres) pour voir si le système pouvait distinguer une vraie réponse d'une réponse fausse et bon marché. Ils ont constaté que le « compteur de suspicion » de leur système fonctionne très bien, surtout lorsque la différence de coût entre le bon modèle et le modèle bon marché est importante. Plus le déviateur essaie d'économiser de l'argent, plus il est facile de le prendre.

Pourquoi cela importe

Ce papier est un signal d'alarme pour le monde de la sécurité de la blockchain et de l'IA. Il montre que le fait qu'une règle de sécurité fonctionne pour un instant donné ne signifie pas qu'elle fonctionnera pour toute une vie. Les auteurs n'ont pas seulement souligné un problème ; ils ont construit le plan d'un système capable de gérer la réalité des interactions répétées.

Ils ont prouvé qu'en faisant dépendre la pénalité du comportement passé du travailleur et en le maintenant sur une « laisse » lorsqu'il tente de partir, nous pouvons créer un système qui reste sécurisé même si le jeu se poursuit indéfiniment. C'est un passage d'une vision de la sécurité comme une simple « caution » à une vision de la sécurité comme une relation à long terme où la confiance se gagne et se perd au fil du temps. Pour quiconque construit l'avenir de l'IA sur la blockchain, c'est une étape cruciale pour garantir que les travailleurs accomplissent réellement le travail qu'ils ont promis de faire.

Résumé Technique : Sécurité de Jeu Répété pour l'Inférence Vérifiable basée sur le Restaking

Énoncé du Problème
Les protocoles basés sur le restaking (ex: les AVS d'EigenLayer) ont émergé comme une solution pratique pour l'inférence de modèles de langage de grande taille (LLM) vérifiable, offrant une alternative aux coûts élevés du apprentissage automatique à preuve de connaissance nulle (zkML) et aux hypothèses de confiance matérielle des environnements d'exécution de confiance (TEE). Les modèles de sécurité actuels pour ces systèmes reposent sur une condition d'compatibilité incitative à un tour (1-Round IC) : un fournisseur rationnel est dissuadé de dévier si la pénalité attendue (slashing) dépasse l'économie de coût par requête ( $\Delta$ ).

L'article identifie une faille critique dans cette logique : l'inférence vérifiable est une interaction répétée où un seul enjeu (stake) soutient des milliers à des millions de requêtes. L'analyse standard à un tour ne parvient pas à rendre compte de la nature dynamique du slashing proportionnel (où seule une fraction $\alpha < 1$ de l'enjeu est amputée lors de la détection). Dans un cadre répété, une déviation détectée réduit l'exposition future de l'enjeu du fournisseur, diminuant ainsi la pénalité attendue pour les tours suivants, tandis que les gains de déviation ( $\Delta$ ) sont perçus de manière répétée. Cela crée un « écart de jeu répété » où un protocole peut satisfaire la condition 1-Round IC tout en restant vulnérable à des déviations rentables au fil du temps.

Méthodologie
Les auteurs modélisent l'inférence vérifiable basée sur le restaking comme un jeu répété actualisé entre un fournisseur rationnel et un protocole on-chain.

Modélisation de la Théorie des Jeux : Ils définissent le jeu à l'étape où un fournisseur choisit entre une exécution honnête ( $H$ ) et une déviation ( $C$ ) pour économiser les coûts de calcul. Le protocole audite les requêtes avec une probabilité $c$ et ampute une fraction $\alpha$ de l'enjeu actuel $S_t$ lors de la détection.
Dérivation de l'Écart : Ils dérivent une expression en forme close pour le profit de déviation sous une stratégie mixte stationnaire (déviation avec une probabilité fixe $p$ ). Ils démontrent que sous le slashing proportionnel, l'enjeu exposé aux pénalités décroît géométriquement ( $S_{t+1} = S_t(1 - \alpha)$ lors de la détection), tandis que le gain de déviation s'accumule.
Conception de Mécanisme : Pour combler cet écart, ils proposent un mécanisme déployable qui modifie l'état du protocole en fonction de l'historique public. Le mécanisme intègre trois composants :
- Défis Dépendants de l'Historique : Un score de suspicion est mis à jour en fonction des signaux de risque (ex: écarts de sortie, changements de latence). La probabilité d'audit $c(S_t)$ augmente avec le score de suspicion.
- Slashing Pondéré par la Réputation : Au lieu d'amputer une fraction fixe de l'enjeu actuel, la pénalité est pondérée par un postérieur bayésien robuste ( $\bar{\rho}_t$ ) représentant la probabilité que le fournisseur soit un déviateur stratégique. Cela empêche la base de la pénalité de décroître mécaniquement à mesure que l'enjeu diminue.
- Vesting de l'Enjeu : Une période de blocage (vesting) temporelle ( $\tau$ ) garantit que même si un fournisseur tente de sortir (unbond) après une déviation, son enjeu reste amputable pendant une durée suffisante pour maintenir la compatibilité incitative.

