💻 computer science

Repeated-Game Security for Restaking-Based Verifiable Inference

Este artigo demonstra que a compatibilidade de incentivo de rodada única frequentemente assumida na inferência verificável baseada em restaking é insuficiente devido a uma lacuna de jogo repetido onde o slashing proporcional falha em deter a não conformidade racional ao longo do tempo, e propõe um mecanismo implantável combinando desafios dependentes de histórico e slashing ponderado por reputação para restaurar a segurança de longo prazo sem exigir verificação criptográfica por consulta.

Autores originais: Zhenhang Shang, Yingzhe Yu, Kani Chen

Publicado 2026-08-11

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Zhenhang Shang, Yingzhe Yu, Kani Chen

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mundo onde cérebros de computador gigantes e superinteligentes (chamados de Modelos de Linguagem de Grande Escala ou LLMs) podem responder às suas perguntas, escrever suas histórias ou resolver seus problemas matemáticos. Mas aqui está o detalhe: rodar esses cérebros é caro e lento. Por isso, as empresas querem contratar trabalhadores independentes para fazer o pensamento por elas. O problema é: como você sabe que o trabalhador não apenas chutou a resposta ou usou um cérebro mais barato e menos inteligente para economizar dinheiro? Este é o mundo da inferência verificável.

Para resolver isso, usamos um sistema chamado restaking. Pense nisso como um depósito de segurança. O trabalhador coloca uma pilha de dinheiro digital (stake) como uma promessa de realizar o trabalho honestamente. Se ele se desviar, um árbitro verifica seu trabalho e, se for pego, o árbitro toma uma parte do seu depósito. Isso é chamado de slashing (penalização). Por muito tempo, os especialistas acreditaram que isso era uma rede de segurança perfeita. Eles acreditavam que, se a multa por se desviar fosse maior do que o dinheiro economizado ao se desviar, ninguém jamais tentaria se desviar. Era um acordo simples de "uma única vez": Não roube o biscoito, ou você perde o pote.

Mas e se o trabalhador não estiver fazendo apenas um trabalho? E se ele for contratado para fazer milhões de trabalhos repetidamente? É aqui que a história fica complicada. O artigo que você está prestamente lendo faz uma pergunta brilhante: Será que a rede de segurança de "uma única vez" realmente funciona quando o jogo é jogado repetidas vezes? Os autores, Zhenhang Shang, Yingzhe Yu e Kani Chen, da Universidade de Ciência e Tecnologia de Hong Kong, descobriram que a antiga rede de segurança tem um buraco oculto. Eles descobriram que, se um trabalhador se desviar apenas um pouco, ele pode, na verdade, sair impune, mesmo que a multa pareça assustadora à primeira vista. Por quê? Porque toda vez que ele é pego, a multa leva apenas uma fração de seu depósito. Assim, seu depósito fica cada vez menor, tornando as multas futuras cada vez mais fracas, enquanto ele continua embolsando a economia de se desviar em cada novo trabalho. É como um ladrão que continua roubando um pouco de ouro e, toda vez que o guarda o pega, o guarda só leva um pedacinho do ouro restante, fazendo com que o "risco" do ladrão caia até que ele seja praticamente intocável.

A Grande Descoberta: A Brecha do "Reincidente"

Os autores perceberam que a regra antiga — "Não se desvie porque a multa é maior que o ganho" — só funciona para uma decisão única e isolada. Mas, no mundo real, esses provedores de IA estão no jogo a longo prazo, respondendo a milhares ou até milhões de perguntas. O artigo modela isso como um jogo repetido, onde o provedor e o protocolo jogam rodada após rodada.

Eles descobriram um "gap de jogo repetido". Aqui está o truque de mágica que o desviador usa:

A Configuração: O provedor deposita um grande stake.
O Desvio: Eles usam um modelo mais barato e rápido para responder às perguntas, economizando dinheiro em cada consulta.
O Erro: Às vezes, o árbitro (o protocolo) os pega.
A Brecha: O protocolo apenas aplica o slashing (retira) uma porcentagem do stake, digamos 20%. O provedor perde algum dinheiro, mas ainda tem 80% restantes.
O Ciclo: Como seu stake agora é menor, a próxima vez que forem pegos, a multa será ainda menor (20% de um número menor). Mas o dinheiro que eles economizam ao se desviar na próxima pergunta é exatamente o mesmo de antes!

