💻 computer science

Witnessd: Proof-of-process via Adversarial Collapse

本文介绍了 Witnessd，这是一个通过结合抖动密封（jitter seals）、可验证延迟函数（Verifiable Delay Functions）以及多层验证来建立“过程证明”（proof-of-process）的系统，旨在将针对 AI 生成作者身份的模糊怀疑，转化为针对特定、独立信任的系统组件的可证伪指控。

原作者： David Condrey

发布于 2026-02-03

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： David Condrey

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一份文档，有人声称：“这是我亲手写的，就在这个特定时间。”在数字世界中，我们通常通过检查数字签名来验证这一点。但签名就像是信件上的蜡封，它证明了你拥有那个蜡印模具，而不是证明你亲自写了信里的内容。你可以用机器人写好信，然后再盖上你的印章。

这篇论文介绍了一种全新的方法，用来证明一个人确实是在打字，而不仅仅是在签名。他们将这个系统称为 Witnessd，其核心理念被称为**“对抗性坍缩”（Adversarial Collapse）**。

以下是该系统的运作方式，通过简单的概念进行拆解：

1. 问题所在：“印章”与“双手”

目前，如果你想证明你写了某样东西，你会进行签名。但随着 AI 写作能力的提升，签名并不能告诉我们完成这项工作的是人类还是机器。

旧方式： “我有密钥，所以我签了名。”（证明所有权，而非创作过程）。
新方式： “我有证据证明我的手指以特定的节奏物理性地敲击了按键。”（证明创作过程）。

2. 解决方案：“抖动印记”（隐形墨水）

论文引入了一个微小的、不可见的工具，称为**“抖动印记”（Jitter Seal）**。你可以把它想象成在你打字时留在文档上的“幽灵指纹”。

当你使用键盘打字时，你的手指移动速度会有细微差别。系统会测量这些按键之间的极短停顿（微秒级）。但巧妙之处在于：它不仅仅记录时间，还会根据以下要素创建一个秘密且不可破解的代码：

你按下的按键（按手部区域分组）。
你的打字节奏。
此时此刻文档的具体内容。

它会在系统中注入一个极其微小、人类无法察觉的延迟（就像眨眼一样快），这个延迟在数学上与你的打字行为紧密相连。如果有人试图事后伪造这份文档，他们无法重建这种“幽灵指纹”，因为他们既没有那个秘密密钥，也没有在实时打字。

类比： 想象一位音乐家正在演奏一首曲子。录音证明了这首歌的存在。但如果你想证明音乐家当时确实是在现场演奏，你可能会观察他们在音符之间发出的细微、独特的呼吸声。如果没有亲临现场，你无法伪造这些呼吸。抖动印记就像是将这些呼吸声记录下来，并将其锁定在乐谱之中。

3. 策略：“对抗性坍缩”

这是该论文的核心哲学观点。通常，当有人质疑一份文档时，他们会说：“这可能是伪造的！”这是一种难以证伪的模糊怀疑。

作者提出：不要试图证明它是 100% 真实的。相反，要让质疑变得无法通过含糊其辞来完成。

他们将系统构建得像一座拥有五道围墙的堡垒，每道墙都由不同类型的卫兵把守：

抖动印记（Jitter Seal）： 证明你在打字。
时间锁（VDFs）： 证明时间确实流逝了（你无法通过“加速运行”来制造证明）。
公共时钟： 将时间锚定在诸如比特币网络或官方政府时间服务器等事物上。
双重检查： 检查按键动作是来自物理键盘还是来自计算机软件。
硬件锁： 利用计算机内置的安全芯片（TPM）来验证机器本身。

“坍缩”：
如果怀疑者说：“这份文档是伪造的！”系统会迫使他们停止猜测，转而进行具体的指控。要打破这个证明，他们不能仅仅说“它是假的”，他们必须说：

“黑客在下午 2:00 到 2:15 之间窃取了秘密密钥。”
“比特币网络在这一特定日期受到了操纵。”
“计算机的硬件芯片在打字开始前就遭到了物理篡改。”

