⚛️ quantum physics

MPC in the Quantum Head (or: Superposition-Secure (Quantum) Zero-Knowledge)

本文将 MPC-in-the-head 范式推广至量子设定，使得在共同参考串模型下，能够构建针对 NP 和 QMA 的三轮零知识论证，且这些论证在基于标准容错学习问题（LWE）假设的叠加态攻击下依然保持安全。

原作者： Andrea Coladangelo, Ruta Jawale, Dakshita Khurana, Giulio Malavolta, Hendrik Waldner

发布于 2026-07-08

📖 1 分钟阅读🧠 深度阅读

原作者： Andrea Coladangelo, Ruta Jawale, Dakshita Khurana, Giulio Malavolta, Hendrik Waldner

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心理念：在不展示秘密的情况下证明你知晓它

想象一下，你有一个秘密密码（一个“见证”，witness）来证明你有权进入一栋安全大楼。你想向守卫（“验证者”，verifier）证明你知道这个密码，但又不想真正把密码告诉他。这就是所谓的零知识证明（Zero-Knowledge Proof）。

在经典世界（普通计算机的世界）中，有一个著名的技巧叫做**“脑中的多方计算”（MPC-in-the-Head）**。

类比： 想象你是一个人，但你假装自己是一组坐在房间里的五位朋友。你将你的秘密密码分成五份（份额/shares），并将每一份交给你脑海中的每一位“朋友”。
游戏规则： 你在这些五位朋友之间进行一场对话，以证明该密码是有效的。然后，守卫要求查看其中仅两名朋友的笔记。
结果： 如果笔记能够相互匹配且逻辑通顺，守卫就会相信整个团队（因此也是你）知道该密码。但由于守卫只看到了两名朋友，他们无法推导出完整的密码。

新问题：“叠加态”窃贼

这篇论文解决了一个可怕的新问题：如果守卫是一台量子计算机呢？

在量子世界中，“叠加态”（superposition）就像是同时处于两个地方。一个量子对手（坏人）不仅仅是询问要看 A 朋友或 B 朋友的笔记。他们可以要求同时查看两者的叠加态。

隐喻： 想象守卫不只是盯着纸张看，而是把纸张放进了一个神奇的盒子里，这个盒子能让他们同时窥视所有可能的组合（即所有朋友的笔记）。
风险： 在旧有的技巧中，如果你只展示两名朋友的笔记，秘密就是安全的。但如果守卫可以窥视笔记的“叠加态”，他们可能通过数学手段重构出整个密码，从而破解安全性。

作者们问道：我们能否构建一种即使在守卫使用这种“叠加态”超能力时依然保持安全的零知识证明？

解决方案：“脑中的量子多方计算”（MPC in the Quantum Head）

作者们说可以，并且他们通过为量子世界升级“脑中的多方计算”技巧来实现这一点。他们将这种新方法称为**“脑中的量子多方计算”（MPC in the Quantum Head）**。

以下是他们如何解决两个主要挑战的方法：

1. 针对常规秘密（NP 问题）

旧问题： 此前试图使这种技术具备量子安全性的尝试，依赖于一种特殊的“魔法锁”（承诺方案），这种锁具有完美的隐藏性。但没有人知道如何使用标准数学假设来构建这种锁。
新技巧： 作者们使用了一种不同类型的锁，称为**“双模态承诺”（Dual-Mode Commitment）**。
- 类比： 想象一个有两个钥匙的安全柜。
  - 钥匙 A（绑定性）： 安全柜锁得很紧。一旦你把笔记放进去，你就无法更改它。但如果你拥有一台超级强大的计算机，你可能会猜出笔记的内容。
  - 钥匙 B（隐藏性）： 这个安全柜非常不透明，即使是超级强大的计算机也看不见里面的内容。但是，如果你有一个特殊的“后门”（证明者拥有），你可以打开它并展示任何你想展示的东西。
- 运作方式： 证明者使用“隐藏模式”来发送笔记。因为笔记被隐藏了，所以即使量子守卫在叠加态下观察，也无法得知秘密。作者们证明了，即使使用这种稍弱的锁，数学逻辑依然成立。

