💻 computer science

Repeated-Game Security for Restaking-Based Verifiable Inference

Questo articolo dimostra che l'incentivazione della compatibilità a un solo round spesso assunta nell'inferenza verificabile basata sul restaking è insufficiente a causa di un divario di gioco ripetuto in cui lo slashing proporzionale non riesce a scoraggiare la non-conformità razionale nel tempo, e propone un meccanismo implementabile che combina sfide dipendenti dalla cronologia e slashing pesato sulla reputazione per ripristinare la sicurezza a lungo termine senza richiedere la verifica crittografica per ogni query.

Autori originali: Zhenhang Shang, Yingzhe Yu, Kani Chen

Pubblicato 2026-08-11

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Zhenhang Shang, Yingzhe Yu, Kani Chen

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un mondo in cui cervelli informatici giganti e super intelligenti (chiamati Large Language Model) possono rispondere alle vostre domande, scrivere le vostre storie o risolvere i vostri problemi di matematica. Ma ecco il problema: far girare questi cervelli è costoso e lento. Quindi, le aziende vogliono assumere lavoratori indipendenti per fare il lavoro di pensiero al posto loro. Il problema è: come sapete se il lavoratore non ha solo tirato a indovinare la risposta o non ha usato un cervello più economico e meno intelligente per risparmiare denaro? Questo è il mondo dell'inferenza verificabile.

Per risolvere questo problema, usiamo un sistema chiamato restaking. Pensatelo come un deposito cauzionale. Il lavoratore versa una pila di denaro digitale (stake) come promessa di svolgere il lavoro onestamente. Se devia dal compito, un arbitro controlla il suo lavoro e, se viene scoperto, l'arbito si prende una parte del suo deposito. Questo si chiama slashing. Per molto tempo, gli esperti hanno pensato che questo fosse un paracadute perfetto. Credevano che se la multa per deviare fosse stata maggiore del denaro risparmiato deviando, nessuno avrebbe mai tentato di deviare. Era un semplice accordo "una tantum": Non rubare il biscotto, o perderai il barattolo.

Ma cosa succede se il lavoratore non sta facendo solo un lavoro? E se fosse assunto per milioni di lavori, ripetutamente? È qui che la storia si fa complicata. Il paper che state per leggere pone una domanda brillante: Il paracadute di sicurezza "una tantum" funziona davvero quando il gioco viene giocato ripetutamente? Gli autori, Zhenhang Shang, Yingzhe Yu e Kani Chen della Hong Kong University of Science and Technology, hanno scoperto che il vecchio paracadute ha un buco nascosto. Hanno scoperto che se un lavoratore devia anche solo un po', può effettivamente farla franca, anche se la multa sembra spaventosa all'inizio. Perché? Perché ogni volta che viene scoperto, la multa sottrae solo una frazione del suo deposito. Quindi, il suo deposito diventa sempre più piccolo, rendendo le multe future sempre più deboli, mentre lui continua a intascare i risparmi derivanti dalla deviazione su ogni singolo nuovo lavoro. È come un ladro che continua a rubare un po' d'oro e, ogni volta che la guardia lo scopre, la guardia prende solo un piccolo pezzo dell'oro rimanente, facendo sì che il "rischio" del ladro scenda fino a renderlo praticamente intoccabile.

La Grande Scoperta: Il Loophole del "Ricidivista"

Gli autori hanno capito che la vecchia regola — "Non deviare perché la multa è maggiore del guadagno" — funziona solo per una singola decisione una tantum. Ma nel mondo reale, questi fornitori di IA sono in questo per il lungo periodo, rispondendo a migliaia o persino milioni di domande. Il paper modella questo come un gioco ripetuto, dove il fornitore e il protocollo giocano round dopo round.

Hanno scoperto un "gap del gioco ripetuto". Ecco il trucco magico usato dal deviatore:

La Configurazione: Il fornitore versa un grande stake.
La Deviazione: Utilizza un modello più economico e veloce per rispondere alle domande, risparmiando denaro su ogni query.
L'Errore: A volte, l'arbitro (il protocollo) lo scopre.
Il Loophole: Il protocollo sottrae (slashing) solo una percentuale dello stake, ad esempio il 20%. Il fornitore perde dei soldi, ma ne ha ancora l'80% rimasto.
Il Ciclo: Poiché il suo stake è ora più piccolo, la prossima volta che viene scoperto, la multa sarà ancora più piccola (il 20% di un numero più piccolo). Ma il denaro che risparmia deviando sulla domanda successiva è esattamente lo stesso di prima!