如果他们无法指出具体的机制、时间和攻击方法，他们的怀疑就会“坍缩”，因为证据在面对具体的指控时依然屹立不倒。

4. 它证明了什么（以及没能证明什么）

论文非常明确地说明了其局限性：

它证明了： 一个人类在实时状态下，通过键盘物理性地输入了这些字符。
它并不能证明： 该人类拥有原始的思想。
它并不能证明： 该人类没有从 AI 那里复制粘贴文本。

“打字员”漏洞： 如果一个人坐下来，逐字敲出由 AI 生成的文本，Witnessd 系统仍然会判定：“是的，有一个人类物理性地输入了这些字符。”它证明的是打字的行为，而非思想的来源。

5. 结果

作者对该系统进行了 31,000 多次的测试。

真实打字： 100% 通过。
伪造尝试： 100% 失败。
速度： “幽灵指纹”的速度极快（微秒级），人类无法察觉，但计算机可以瞬间进行验证。

总结

这篇论文提出了一种建立数字文档信任的新方法。它不再询问“这个签名是否有效？”（这只能证明你拥有印章），而是通过寻找锁定在打字节奏中的隐形数学特征，来询问“是否有人类物理性地打出了这些内容”。

如果有人试图争辩文档是伪造的，系统会迫使他们停止说“这可能是假的”，转而说明“计算机在这一秒钟被以这种特定方法进行了黑客攻击”。如果他们无法证明这个具体的故事，那么他们的怀疑便会随之坍缩。

技术摘要：Witnessd：通过对抗性坍缩实现过程证明

1. 问题陈述

当前的数字证据系统存在一个根本性的鸿沟，即所有权与过程之间的脱节。虽然数字签名可以证明密钥持有权和内容认证，但它们无法验证人类是否物理性地创建了该内容。攻击者可以使用语言模型生成文本，在事后构建中间文档状态，并为每个哈希值签名，从而创建一个有效的签名链，但这种链条无法证明内容的来源。

现有方法在对抗环境下无法解决此问题：

检测系统依赖于不存在于竞争场景中的“地面真值预言机（ground truth oracle）”；如果攻击者控制了那 5% 的目标案例，那么 95% 准确率的检测器也是徒劳的。
认证依赖于对第三方社会信任的依赖，而这种信任可能会被破坏或胁迫。
密码学完整性（签名）证明了比特在签名后未被修改，但并未证明这些比特是由特定的物理过程产生的。

本文认为，证据系统的评估标准不应是检测准确率或认证机构，而应是其坍缩合理替代解释空间的能力。

2. 方法论

对抗性坍缩原则 (The Adversarial Collapse Principle)

其核心理论贡献是对抗性坍缩原则。论文假设，一个鲁棒的证据系统会迫使挑战者从模糊的怀疑转向具体的指控。

具体指控准则： 为了质疑证据，攻击者必须命名一个具体的机制、确定一个有界的时窗、暗示一个特定的能力水平，并提出可独立测试的声明。
对抗性坍缩： 当质疑某项证据需要针对多个具有独立信任假设的组件提出一系列具体的指控时，证据即实现了“坍缩”。仅仅质疑其中一个组件是不够的；要质疑整体，必须指控跨越不同信任边界（例如内核、硬件、第三方锚点）的协同破坏。

Jitter Seal（过程证明原语）

Jitter Seal 是一个旨在证明在文档创建期间发生了实时物理键盘交互的密码学原语。

机制： 系统在文档生成过程中注入微秒级的不可察觉延迟（500–3000 $\mu s$ ）。
密码学绑定： 每个 jitter 值都是通过 HMAC-SHA256 从会话密钥 ( $S$ $S$ ) 和六个绑定组件派生而来的：
1. 击键序号 ( $i$ )
2. 文档哈希 ( $H_i$ )
3. 时间戳 ( $t_i$ )
4. 区域转换 ( $Z_i$ )：编码键盘区域转换（8 个区域），但不泄露具体按键。
5. 间隔桶 ( $B_i$ )：将按键间隔量化为 10 个区间。
6. 前序 jitter ( $J_{i-1}$ )：确保链式完整性。
安全性： 没有会话密钥，攻击者无法伪造 jitter 序列。对于 $n$ 个样本，猜中有效 jitter 值的概率为 $(1/R)^n$ ，其中 $R$ 是 jitter 的范围。