O artigo prova matematicamente que isso cria um desequilíbrio perigoso. As economias permanecem constantes, mas a penalidade diminui cada vez que são pegos. Os autores mostram que, para muitos sistemas existentes (como EigenAI, VeriLLM e Sertn AVS), esse gap é real. Embora esses sistemas passem no teste de segurança de "uma única vez", eles falham no teste de "longo prazo". Em simulações, um desviador racional poderia obter um lucro extra de 1,5% a 8% apenas explorando essa brecha de jogo repetido. Mesmo que o sistema pense que está seguro.

A Solução: Um Sistema Mais Inteligente e Consciente do Histórico

Então, como consertamos um sistema que fica mais fraco cada vez que um desviador é pego? Os autores propõem um novo mecanismo que atua como um árbitro inteligente que guarda memória. Em vez de apenas olhar quanto dinheiro o trabalhador tem restante, o novo sistema olha para o seu histórico.

Eles introduzem três ferramentas engenhosas para tapar o buraco:

Pontuações de Suspeita (O "Olhar Vigilante"): O sistema mantém uma pontuação para cada trabalhador. Se eles agirem de forma estranha (como responder rápido demais ou dar respostas ligeiramente diferentes), sua pontuação de suspeita aumenta. Quanto maior a pontuação, maior a probabilidade de o árbitro verificar seu trabalho. Isso significa que, se você se desviar, não será apenas multado; você será vigiado mais de perto na próxima vez.
Multas Ponderadas pela Reputação (A "Marca de Vergonha"): Em vez de apenas tirar uma porcentagem do dinheiro restante, a multa também depende da reputação do trabalhador. Se você tem um histórico ruim, a multa torna-se muito mais severa, mesmo que seu depósito seja pequeno. Isso impede o truque da "penalidade decrescente".
Vesting (A "Coleira"): Quando um trabalhador tenta sair do jogo (sacar seu dinheiro), o sistema não o deixa fugir imediatamente. Seu dinheiro fica "bloqueado" por um tempo. Se ele tentar se desviar e depois fugir, o sistema ainda pode pegá-lo e tirar seu dinheiro durante esse período de bloqueio. Isso impede a estratégia de "desviar e fugir".

Isso Realmente Funciona?

Os autores não apenas sonharam com isso; eles construíram um simulador para testar. Eles colocaram seu novo sistema contra os antigos usando diferentes tipos de "desviadores", incluindo alguns que desviam constantemente, alguns que desviam apenas quando acham que ninguém está olhando, e alguns que tentam desviar e depois fugir.

Os resultados foram promissores. Nas simulações, os sistemas antigos permitiram que os desviadores mantivessem seu lucro extra. Mas o novo sistema, com suas regras conscientes do histórico, reduziu os lucros dos desviadores em 31% a 54%. Em alguns casos, tornou o desvio uma estratégia perdedora, transformando um lucro em um prejuízo para o desviador.

Eles também testaram o quão "detectável" é o desvio. Eles usaram modelos de IA reais (variando de modelos pequenos de 0,5 bilhão de parâmetros até enormes de 14 bilhões de parâmetros) para ver se o sistema conseguia distinguir entre uma resposta real e uma resposta barata e falsa. Eles descobriram que o "medidor de suspeita" do sistema funciona muito bem, especialmente quando a diferença de custo entre o bom modelo e o modelo barato é grande. Quanto mais o desviador tenta economizar dinheiro, mais fácil é pegá-lo.

Por Que Isso Importa

Este artigo é um alerta para o mundo da segurança de blockchain e IA. Ele mostra que o fato de uma regra de segurança funcionar para um momento único não significa que ela funcionará para toda a vida. Os autores não apenas apontaram um problema; eles construíram o projeto de um sistema que pode lidar com a realidade das interações repetidas.

