💻 computer science

zkCraft: Prompt-Guided LLM as a Zero-Shot Mutation Pattern Oracle for TCCT-Powered ZK Fuzzing

本文提出了 zkCraft 框架，通过结合确定性 R1CS 感知定位、证明携带搜索以及提示引导的大语言模型，实现了对零知识电路语义不一致性的高效检测与自动化调试。

原作者： Rong Fu, Jia Yee Tan, Youjin Wang, Ziyu Kong, Zeli Su, Zhaolu Kang, Shuning Zhang, Xianda Li, Kun Liu, Simon Fong

发布于 2026-03-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Rong Fu, Jia Yee Tan, Youjin Wang, Ziyu Kong, Zeli Su, Zhaolu Kang, Shuning Zhang, Xianda Li, Kun Liu, Simon Fong

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 zkCraft 的新工具，它的任务是给“零知识证明电路”（一种能保护隐私的复杂数学程序）做“体检”和“找茬”。

为了让你轻松理解，我们可以把整个故事想象成在一个巨大的、精密的迷宫里寻找隐藏的陷阱。

1. 背景：什么是“零知识电路”？

想象一下，你有一个超级复杂的乐高城堡（这就是零知识电路）。

目的：这个城堡有一个特殊功能，你可以告诉别人“我确实住在里面”，但不用展示你的脸或身份证（这就是“零知识”，保护隐私）。
问题：建造这个城堡非常难。如果建筑师（程序员）在搭建时少放了一块积木，或者把两块积木拼错了，城堡可能看起来没问题，但实际上只要有人稍微推一下，它就会塌，或者让坏人混进去（这就是“漏洞”）。
现状：以前找这些错误，要么靠人工盯着看（太慢），要么靠计算机疯狂试错（太贵，像用大炮打蚊子）。

2. zkCraft 是什么？

zkCraft 就像是一个拥有“透视眼”和“超级直觉”的侦探机器人。 它不需要把整个城堡拆了重造，就能迅速发现哪里不对劲。

它的工作流程可以分为三个神奇的步骤：

第一步：智能“排雷” (Sparse Fingerprinting)

传统做法：侦探拿着放大镜，把城堡的每一块砖都看一遍。
zkCraft 的做法：它先快速扫描，根据砖块的“指纹”（比如这块砖是不是经常受力、是不是关键连接点），直接圈出最可能出问题的 30 块砖。
比喻：就像医生看病，不会先给全身做 CT，而是根据症状直接听诊心脏。它把几百万个可能的检查点，瞬间缩小到几十个重点怀疑对象。

第二步：LLM 的“脑洞” (Prompt-Guided Mutation)

传统做法：随机把砖块换成别的颜色，看看城堡会不会塌。这就像闭着眼睛扔飞镖，命中率很低。
zkCraft 的做法：它请了一位AI 助手（大语言模型）。这个 AI 读过很多类似的建筑图纸，它会根据经验说：“嘿，我觉得如果把第 5 号砖换成‘零’或者‘最大数’，可能会出问题。”
比喻：这就像是一个经验丰富的老工匠，他不需要乱试，而是直接告诉你：“通常这种结构，把螺丝拧太紧或者太松都会坏。”AI 提供了最聪明的猜测方向。

第三步：魔法“瞬间证明” (Row-Vortex & Violation IOP)

这是 zkCraft 最厉害的地方。

传统做法：一旦怀疑某块砖有问题，就要把整个城堡拆了，重新搭一遍来验证。这非常慢，非常贵。
zkCraft 的做法：它发明了一种**“魔法契约”**。
1. 它把所有怀疑的砖块和 AI 的猜测，打包成一个**“魔法卷轴”**（Row-Vortex 多项式）。
2. 它不需要拆城堡，而是让一个**“数学巫师”（Prover）在卷轴上盖一个“魔法印章”**（零知识证明）。
3. 这个印章非常小（只有几十字节），但包含了所有证据。
4. 验证者只要看一眼印章，就能确信：“是的，这里确实有个漏洞，而且我知道具体是哪块砖错了。”
比喻：以前你要证明“这杯水有毒”，得把水喝下去（或者做昂贵的化验）。现在 zkCraft 只需要给你看一张**“毒液检测证书”**，你不用喝水，看一眼证书就知道水有毒，而且证书上还写着毒药的配方。