2. 针对量子秘密（QMA 问题）

这是更难的部分。如果秘密本身是一个量子态（比如一个脆弱、无形的概率云），而不仅仅是一个简单的密码怎么办？

挑战： 在经典版本中，“朋友们”会互相传递笔记。在量子版本中，他们传递的是量子粒子（量子比特/qubits）。你不能在不破坏秘密的情况下直接“写下”量子粒子的笔记。这里不存在可以检查的“记录（transcript）”。
新技巧： 作者们使用了一种名为**“电路到哈密顿量归约”（Circuit-to-Hamiltonian Reduction）**的技术。
- 类比： 想象朋友之间的量子对话是一部电影。通常情况下，如果不看完整部电影，你就无法检查它。
- 相反，他们将这部电影变成了一个冻结的雕塑（哈密顿量/Hamiltonian）。这个雕塑具有特定的形状。如果朋友们按照正确的方式进行游戏，这个雕塑的“能量”就会很低（它是平滑且完美的）。如果他们作弊了，雕塑就会变得凹凸不平且具有高能量。
- 检查方式： 守卫不需要看整部电影。他们只需随机戳一下雕塑的几个点，来测量能量。
  - 如果能量很低，说明游戏进行得正确。
  - 因为雕塑是由许多微小部分组成的，所以仅仅通过戳几个点并不会泄露整部电影（即秘密）。
“量子脑”： 证明者将量子秘密分配给各个朋友，对其进行加密，并创建这个关于对话的“冻结雕塑”。守卫通过检查雕塑的能量来进行验证。

为什么这很重要（根据论文所述）

该论文声称构建了两个具体的工具：

针对常规秘密（NP）的证明： 它基于一个被称为 LWE（容错学习问题/Learning With Errors）的标准数学问题，该问题被认为即使对于量子计算机也是困难的。
针对量子秘密（QMA）的证明： 这是一个重大突破。这是首次构建出能够抵御这些“叠加态攻击”的量子问题的零知识证明，且同样基于 LWE 假设。

总结

这篇论文采用了经典的证明秘密的技巧（“脑中的多方计算”），将其升级以处理量子力学，并解决了“叠加态攻击”的问题。他们通过以下方式实现：

使用特殊的“双模态”锁，即使是量子计算机也难以破解。
将量子对话转化为“冻结的雕塑”（哈密顿量），从而可以在不泄露秘密的情况下对其进行检查。

这确保了即使未来的量子计算机试图窥视所有可能性的“叠加态”证明，秘密依然是安全的。

技术摘要：量子头部的 MPC（叠加态安全零知识）

问题陈述

本文研究了如何构建即使在恶意验证者可以发出挑战并在量子叠加态中接收响应的情况下依然保持安全的零知识 (ZK) 协议。这种“叠加态安全性”是对经典安全性的重要强化，其动机在于：量子对手可能会与经典密码设备交互，或者经典原语被嵌入到更大的量子协议之中。

虽然 Damgård 等人 [19] 为 NP 类问题开创了这一概念，但他们的构造依赖于完美隐藏且无条件绑定（perfectly hiding and unconditionally binding）的双模承诺，而这类原语在标准密码学假设下是已知不存在的。此外，由于在不泄露量子见证（witness）的情况下验证量子计算存在根本困难，他们的技术无法自然地扩展到 QMA（NP 的量子类比）。

现有的替代方案，例如非交互式零知识 (NIZK) 证明，在标准假设下对于 QMA 而言仍然未知，或者依赖于启发式模型（例如量子随机预言机或混淆技术）。此外，相比于更受青睐、效率更高的三轮 $\Sigma$ -协议，NIZK 通常更为沉重。

方法论

作者提出了将 MPC-in-the-Head 范式 [30] 推向量子领域的推广，称之为 “量子头部的 MPC”（MPC in the Quantum Head）。核心方法论包含两个不同但相关的构造：

1. 针对 NP 的叠加态安全 ZK

作者重新审视了 Damgård 等人 [19] 的协议，但用双模承诺（在一种模式下是统计隐藏且计算绑定的；在另一种模式下是完美绑定且计算隐藏的）取代了对完美隐藏承诺的要求。

技术细节： 证明策略利用了一个混合论证（hybrid argument）。在真实世界中，承诺是对 MPC 视图（views）进行的。在混合情形中，承诺被切换到统计隐藏模式。至关重要的是，作者引入了一个混合情形，其中承诺指向 0（而非诚实视图），但仍能利用计算绑定属性将其打开为诚实视图（该属性会被无界模拟器破坏）。
安全性论证： 一旦承诺变为 0，被打开的视图（部分份额）与未打开的承诺共同构成了一个完美安全的秘密分享方案。作者利用了来自 [19] 的引理，即如果查询的份额少于 $2t$ 个（其中 $t$ 是隐私阈值），则完美秘密分享对于叠加态攻击仍保持安全。这使得安全性证明可以在不需要完美隐藏承诺的情况下得以进行。