Eles provaram que, ao fazer com que a penalidade dependa do comportamento passado do trabalhador e ao mantê-lo em uma "coleira" quando ele tenta sair, podemos criar um sistema que permanece seguro mesmo quando o jogo continua para sempre. É uma mudança de pensar a segurança como uma única "fiança" para pensar nela como um relacionamento de longo prazo, onde a confiança é conquistada e perdida ao longo do tempo. Para qualquer pessoa que esteja construindo o futuro da IA na blockchain, este é um passo crucial para garantir que os trabalhadores estejam realmente realizando o trabalho que prometem fazer.

Resumo Técnico: Segurança de Jogo Repetido para Inferência Verificável Baseada em Restaking

Declaração do Problema
Protocolos baseados em restaking (ex: AVSs da EigenLayer) emergiram como uma solução prática para a inferência de Grandes Modelos de Linguagem (LLMs) verificável, oferecendo uma alternativa aos altos custos de aprendizado de máquina com prova de conhecimento zero (zkML) e às suposições de confiança de hardware dos Ambientes de Execução Confiáveis (TEEs). Os modelos de segurança atuais para esses sistemas baseiam-se em uma condição de compatibilidade de incentivo de um único round (1-Round IC): um provedor racional é dissuadido de desviar-se se a penalidade esperada (slashing) exceder a economia de custo por consulta ( $\Delta$ ).

O artigo identifica uma falha crítica nesta lógica: a inferência verificável é uma interação repetida onde um único stake suporta milhares a milhões de consultas. A análise padrão de um único round falha ao não considerar a natureza dinâmica do slashing proporcional (onde apenas uma fração $\alpha < 1$ do stake é penalizada após a detecção). Em um cenário repetido, um desvio detectado reduz a exposição do stake futuro do provedor, diminuindo assim a penalidade esperada para rodadas subsequentes, enquanto os ganhos de desvio ( $\Delta$ ) são acumulados repetidamente. Isso cria um "gap de jogo repetido" onde um protocolo pode satisfazer a 1-Round IC, mas permanecer vulnerável a desvios lucrativos ao longo do tempo.

Metodologia
Os autores modelam a inferência verificável baseada em restaking como um jogo repetido com desconto entre um provedor racional e um protocolo on-chain.

Modelagem Teórica de Jogo: Eles definem o jogo de estágio onde um provedor escolhe entre execução honesta ( $H$ ) e desvio ( $C$ ) para economizar custos de computação. O protocolo audita as consultas com probabilidade $c$ e penaliza uma fração $\alpha$ do stake atual $S_t$ após a detecção.
Derivação do Gap: Eles derivam uma expressão de forma fechada para o lucro do desvio sob uma estratégia mista estacionária (desviar com probabilidade fixa $p$ ). Eles demonstram que, sob slashing proporcional, o stake exposto a penalidades decai geometricamente ( $S_{t+1} = S_t(1 - \alpha)$ após a detecção), enquanto o ganho de desvio se acumula.
Design de Mecanismo: Para fechar este gap, eles propõem um mecanismo implantável que modifica o estado do protocolo com base no histórico público. O mecanismo integra três componentes:
- Desafios Dependentes de Histórico: Um score de suspeita é atualizado com base em sinais de risco (ex: discrepâncias de saída, mudanças de latência). A probabilidade de auditoria $c(S_t)$ aumenta com o score de suspeita.
- Slashing Ponderado por Reputação: Em vez de penalizar uma fração fixa do stake atual, a penalidade é ponderada por um posterior Bayesiano robusto ( $\bar{\rho}_t$ ) que representa a probabilidade de o provedor ser um desviador estratégico. Isso evita que a base da penalidade decaia mecanicamente conforme o stake diminui.
- Vesting de Stake: Um período de vesting com bloqueio temporal ( $\tau$ ) garante que, mesmo se um provedor tentar sair (unbond) após desviar, seu stake permaneça penalizável por uma duração suficiente para manter a compatibilidade de incentivo.