3. 为什么它很牛？

快如闪电：因为它只检查最可能出问题的地方，而且用“魔法印章”代替了繁琐的重新计算。以前需要跑几个小时的测试，现在几分钟甚至几秒钟就能搞定。
精准无比：它找到的漏洞都是实锤。一旦它说“这里有错”，那就一定是有错，而且还能直接告诉你怎么改（比如把那个数字改成 0）。
没有假警报：以前的工具经常误报（说这里有错，其实没有），zkCraft 几乎零误报。
AI 辅助但不依赖：它用 AI 来想“怎么改”，但用数学证明来“确认结果”。AI 负责出主意，数学负责把关，所以既聪明又安全。

4. 总结

zkCraft 就像是一个给隐私保护程序（零知识电路）做“压力测试”的超级工具。

它用AI来猜哪里容易坏（像老中医把脉）。
它用数学魔法来瞬间验证猜想（像照妖镜）。
它把原本需要几天几夜的“拆楼重建”式测试，变成了几秒钟的“盖章认证”。

这项技术让开发隐私保护应用（比如匿名投票、私密转账）变得更加安全、快速和可靠，让那些复杂的数学程序不再容易因为一个小错误而崩溃。

1. 研究背景与问题 (Problem)

零知识证明（ZK）电路是实现隐私保护和可扩展系统的基石，但其正确性验证极具挑战性。主要问题在于：

见证生成器（Witness Generator）与约束系统（Constraint System）的紧密耦合：编写正确的电路要求私钥计算（见证生成）必须与用于证明验证的约束系统精确对齐。
两类核心故障：
1. 欠约束（Under-constrained）：约束系统允许某些执行轨迹，但这些轨迹无法由合法的见证生成。这可能导致安全漏洞（如伪造身份、作弊）。
2. 过约束（Over-constrained）：合法的见证生成执行被约束系统错误地拒绝。
现有方法的局限性：
- 静态/基于模式的检测器：常遗漏仅在见证生成或特定输入下才显现的语义差异。
- 形式化验证/SMT：难以扩展到大型电路，且处理“程序编辑 + 输入分配”的组合搜索空间时效率低下。
- 传统模糊测试（Fuzzing）：依赖昂贵的求解器（Solver）调用，或产生大量低价值的无指导变异，导致误报率高或验证成本过大。
- LLM 辅助测试：虽然能生成语义丰富的测试模式，但通常与“带证明的搜索（Proof-bearing search）”脱节，导致验证提案昂贵或产生大量误报。

核心挑战：如何在不依赖大量昂贵求解器调用的情况下，高效、准确地发现 ZK 电路中的语义不一致性，并生成可审计的反例？

2. 方法论 (Methodology)

zkCraft 是一个原生的 ZK 框架，它将代数定位、简洁的违反证明（Violation IOP）和确定性的提示引导变异模板紧密结合。其核心流程分为三个阶段：

2.1 阶段一：稀疏签名提取与候选池构建 (Sparse Signature Extraction)

R1CS 感知定位：将 Circom 程序分解为 R1CS 矩阵（ $A, B, C$ ）。
诊断评分：为每一行约束计算诊断指标 $\kappa_w$ （见证变量交集）和 $\kappa_c$ （常量/公共项交集）。
指纹与排序：构建紧凑的每行指纹（Fingerprint）和标量分数 $s_i$ 。
候选池：选择分数最低（即最可能包含弱赋值点）的 $k$ 行（通常 $k \le 32$ ）作为候选编辑池 $R_{cand}$ 。此步骤线性于非零元素数量。

2.2 阶段二：Row-Vortex 承诺与违反 IOP (ZK-Native Engine)

这是 zkCraft 的核心创新，用单个零知识交互证明替代了传统的多次 SMT/SAT 查询循环。

Row-Vortex 多项式：将候选行选择和替换常数编码为一个双变量多项式 $R(X, Y)$ $R (X, Y)$ 。
- $X$ 编码行选择（ $\delta_i$ ）。
- $Y$ 编码替换常数（ $c_i$ ）。
违反 IOP (Violation IOP)：
- 目标：证明存在一组小的编辑集合 $(\delta, c)$ 和一个见证 $w'$ ，使得编辑后的约束满足 $F_{\delta,c}(w') = 0$ ，但公共输出 $y'$ 与原始输出 $y$ 不同（即 $\Delta_{out} \neq 0$ ）。
- 协议：利用 Sum-Check 协议和多项式承诺（如 HyperPlonk+ 或 BaseFold），将存在性陈述转化为一个简洁的代数恒等式。
- 优势：将组合搜索问题转化为单个可验证的代数陈述，大幅减少求解器交互。

2.3 阶段三：确定性有限域合成与反例提取 (Proof-as-Counterexample)

