💻 computer science

Repeated-Game Security for Restaking-Based Verifiable Inference

Dit artikel toont aan dat de eenronde prikkelcompatibiliteit die vaak wordt verondersteld in restaking-gebaseerde verifieerbare inferentie onvoldoende is vanwege een herhaalde-spel-kloof waarbij proportionele slashing faalt om rationele non-compliance over tijd af te schrikken, en stelt een inzetbaar mechanisme voor dat geschiedenisafhankelijke uitdagingen en reputatie-gewogen slashing combineert om de langetermijnbeveiliging te herstellen zonder per query cryptografische verificatie te vereisen.

Oorspronkelijke auteurs: Zhenhang Shang, Yingzhe Yu, Kani Chen

Gepubliceerd 2026-08-11

📖 7 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Zhenhang Shang, Yingzhe Yu, Kani Chen

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een wereld voor waarin gigantische, superintelligente computerbreinen (Large Language Models genoemd) je vragen kunnen beantwoorden, je verhalen kunnen schrijven of je wiskundeproblemen kunnen oplossen. Maar hier komt de adder onder het gras: het draaien van deze breinen is duur en traag. Daarom willen bedrijven onafhankelijke werkers inhuren om het denkwerk voor hen te doen. Het probleem is: hoe weet je dat de werker niet gewoon het antwoord heeft gegokt of een goedkopere, dommere hersenpan heeft gebruikt om geld te besparen? Dit is de wereld van verifieerbare inferentie.

Om dit op te lossen, gebruiken we een systeem dat restaking wordt genoemd. Denk hierbij aan een borgsom. De werker legt een stapel digitaal geld (stake) in als een belofte om de klus eerlijk te klaren. Als ze afwijken, controleert een scheidsrechter hun werk, en als ze betrapt worden, neemt de scheidsrechter een deel van hun borg in beslag. Dit wordt slashing genoemd. Lange tijd dachten experts dat dit een perfect veiligheidsnet was. Ze geloofden dat als de boete voor afwijken groter was dan het geld dat men zou besparen door af te wijken, niemand ooit zou proberen af te wijken. Het was een eenvoudige "éénmalige" deal: Pak de koek niet, of je verliest de pot.

Maar wat als de werker niet slechts één klus doet? Wat als de werker miljoenen klussen uitvoert, keer op keer? Hier wordt het verhaal ingewikkeld. De paper die je nu gaat lezen, stelt een briljante vraag: Werkt het "éénmalige" veiligheidsnet ook als het spel steeds opnieuw wordt gespeeld? De auteurs, Zhenhang Shang, Yingzhe Yu en Kani Chen van de Hong Kong University of Science and Technology, ontdekten dat het oude veiligheidsnet een verborgen gat heeft. Ze ontdekten dat als een werker slechts een klein beetje afwijkt, ze er zelfs mee weg kunnen komen, zelfs als de boete in eerste instantie angstaanjagend lijkt. Waarom? Omdat elke keer dat ze betrapt worden, de boete slechts een fractie van hun borg inneemt. Dus hun borg wordt steeds kleiner en kleiner, waardoor de toekomstige boetes zwakker en zwakker worden, terwijl ze bij elke nieuwe opdracht de besparingen door af te wijken in hun zak steken. Het is als een dief die steeds een beetje goud steelt, en elke keer dat de bewaker hem betrapt, neemt de bewaker slechts een klein stukje van zijn resterende goud in beslag, waardoor het "risico" van de dief daalt tot hij praktisch onaanraakbaar is.

De Grote Ontdekking: De "Recidive"-loophole

De auteurs realiseerden zich dat de oude regel — "Wijkt niet af, want de boete is groter dan de winst" — alleen werkt voor een enkele, eenmalige beslissing. Maar in de echte wereld zijn deze AI-providers in voor het lange termijn, waarbij ze duizenden of zelfs miljoenen vragen beantwoorden. De paper modelleert dit als een repeated game (een herhaald spel), waarbij de provider en het protocol ronde na ronde spelen.

Ze ontdekten een "repeated-game gap". Hier is de truc die de afwijker gebruikt:

De Opzet: De provider legt een grote stake in.
De Afwijking: Ze gebruiken een goedkoper, sneller model om vragen te beantwoorden, waardoor ze bij elke query geld besparen.
De Fout: Somsals betrapt de scheidsrechter (het protocol) hen.
De Loophole: Het protocol heft slechts een percentage van de stake in, zeg 20%. De provider verliest wat geld, maar houdt nog 80% over.
De Cyclus: Omdat hun stake nu kleiner is, is de boete de volgende keer dat ze betrapt worden, zelfs nog kleiner (20% van een kleiner getal). Maar het geld dat ze besparen door af te wijken bij de volgende vraag is precies hetzelfde als voorheen!