2. 用于 QMA 的“量子头部的 MPC”

将此扩展到 QMA 需要处理量子见证和量子验证电路。

障碍： 在经典的 MPC-in-the-Head 中，证明者展示的是参与者的“视图”（转录/transcript）。在多方量子计算 (MPQC) 中，参与者交换量子消息，这意味着不存在可展示的经典转录；参与者仅持有一个最终的量子态。
解决方案： 作者将全局 MPQC 协议建模为一个量子电路（用 SWAP 门代替消息传递）。他们对该电路应用了 Kitaev 的电路-哈密顿量归约 [34]。
- “见证”变成了哈密顿量的历史态（history state），当且仅当 MPQC 接受时，该状态具有低能量。
- 证明者使用量子一次性密码 (QOTP) 对该历史态进行逐个量子比特的承诺，并使用双模承诺对 QOTP 的密钥进行承诺。
- 验证者挑战证明者打开特定于局部哈密顿量项的量子比特。
验证： 验证者通过测量打开的量子比特来检查局部哈密顿量项。如果能量较低，则说明历史态对应于一次有效的执行。
零知识性： ZK 性质取决于：打开对应于局部哈密顿量项的量子比特，所泄露的信息量不会超过控制底层 MPQC 中一部分参与者所能获得的信息。作者利用了完美 $2t$ -私密 MPQC 协议 [17, 39]，以确保在叠加态查询存在的情况下，基于秘密共享见证的历史态与基于虚假输入的历史态是不可区分的。

核心贡献

MPC-in-the-Head 的泛化： 本文展示了第一个针对量子功能（MPQC）的 MPC-in-the-Head 实例化，实际上创建了一种“量子 MPC-in-the-Head”。
针对 NP 的叠加态安全 ZK： 作者基于任何后量子双模承诺（例如来自 LWE）构建了针对 NP 的三轮 $\Sigma$ -协议。这通过移除对非标准完美隐藏承诺的需求，改进了 [19] 的工作。
针对 QMA 的叠加态安全 ZK： 本文构建了第一个基于容错学习误差 (LWE) 假设、针对 QMA 的三轮 $\Sigma$ -协议，满足叠加态攻击下的安全性。这填补了在标准假设下不存在 QMA NIZK 的空白。
新的证明技术：
- 一种新型的 NP 混合论证，通过将承诺切换为 0 来利用针对叠加态攻击的完美秘密分享特性。
- 一种结合了电路-哈密顿量归约、MPQC 和 QOTP 的 QMA 技术，利用 EPR 对和一次性密码的不可区分性，在存在叠加态查询的情况下模拟协议。

结果

论文确立了以下定理（非正式描述）：

定理 1.1： 假设 LWE 具有后量子安全性，在公共参考串 (CRS) 模型下，存在针对恶意验证者进行叠加态查询的 QMA 三轮 $\Sigma$ -协议。
定理 1.2： 假设存在任何后量子双模承诺，在 CRS 模型下，存在针对 NP 的三轮 $\Sigma$ -协议，满足针对恶意验证者进行叠加态查询的安全性。

这些协议实现了统计健全性（statistical soundness）和计算零知识性（即使面对具有叠加态访问权限的量子多项式时间对手）。

重要性与主张

作者将这项工作定位为零知识密码学向量子领域的自然且必要的延伸。

理论重要性： 它解决了在标准假设下构建 QMA 叠加态安全 ZK 的开放问题，此前由于缺乏合适的 NIZK 或承诺方案，这一任务被认为非常困难。
实际意义： 三轮结构使得这些协议比 NIZK 显著轻量化，为后量子签名和安全多方计算编译器（例如 GMW 风格的编译器）提供了一条切实可行的路径，这些工具必须在面对能够进行叠加态攻击的量子对手时保持安全。
概念进步： “量子头部的 MPC”框架被呈现为一种通用的技术，可以应用于其他需要对量子计算进行部分验证的 commit-and-open 或 cut-and-choose 协议。

论文明确指出，虽然在预言机模型或指定验证者模型下存在 QMA 的 NIZK，但本文专注于在标准假设和公共设置 (CRS) 下的三轮协议，这为应对叠加态攻击这一特定威胁模型提供了更直接、更高效的解决方案。