Witnessd 架构

Witnessd 将 Jitter Seal 与五个独立的验证检查点集成，以强制执行对抗性坍缩原则：

第 0 层 (Jitter Seal)： 证明物理过程。
第 1 层 (可验证延迟函数 - VDF)： 使用 Pietrzak VDFs 来证明检查点之间经过了最小的流逝时间，防止时间压缩攻击。
第 2 层 (外部锚点)： 将时间戳锚定到公共第三方来源（通过 OpenTimestamps 的 Bitcoin 区块链或 RFC 3161 TSA），以防止本地时钟篡改。
第 3 层 (双源验证)： 通过交叉引用应用层流（如 CGEventPost）与硬件级流（USB/蓝牙 HID）来验证击键。有效的击键必须在两者中同时出现，且间隔在 50ms 以内。
第 4 层 (TPM/安全执行环境)： 可选的硬件证明，用于验证平台状态和单调计数器，以防止重放攻击。
第 5 层 (哈希链)： 将证据存储在默克尔山脉结构 (MMR) 中，以确保仅追加的完整性。

3. 主要贡献

对抗性坍缩原则： 一种新的证据系统评估标准，优先考虑迫使对方提出具体的、可测试的指控，而非模糊的怀疑。
Jitter Seal： 一种形式化的过程证明原语，将物理打字动态（时序、区域转换）与文档状态进行密码学绑定。
Witnessd 架构： 一个结合了 jitter seals、VDFs、外部锚点和双源验证的多层系统，构建了独立的信任边界。
安全性分析： 对残余攻击进行了形式化处理，证明击败该系统需要特定的、高层级的能力（例如内核级破坏、第三方串通），而非通用的伪造手段。
实证评估： 在数千次试验中对系统进行了实现与测试。

4. 结果与评估

论文报告了来自 31,000 次 jitter seal 试验和 700 多次系统测试的结果：

验证成功率： 1,000 个有效证明全部验证成功（100% 成功率）。
伪造失败率： 30,000 次攻击试验（伪造 jitter、不匹配的文档、错误的密钥）均未能通过验证（0% 成功率）。
伪造概率： 计算得出对于 50 个样本的序列，概率约为 $(1/2500)^{50} \approx 10^{-170}$ 。
性能：
- Jitter 计算：每个样本约 286 ns。
- Jitter 注入：500–3000 $\mu s$ （对人类而言不可察觉，比感知阈值低 5–27 倍）。
- VDF 验证：约 50 ms（后台进程）。
- MMR 追加：< 1 ms。

5. 重要性与主张

论文谦虚地指出，Witnessd 并不能阻止拥有足够强大能力的攻击者（特别是存在于捕获前的内核级攻击者， $C_3$ ）进行伪造。如果攻击者控制了内核，他们可以提取会话密钥并伪造证据。

然而，该系统的意义在于改变了举证责任：

它将模糊的怀疑（“这可能是伪造的”）转化为可证伪的指控（“内核在 14:00–14:47 窗口期内通过 CVE-XXXX 被破坏”）。
它确立了有效的证据需要人类物理性地输入内容（即使内容是 AI 生成的文本）。该系统证明的是输入过程，而非思想的认知来源。
通过要求跨越独立信任边界（硬件、操作系统、第三方锚点）的协同破坏，该系统使得成功攻击的成本和特异性远高于目前的基于签名的溯源技术。

作者得出结论，在对抗环境下，能够迫使对方提出具体、可测试指控的能力是一种独特且有价值的贡献，它将范式从“检测伪造”转向了“坍缩可否认性”。