De paper bewijst wiskundig dat dit een gevaarlijk evenwicht creëert. De besparingen blijven constant, maar de straf krimpt elke keer dat ze betrapt worden. De auteurs laten zien dat voor veel bestaande systemen (zoals EigenAI, VeriLLM en Sertn AVS), deze kloof echt is. Zelfs als deze systemen de "éénmalige" veiligheidstest doorstaan, falen ze voor de "lange termijn" test. In simulaties kon een rationele afwijker een extra winst van 1,5% tot 8% maken door simpelweg gebruik te maken van deze repeated-game loophole, zelfs wanneer het systeem denkt dat het veilig is.

De Oplossing: Een Slimmer, Geschiedenisbewust Systeem

Hoe fixen we dus een systeem dat zwakker wordt telkens wanneer een afwijker wordt betrapt? De auteurs stellen een nieuw mechanisme voor dat werkt als een slimme, geheugenhoudende scheidsrechter. In plaats van alleen te kijken naar hoeveel geld de werker nog over heeft, kijkt het nieuwe systeem naar hun geschiedenis.

Ze introduceren drie slimme instrumenten om het gat te dichten:

Suspicion Scores (De "Waakzame Blik"): Het systeem houdt een score bij voor elke werker. Als ze vreemd gedrag vertonen (zoals te snel antwoorden of net iets andere antwoorden geven), gaat hun suspicion score omhoog. Hoe hoger de score, hoe groter de kans dat de scheidsrechter hun werk controleert. Dit betekent dat als je afwijkt, je niet alleen een boete krijgt; je wordt de volgende keer nauwer in de gaten gehouden.
Reputation-Weighted Fines (De "Stigma"): In plaats van alleen een percentage van het resterende geld in te houden, hangt de boete ook af van de reputatie van de werker. Als je een slecht verleden hebt, wordt de boete veel strenger, zelfs als je inleg klein is. Dit stopt de truc van de "krimpende straf".
Vesting (Het "Lijntje"): Wanneer een werker het spel wil verlaten (zijn geld wil opnemen), laat het systeem hem niet onmiddellijk vertrekken. Hun geld wordt voor een tijdje "vastgezet". Als ze proberen af te wijken en dan te vluchten, kan het systeem hen nog steeds betrappen en hun geld innemen tijdens deze lock-up periode. Dit voorkomt de strategie van "afwijken en vluchten".

Werkt het Echt?

De auteurs hebben dit niet alleen bedacht; ze hebben een simulator gebouwd om het te testen. Ze lieten hun nieuwe systeem strijden tegen de oude systemen met verschillende soorten "afwijkers", waaronder sommigen die constant afwijken, sommigen die alleen afwijken als ze denken dat niemand kijkt, en sommigen die proberen af te wijken en dan te vluchten.

De resultaten waren veelbelovend. In de simulaties lieten de oude systemen de afwijkers hun extra winst behouden. Maar het nieuwe systeem, met zijn geschiedenisbewuste regels, sneed de winsten van de afwijkers met 31% tot 54%. In sommige gevallen maakte het zelfs een verliezende strategie voor de afwijker, waardoor een winst veranderde in een verlies.

Ze testten ook hoe "detecteerbaar" afwijken werkelijk is. Ze gebruikten echte AI-modellen (variërend van kleine modellen met 0,5 miljard parameters tot enorme modellen met 14 miljard parameters) om te zien of het systeem het verschil kon zien tussen een echt antwoord en een goedkoop, nep antwoord. Ze ontdekten dat het "suspicion meter" van het systeem erg goed werkt, vooral wanneer het verschil in kosten tussen het goede model en het goedkope model groot is. Hoe meer de afwijker probeert geld te besparen, hoe makkelijker het is om hen te betrappen.

Waarom Dit Belangrijk Is

Deze paper is een wake-up call voor de wereld van blockchain en AI-beveiliging. Het laat zien dat het feit dat een beveiligingsregel op een enkel moment werkt, niet betekent dat het ook een leven lang werkt. De auteurs hebben niet alleen een probleem aangewezen; ze hebben een blauwdruk gebouwd voor een systeem dat de realiteit van herhaalde interacties kan aan.