Principais Contribuições

Identificação do Gap de Jogo Repetido: O artigo prova que, para qualquer protocolo de memória sem estado (memoryless) de slashing limitado onde $\alpha < 1$ , satisfazer a condição 1-Round IC é insuficiente para a compatibilidade de incentivo subgame-perfeita (SPIC) de horizonte infinito. Eles derivam a condição de falha: se o slack de 1-Round $\eta < \frac{\delta c \alpha \Delta}{1-\delta}$ , o protocolo falha na SPIC.
Mecanismo Implantável: Eles constroem um mecanismo que restaura a SPIC contra desvios de estratégia mista estacionária sem exigir verificação criptográfica por consulta. O mecanismo baseia-se em desafios dependentes de histórico, slashing ponderado por reputação e vesting.
Limiares de Forma Fechada: Eles derivam um limiar explícito $\delta^*$ (a paciência mínima do operador necessária para a segurança) para o mecanismo proposto. Diferente de protocolos sem memória onde o stake necessário diverge conforme $\delta \to 1$ , o mecanismo proposto mantém um stake limitado.
Calibração Empírica:
- Detectabilidade de Sinal: Os autores fornecem a primeira medição direta de detectabilidade de sinal de auditoria ( $\mu(p)$ ) em modelos de pesos abertos (Qwen2.5, 0.5B a 14B parâmetros). Eles confirmam que a resposta do sinal é côncava conforme exigido pela teoria, com amplitude aumentando na razão de custo entre modelos contraídos e substitutos.
- Avaliação do Protocolo: Eles calam o modelo para parâmetros implantados (EigenAI, VeriLLM, Sertn AVS). Os resultados mostram que, embora esses protocolos passem na 1-Round IC, eles falham na IC de jogo repetido para fatores de desconto $\delta \in [0.92, 0.98]$ , permitindo lucros de desvio de 1.5%–8%.
- Eficácia do Mecanismo: Simulações mostem que o mecanismo proposto reduz os lucros de desvio em 31%–54% em comparação com baselines sem memória, preservando a verificação econômica de baixa latência.

Resultos

Teóricos: O artigo estabelece que o slashing proporcional sem memória não pode fornecer segurança de jogo repetido uniforme no limite de operadores pacientes ( $\delta \to 1$ ). O mecanismo proposto alcança requisitos de stake limitados conforme $\delta \to 1$ .
Empíricos:
- Medições de respostas de sinal no modelos Qwen2.5 mostram concavidade ( $q \in [0.70, 0.89]$ ) e amplitudes excedendo calibrações conservadoras, reduzindo o limiar de paciência $\delta^*$ para 0.79–0.92.
- Uma análise de orçamento de auditoria de Stackelberg demonstra que a responsividade do sinal substitui a auditoria de base, reduzindo a taxa de auditoria de base necessária em 2.6× para um fator de desconto alvo de 0.95.
- Em testes de estresse, o mecanismo proposto mantém o adversário de melhor resposta estacionária a uma fração de lucro de ~6.2%, comparado a ~13.6% para baselines sem memória.

Significância
O artigo argumenta que a segurança da inferência verificável baseada em restaking não pode ser justificada apenas por desigualdades de slashing de estágio. Ele destaca que o descompasso intertemporal no slashing proporcional cria uma vulnerabilidade invisível à análise de um único round. O mecanismo proposto oferece um caminho para a compatibilidade de incentivo subgame-perfeita para implantação no mundo real, garantindo que provedores racionais permaneçam honestos em longos horizontes sem incorrer nos custos proibitivos de verificação criptográfica total ou confisco de stake total. O trabalho une teoria dos jogos e criptoeconomia, fornecendo um framework rigoroso para projetar sistemas de inferência verificável de baixa latência e seguros.

A Grande Descoberta: A Brecha do "Reincidente"

A Solução: Um Sistema Mais Inteligente e Consciente do Histórico

Isso Realmente Funciona?

Por Que Isso Importa

Mais como este