Contributions Clés

Identification de l'Écart de Jeu Répété : L'article prouve que pour tout protocole de slashing proportionnel sans mémoire où $\alpha < 1$ , satisfaire la condition 1-Round IC est insuffisant pour une compatibilité incitative sous-jeu parfaite (SPIC) à horizon infini. Ils dérivent la condition d'échec : si le surplus 1-Round $\eta < \frac{\delta c \alpha \Delta}{1-\delta}$ , le protocole échoue à la SPIC.
Mécanisme Déployable : Ils construisent un mécanisme qui restaure la SPIC contre les déviations de stratégie mixte stationnaire sans nécessiter de vérification cryptographique par requête. Le mécanisme repose sur des défis dépendants de l'historique, un slashing pondéré par la réputation et le vesting.
Seuils en Forme Close : Ils dérivent un seuil explicite $\delta^*$ (la patience minimale de l'opérateur requise pour la sécurité) pour le mécanisme proposé. Contrairement aux protocoles sans mémoire où l'enjeu requis diverge lorsque $\delta \to 1$ , le mécanisme proposé maintient un enjeu requis borné.
Calibration Empirique :
- Détectabilité du Signal : Les auteurs fournissent la première mesure directe de la détectabilité du signal d'audit ( $\mu(p)$ ) sur des modèles à poids ouverts (Qwen2.5, de 0,5B à 14B de paramètres). Ils confirment que la réponse du signal est concave comme l'exige la théorie, avec une amplitude augmentant dans le rapport de coût entre les modèles contractés et les modèles de substitution.
- Évaluation du Protocole : Ils calibrent le modèle sur des paramètres déployés (EigenAI, VeriLLM, Sertn AVS). Les résultats montrent que bien que ces protocoles passent la condition 1-Round IC, ils échouent à l'IC de jeu répété pour des facteurs d'actualisation $\delta \in [0,92, 0,98]$ , permettant des profits de déviation de 1,5 % à 8 %.
- Efficacité du Mécanisme : Les simulations montrent que le mécanisme proposé réduit les profits de déviation de 31 % à 54 % par rapport aux bases sans mémoire, tout en préservant une vérification économique à faible latence.

Résultats

Théoriques : L'article établit que le slashing proportionnel sans mémoire ne peut fournir une sécurité de jeu répété uniforme dans la limite des opérateurs patients ( $\delta \to 1$ ). Le mécanisme proposé atteint un enjeu borné lorsque $\delta \to 1$ .
Empiriques :
- Les mesures de réponse du signal sur les modèles Qwen2.5 montrent une concavité ( $q \in [0,70, 0,89]$ ) et des amplitudes dépassant les calibrations conservatrices, abaissant le seuil de patience requis $\delta^*$ à 0,79–0,92.
- Une analyse du budget d'audit de type Stackelberg démontre que la réactivité du signal se substitue à l'audit de base, réduisant le taux d'audit de base de 2,6× pour un facteur d'actualisation cible de 0,95.
- Lors de tests de résistance, le mécanisme proposé maintient la meilleure réponse de l'adversaire stationnaire à une fraction de profit d'environ 6,2 %, contre environ 13,6 % pour les bases sans mémoire.

Signification
L'article soutient que la sécurité de l'inférence vérifiable basée sur le restaking ne peut être justifiée uniquement par les inégalités de slashing du jeu à l'étape. Il souligne que le décalage intertemporel dans le slashing proportionnel crée une vulnérabilité invisible dans une analyse à un tour. Le mécanisme proposé offre une voie vers la compatibilité incitative sous-jeu parfaite pour un déploiement réel, garantant que les fournisseurs rationnels restent honnêtes sur de longs horizons sans encourir les coûts prohibitifs d'une vérification cryptographique complète ou de la confiscation de l'enjeu total. Ce travail fait le pont entre la théorie des jeux et la cryptoéconomie, fournissant un cadre rigoureux pour concevoir des systèmes d'inférence vérifiables à faible latence et sécurisés.

La Grande Découverte : La Faille du « Récidiviste »

La Solution : Un Système Plus Intelligent, Sensible à l'Historique

Est-ce que cela fonctionne vraiment ?

Pourquoi cela importe

Articles similaires