Ze bewezen dat door de straf afhankelijk te maken van het verleden van de werker en hen op een "lijntje" te houden wanneer ze proberen te vertrekken, we een systeem kunnen creëren dat veilig blijft, zelfs als het spel eeuwig doorgaat. Het is een verschuiving van het denken over beveiliging als een enkele "borg" naar het denken over beveiliging als een langdurige relatie waarbij vertrouwen verdiend en verloren wordt over de tijd. Voor iedereen die de toekomst van AI op de blockchain bouwt, is dit een cruciale stap om ervoor te zorgen dat de werkers ook echt het werk doen dat ze beloven te doen.

Technische Samenvatting: Repeated-Game Beveiliging voor Restaking-gebaseerde Verifieerbare Inferentie

Probleemstelling
Restaking-gebaseerde protocollen (bijv. EigenLayer AVS'en) zijn naar voren gekomen als een praktische oplossing voor verifieerbare Large Language Model (LLM) inferentie, waarbij ze een alternatief bieden voor de hoge kosten van zero-knowledge machine learning (zkML) en de hardwarematige vertrouwensaannames van Trusted Execution Environments (TEEs). De huidige beveiligingsmodellen voor deze systemen vertrouwen op een one-round incentive compatibility (1-Round IC) conditie: een rationele provider wordt ontmoedigd om af te wijken als de verwachte straf (slashing) groter is dan de besparing per query ( $\Delta$ ).

Het paper identificeert een kritiek gebrek in deze logica: verifieerbare inferentie is een repeated interaction (herhaalde interactie) waarbij een enkele stake duizenden tot miljoenen queries ondersteunt. De standaard one-round analyse houdt geen rekening met de dynamische aard van proportional slashing (waarbij slechts een fractie $\alpha < 1$ van de stake wordt geslasht bij detectie). In een herhaalde setting vermindert een gedetecteerde afwijking de toekomstige stake-blootstelling van de provider, waardoor de verwachte straf voor opeenvolgende rondes daalt, terwijl de afwijkingskosten ( $\Delta$ ) herhaaldelijk worden verdiend. Dit creëert een "repeated-game gap" waarbij een protocol weliswaar aan 1-Round IC kan voldoen, maar toch kwetsbaar blijft voor winstgevende afwijkingen over tijd.

Methodologie
De auteurs modelleren restaking-gebaseerde verifieerbare inferentie als een discounted repeated game tussen een rationele provider en een on-chain protocol.

Speltheoretische Modellering: Ze definiëren het stage game waarbij een provider kiest tussen eerlijke uitvoering ( $H$ ) en afwijking ( $C$ ) om computationele kosten te besparen. Het protocol auditeert queries met een waarschijnlijkheid $c$ en slasht een fractie $\alpha$ van de huidige stake $S_t$ bij detectie.
Gap-afleiding: Ze leiden een gesloten uitdrukking af voor de afwijkingswinst onder een stationaire gemengde strategie (afwijken met een vaste waarschijnlijkheid $p$ ). Ze demonstreren dat onder proportionele slashing de aan straffen blootgestelde stake geometrisch afneemt ( $S_{t+1} = S_t(1 - \alpha)$ bij detectie), terwijl de afwijkingswinst cumulatief wordt opgebouwd.
Mechanismeontwerp: Om deze gap te dichten, stellen ze een inzetbaar mechanisme voor dat de staat van het protocol wijzigt op basis van de publieke historie. Het mechanisme integreert drie componenten:
- History-Dependent Challenges: Een verdenkingsscore wordt bijgewerkt op basis van risicosignalen (bijv. output discrepanties, latentie verschuivingen). De audit-waarschijnlijkheid $c(S_t)$ neemt toe met de verdenkingsscore.
- Reputation-Weighted Slashing: In plaats van een vaste fractie van de huidige stake te slashen, wordt de straf gewogen door een robuuste Bayesiaanse posterior ( $\bar{\rho}_t$ ) die de waarschijnlijkheid vertegenwoordigt dat de provider een strategische afwijker is. Dit voorkomt dat de basis voor de straf mechanisch afneemt naarmate de stake krimpt.
- Stake Vesting: Een tijdgebonden vestingperiode ( $\tau$ ) zorgt ervoor dat zelfs als een provider probeert te vertrekken (unbond) na een afwijking, hun stake gedurende een voldoende lange duur slashbaar blijft om incentive compatibility te handhaven.