Il paper dimostra matematicamente che questo crea uno squilibrio pericoloso. I risparmi rimangono costanti, ma la penalità diminuisce ogni volta che vengono scoperti. Gli autori mostrano che per molti sistemi esistenti (come EigenAI, VeriLLM e Sertn AVS), questo gap è reale. Anche se questi sistemi superano il test di sicurezza "una tantum", falliscono il test "a lungo termine". Nelle simulazioni, un deviatore razionale potrebbe ottenere un profitto extra dell'1,5% - 8% semplicemente sfruttando questo loophole del gioco ripetuto, anche quando il sistema pensa di essere sicuro.

La Soluzione: Un Sistema Più Intelligente e Consapevole della Storia

Quindi, come si sistema un sistema che si indebolisce ogni volta che un deviatore viene scoperto? Gli autori propongono un nuovo meccanismo che agisce come un arbitro intelligente che tiene memoria. Invece di guardare solo quanti soldi ha ancora il lavoratore, il nuovo sistema guarda alla sua storia.

Introducono tre strumenti astuti per chiudere il buco:

Punteggi di Sospetto (L'"Occhio Vigile"): Il sistema tiene un punteggio per ogni lavoratore. Se si comporta in modo strano (come rispondere troppo velocemente o dare risposte leggermente diverse), il suo punteggio di sospetto aumenta. Più alto è il punteggio, più è probabile che l'arbitro controlli il suo lavoro. Ciò significa che se devi, non vieni solo multato; vieni osservato più attentamente la volta successiva.
Multe Pesate sulla Reputazione (La "Lettera Scarlatta"): Invezione di prendere solo una percentuale del denaro rimanente, la multa dipende anche dalla reputazione del lavoratore. Se hai una cattiva storia, la multa diventa molto più dura, anche se il tuo deposito è piccolo. Questo ferma il trucco della "penalità decrescente".
Vesting (Il "Guinzaglio"): Quando un lavoratore cerca di lasciare il gioco (prelevare il suo denaro), il sistema non gli permette di scappare immediatamente. Il suo denaro è "bloccato" per un po'. Se prova a deviare e poi a scappare, il sistema può comunque scoprirlo e prelevargli il denaro durante questo periodo di blocco. Questo ferma la strategia "devia e scappa".

Funziona Davvero?

Gli autori non hanno solo sognato tutto questo; hanno costruito un simulatore per testarlo. Hanno messo il loro nuovo sistema contro quelli vecchi usando diversi tipi di "deviatori", inclusi alcuni che deviano costantemente, alcuni che deviano solo quando pensano che nessuno stia guardando, e alcuni che provano a deviare e poi scappare.

I risultati sono stati promettenti. Nelle simulazioni, i vecchi sistemi lasciavano ai deviatori il loro profitto extra. Ma il nuovo sistema, con le sue regole basate sulla storia, ha tagliato i profitti dei deviatori del 31% - 54%. In alcuni casi, ha persino reso la deviazione una strategia perdente, trasformando un profitto in una perdita per il deviatore.

Hanno anche testato quanto sia "rilevabile" la deviazione. Hanno utilizzato modelli di IA reali (che vanno da piccoli modelli da 0,5 miliardi di parametri a enormi modelli da 14 miliardi) per vedere se il sistema poteva distinguere tra una risposta reale e una economica e falsa. Hanno scoperto che il loro "misuratore di sospetto" funziona molto bene, specialmente quando la differenza di costo tra il buon modello e il modello economico è grande. Più il deviatore cerca di risparmiare denaro, più è facile scoprirlo.

Perché Questo è Importante

Questo paper è un campanello d'allarme per il mondo della sicurezza blockchain e dell'IA. Dimostra che il fatto che una regola di sicurezza funzioni per un singolo momento non significa che funzioni per tutta la vita. Gli autori non si sono limitati a indicare un problema; hanno costruito il progetto di un sistema che può gestire la realtà delle interazioni ripetute.