证明即反例：验证器成功验证简洁证明 $\pi$ 后，不仅确认了漏洞存在，还能从中提取具体的执行轨迹。
提取过程：
1. 打开承诺，恢复稀疏选择向量 $(\delta, c)$ 。
2. 如果证明中包含见证多项式 $W'(X)$ ，直接插值恢复 $w'$ ；否则，通过求解线性方程组 $F_{\delta,c}(w')=0$ 恢复 $w'$ 。
3. 将恢复的常数 $c$ 代入原始代码的弱赋值点，合成变异程序 $P'$ 。
4. 生成具体的反例三元组 $(x', z', y')$ ，无需重新运行完整的 TCCT 即可验证。

2.4 LLM 作为零样本变异模式预言机 (LLM Oracles)

角色：LLM 仅作为确定性模板生成器，不参与约束求解。
Mutation-Oracle：接收弱赋值语句，生成偏向边缘值（如 0, $q-1$ , 小常数）的右侧表达式变体。
Pattern-Oracle：接收已确认的反例，生成引导输入采样的 Rust 函数，聚焦于导致分歧的触发模式。
确定性：使用固定提示词（Prompt）和 Greedy 解码（Temperature=0），确保在相同种子下产生完全相同的变异集，保证可复现性。

3. 主要贡献 (Key Contributions)

ZK 原生搜索框架：首次将寻找微小漏洞编辑的问题映射为单个代数存在性陈述，通过 Row-Vortex 多项式编码，并由 Violation IOP 进行认证。
证明即反例 (Proof-as-Counterexample)：设计了一种机制，使得验证通过后的证明本身即可作为可审计的计数器例，无需额外的 TCCT 重放即可恢复具体的漏洞触发路径。
确定性 LLM 集成：提出将 LLM 作为“零样本变异模式预言机”，在保持与证明生成解耦的同时，利用其语义理解能力引导搜索方向，显著减少误报并加速收敛。
实用实现技术：
- 紧凑的每行指纹和评分启发式算法。
- 从证明嵌入编码中恢复具体替换的确定性有限域合成算法。
- 支持 Hybrid 模式（ZK 原生 + SMT 回退），适应不同规模的电路。

4. 实验结果 (Results)

在包含 452 个真实世界 Circom 电路（从小型到超大型，约束数从 <100 到 >10,000）的基准测试中进行了评估：

检测能力：
- 真阳性 (TP)：zkCraft 在所有规模类别中均发现了最多的独特漏洞（总计 88 个 TP），优于 Circomspect, ZKAP, Picus, ConsCS 和 ZKFUZZ 等基线工具。
- 精度 (Precision)：达到 100%（0 个假阳性 FP），而基线工具（如 Circomspect, ZKAP）的假阳性率较高（FP 率可达 30%-50%）。
- 未知漏洞：发现了 65 个之前未知的漏洞（包括所有权伪造、加密计算错误等），其中许多已被维护者确认并修复。
效率与成本：
- 求解器调用：ZK 原生路径将多次求解器调用替换为单个 IOP，显著降低了计算成本。
- 收敛速度：在 2 小时预算内，zkCraft 能在 100 秒左右发现大部分可检测的漏洞，远快于无指导搜索。
- 证明大小：使用 HyperPlonk+ 时，证明大小稳定在 96 字节（独立于电路大小，在特定参数范围内）；BaseFold 约为 218 字节。
消融实验：
- 移除 Row-Vortex 或 Violation IOP 会导致性能显著下降（慢 10-100 倍）或发现漏洞数量减少。
- LLM 模板加速了搜索收敛，但未引入假阳性。

5. 意义与影响 (Significance)

桥接形式化验证与自动化调试：zkCraft 成功结合了形式化验证的严谨性（通过 IOP 保证）和自动化模糊测试的扩展性，为 ZK 电路开发提供了一条可扩展的稳健路径。
解决“验证成本”瓶颈：通过“证明即反例”的机制，消除了传统方法中昂贵的验证循环，使得大规模电路的漏洞挖掘变得可行。
提升 ZK 安全性：能够发现深层的语义错误（如欠约束和过约束），这些错误往往被静态分析遗漏，对防止现实世界中的 ZK 系统（如 ZK-Rollup）被攻击至关重要。
LLM 在安全测试中的新范式：展示了如何将 LLM 作为确定性的、受控的启发式引导工具，而非不可靠的生成器，为 AI 辅助安全测试提供了新的设计思路。

总结：zkCraft 通过创新的代数编码和零知识证明技术，结合 LLM 的语义引导能力，解决了 ZK 电路模糊测试中效率低、误报高、验证难的问题，是目前该领域最先进的解决方案之一。