Belangrijkste Bijdragen

Identificatie van de Repeated-Game Gap: Het paper bewijst dat voor elk memoryless bounded-slashing protocol met $\alpha < 1$ , het voldoen aan de 1-Round IC conditie onvoldoóende is voor infinite-horizon subgame-perfect incentive compatibility (SPIC). Ze leiden de conditie voor falen af: als de 1-Round slack $\eta < \frac{\delta c \alpha \Delta}{1-\delta}$ , faalt het protocol voor SPIC.
Inzetbaar Mechanisme: Ze construeren een mechanisme dat SPIC herstelt tegen stationaire gemengde-strategie afwijkingen zonder dat per-query cryptografische verificatie nodig is. Het mechanisme vertrouwt op historie-afhankelijke challenges, reputatie-gewogen slashing en vesting.
Closed-Form Drempelwaarden: Ze leiden een expliciete drempelwaarde $\delta^*$ af (de minimale operator-geduld vereist voor veiligheid) voor het voorgestelde mechanisme. In tegen tegenstelling tot memoryless protocollen waar de vereiste stake divergeert als $\delta \to 1$ , blijft de vereiste stake van het voorgestelde mechanisme begrensd.
Empirische Kalibratie:
- Signaal Detecteerbaarheid: De auteurs bieden de eerste directe meting van de audit signaal detecteerbaarheid ( $\mu(p)$ ) op open-weight modellen (Qwen2.5, 0.5B tot 14B parameters). Ze bevestigen dat de signaalrespons concaaf is zoals vereist door de theorie, met een amplitude die toeneemt naarmate de kostenratio tussen gecontracteerde en substitutiemodellen groter wordt.
- Protocol Evaluatie: Ze kalibreren het model naar gedeplyoide parameters (EigenAI, VeriLLM, Sertn AVS). De resultaten laten zien dat hoewel deze protocollen voldoen aan 1-Round IC, ze falen voor repeated-game IC voor discount factoren $\delta \in [0.92, 0.98]$ , wat afwijkingswinsten van 1.5%–8% mogelijk maakt.
- Effectiviteit van het Mechanisme: Simulaties tonen aan dat het voorgestelde mechanisme de afwijkingswinsten met 31%–54% vermindert vergeleken met memoryless baselines, terwijl de lage-latentie economische verificatie behouden blijft.

Resultaten

Theoretisch: Het paper stelt vast dat memoryless proportionele slashing geen uniforme repeated-game veiligheid kan bieden in het limiet van geduldige operators ( $\delta \to 1$ ). Het voorgestelde mechanisme bereikt een begrensde stake-eis als $\delta \to 1$ .
Empirisch:
- Gemeten signaalresponsen op Qwen2.5 modellen tonen concaviteit ( $q \in [0.70, 0.89]$ ) en amplitudes die de conservatieve kalibraties overtreffen, wat de vereiste patience threshold $\delta^*$ verlaagt naar 0.79–0.92.
- Een Stackelberg audit-budget analyse demonstreert dat signaal responsiviteit fungeert als substituut voor baseline auditing, waardoor de vereiste baseline audit rate met 2.6× wordt verlaagd bij een doelstelling van een discount factor van 0.95.
- In stresstests houdt het voorgestelde mechanisme de best-response stationaire tegenstander tegen tot een winstfractie van ~6.2%, vergeleken met ~13.6% voor memoryless baselines.

Betekenis
Het paper betoogt dat de veiligheid van restaking-gebaseerde verifieerbare inferentie niet uitsluitend gerechtvaardigd kan worden door stage-game slashing ongelijkheden. Het benadrukt dat de intertemporele mismatch in proportionele slashing een kwetsbaarheid creëert die onzichtbaar is voor one-shot analyse. Het voorgestelde mechanisme biedt een pad naar subgame-perfect incentive compatibility voor real-world deployment, wat ervoor zorgt dat rationele providers eerlijk blijven over lange tijdlijnen zonder de prohibitieve kosten van volledige cryptografische verificatie of volledige stake-confiscatie te dragen. Het werk overbrugt speltheorie en cryptoeconomie door een rigoureus framework te bieden voor het ontwerpen van veilige, lage-latentie verifieerbare inferentie systemen.

De Grote Ontdekking: De "Recidive"-loophole

De Oplossing: Een Slimmer, Geschiedenisbewust Systeem

Werkt het Echt?

Waarom Dit Belangrijk Is

Meer zoals dit