Hanno dimostrato che rendendo la penalità dipendente dal comportamento passato del lavoratore e tenendolo su un "guinzaglio" quando cerca di andarsene, possiamo creare un sistema che rimane sicuro anche quando il gioco continua all'infinito. È un passaggio dal pensare alla sicurezza come a una singola "cauzione" al pensare alla sicurezza come a una relazione a lungo termine dove la fiducia si guadagna e si perde nel tempo. Per chiunque stia costruendo il futuro dell'IA sulla blockchain, questo è un passo cruciale per garantire che i lavoratori facciano effettivamente il lavoro che promettono di fare.

Sintesi Tecnica: Sicurezza di Gioco Ripetuto per l'Inferenza Verificabile basata su Restaking

Problema
I protocolli basati sul restaking (es. gli AVS di EigenLayer) sono emersi come una soluzione pratica per l'inferenza verificabile di modelli linguistici di grandi dimensioni (LLM), offrendo un'alterna ai costi elevati del zero-knowledge machine learning (zkML) e alle assunzioni di fiducia sull'hardware dei Trusted Execution Environments (TEE). Gli attuali modelli di sicurezza per questi sistemi si basano su una condizione di incentivo compatibilità a un round (1-Round IC): un provider razionale è scoraggiato dal deviare se la penalità attesa (slashing) supera il risparmio di costo per query ( $\Delta$ ).

Il documento identifica un difetto critico in questa logica: l'inferenza verificabile è un'interazione ripetuta in cui un singolo stake supporta migliari o milioni di query. L'analisi standard a un round non tiene conto della natura dinamica dello slashing proporzionale (dove solo una frazione $\alpha < 1$ dello stake viene tagliata in caso di rilevamento). In un contesto ripetuto, una deviazione rilevata riduce l'esposizione futura dello stake del provider, diminuendo di conseguenza la penalità attesa per i round successivi, mentre i guadagni derivanti dalla deviazione ( $\Delta$ ) vengono accumulati ripetutamente. Ciò crea un "gap di gioco ripetuto" in cui un protocollo può soddisfare la condizione 1-Round IC pur rimanendo vulnerabile a deviazioni profittevoli nel tempo.

Metodologia
Gli autori modellano l'inferenza verificabile basata su restaking come un gioco ripetuto scontato tra un provider razionale e un protocollo on-chain.

Modellazione Teoria dei Giochi: Definiscono il gioco a stadio in cui un provider sceglie tra esecuzione onesta ( $H$ ) e deviazione ( $C$ ) per risparmiare costi computazionali. Il protocollo audita le query con probabilità $c$ e taglia una frazione $\alpha$ dello stake attuale $S_t$ in caso di rilevamento.
Derivazione del Gap: Derivano un'espressione in forma chiusa per il profitto da deviazione sotto una strategia mista stazionaria (deviare con probabilità fissa $p$ ). Dimostrano che, sotto lo slashing proporzionale, lo stake esposto alle penalità decade geometricamente ( $S_{t+1} = S_t(1 - \alpha)$ in caso di rilevamento), mentre il guadagno da deviazione si accumula.
Design del Meccanismo: Per colmare questo gap, propongono un meccanismo implementabile che modifica lo stato del protocollo in base alla cronologia pubblica. Il meccanismo integra tre componenti:
- Sfide Dipendenti dalla Cronologia: Un punteggio di sospetto si aggiorna in base ai segnali di rischio (es. discrepanze nell'output, variazioni di latenza). La probabilità di audit $c(S_t)$ aumenta con il punteggio di sospetto.
- Slashing Pesato sulla Reputazione: Inveve di tagliare una frazione fissa dello stake attuale, la penalità è pesata da una robusta distribuzione posteriore bayesiana ( $\bar{\rho}_t$ ) che rappresenta la probabilità che il provider sia un deviatore strategico. Ciò impedisce alla base della penalità di decadere meccanicamente man mano che lo stake si riduce.
- Vesting dello Stake: Un periodo di vesting con blocco temporale ( $\tau$ ) assicura che, anche se un provider tenta di uscire (unbond) dopo aver deviato, il suo stake rimanga soggetto a slashing per una durata sufficiente a mantenere l'incentivo compatibilità.

Contributi Chiave

Identificazione del Gap del Gioco Ripetuto: Il documento dimostra che per qualsiasi protocollo di slashing proporzionale senza memoria con $\alpha < 1$ , soddisfare la condizione 1-Round IC è insufficiente per l'incentivo compatibilità subgame-perfect (SPIC) a orizzonte infinito. Derivano la condizione di fallimento: se il margine 1-Round $\eta < \frac{\delta c \alpha \Delta}{1-\delta}$ , il protocollo fallisce la SPIC.
Meccanismo Implementabile: Costruiscono un meccanismo che ripristina la SPIC contro deviazioni di strategia mista stazionaria senza richiedere la verifica crittografica per ogni query. Il meccanismo si basa su sfide dipendenti dalla cronologia, slashing pesato sulla reputazione e vesting.
Soglie in Forma Chiusa: Derivano una soglia esplicita $\delta^*$ (la minima pazienza dell'operatore richiesta per la sicurezza) per il meccanismo proposto. A differenza dei protocolli senza memoria dove lo stake richiesto diverge quando $\delta \to 1$ , il meccanico proposto mantiene uno stake richiesto limitato.
Calibrazione Empirica:
- Rilevabilità del Segnale: Gli autori forniscono la prima misurazione diretta della rilevabilità del segnale di audit ( $\mu(p)$ ) su modelli open-weight (Qwen2.5, da 0.5B a 14B parametri). Confermano che la risposta del segnale è concava come richiesto dalla teoria, con un'ampiezza che aumenta nel rapporto di costo tra i modelli contratti e quelli sostitutivi.
- Valutazione del Protocollo: Calibrano il modello su parametri implementati (EigenAI, VeriLLM, Sertn AVS). I risultati mostrano che, sebbene questi protocolli superino la 1-Round IC, falliscono la IC di gioco ripetuto per fattori di sconto $\delta \in [0.92, 0.98]$ , permettendo profitti da deviazione del 1.5%–8%.
- Efficacia del Meccanismo: Le simulazioni mostrano che il meccanismo proposto riduce i profitti da deviazione del 31%–54% rispetto ai baseline senza memoria, preservando al contempo una bassa latenza nella verifica economica.

Risultati

Teorici: Il documento stabilisce che lo slashing proporzionale senza memoria non può fornire una sicurezza uniforme nei giochi ripetuti nel limite di operatori pazienti ( $\delta \to 1$ ). Il meccanismo proposto ottiene requisiti di stake limitati quando $\delta \to 1$ .
Empirici:
- La misurazione delle risposte del segnale sui modelli Qwen2.5 mostra concavità ( $q \in [0.70, 0.89]$ ) e ampiezze superiori alle calibrazioni conservative, abbassando la soglia di pazienza richiesta $\delta^*$ a 0.79–0.92.
- Un'analisi del budget di audit di tipo Stackelberg dimostra che la reattività del segnale sostituisce l'audit di base, riducendo il tasso di audit di base di 2.6× a un fattore di sconto target di 0.95.
- Nei test di stress, il meccanismo proposto mantiene l'avversario stazionario a migliore risposta a una frazione di profitto di circa il 6.2%, rispetto al ~13.6% dei baseline senza memoria.

Significatività
Il documento sostiene che la sicurezza dell'inferenza verificabile basata su restaking non può essere giustificata esclusivamente dalle disuguaglianze di slashing dello stage-game. Evidenzia come il disallineamento intertemporale nello slashing proporzionale crei una vulnerabilità invisibile all'analisi a colpo singolo. Il meccanismo proposto offre una via per l'incentivo compatibilità subgame-perfect per l'implementazione nel mondo reale, garantendo che i provider razionali rimangano onesti su lunghi orizzonti senza incorrere nei costi proibitivi della piena verifica crittografica o della confisca dell'intero stake. Il lavoro unisce la teoria dei giochi e la criptoeconomia, fornendo un quadro rigoroso per progettare sistemi di inferenza verificabile sicuri e a bassa latenza.

La Grande Scoperta: Il Loophole del "Ricidivista"

La Soluzione: Un Sistema Più Intelligente e Consapevole della Storia

Funziona Davvero?

Perché Questo è Importante

Articoli simili