⚛️ quantum physics

Zero-Knowledge Proofs of Quantumness

本文通过形式化一种限制信息泄露的安全概念，并展示了如何利用可提取的非交互式参数将现有的量子性方案转化为零知识变体，从而引入了量子性的零知识证明概念，以防止恶意经典验证者利用量子证明者。

原作者： Duong Hieu Phan, Weiqiang Wen, Xingyu Yan, Jinwei Zheng

发布于 2026-09-22

📖 1 分钟阅读🧠 深度阅读

原作者： Duong Hieu Phan, Weiqiang Wen, Xingyu Yan, Jinwei Zheng

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在未来的几十年里，计算世界将迎来一场根本性的转变。几十年来，最强大的计算机一直是经典机器，以一种由一和零组成的线性方式处理信息。现在，新一代被称为量子计算机的设备正在兴起。这些机器基于奇特的量子物理定律运行，使其能够以经典计算机根本无法企及的速度解决某些问题。随着这些设备从理论走向现实，一个关键问题随之而来：一个使用标准计算机的人如何才能确定远程设备是真正的量子设备，而非仅仅是一个聪明的仿制品？这就是“量子性证明”（proofs of quantumness）所面临的挑战。这是一种数字握手，即量子机器必须向经典观察者证明其独特的能力。然而，这种交互过程隐藏着风险。正如一个人可能会试图欺骗银行柜员以提取并不属于自己的资金一样，不诚实的观察者可能会试图欺骗量子机器，让它为自己解决困难的问题，从而有效地在未付费的情况下窃取其计算能力。

一支研究团队通过引入一种称为“零知识量子性证明”（zero-knowledge proofs of quantumness）的新安全层，解决了这一漏洞。在他们的工作中，他们形式化了一种方法，使量子设备可以在不泄露任何可能被不诚实观察者利用的额外信息的情况下，证明其量子特性。研究人员表明，在现有系统中，恶意观察者可以通过操纵交互过程来提取有用的数据，例如一个大数的因数或复杂数学谜题的解，仅仅是通过伪装成标准的验证者。新的框架通过确保观察者获得的信息不超过标准非量子计算机所能生成的信息量，从而防止了这种情况。这意味着量子设备的独特力量得到了保护，观察者无法利用这种交互来获得不公平的优势。

研究人员专注于目前用于证明量子性的两种最显著的方法。第一种依赖于分解大数的难度，这对量子计算机来说很容易，但对经典计算机来说很难。第二种基于涉及数据误差的数学问题，即被称为“容错学习”（learning with errors）的问题。在这两种情况下，研究人员都发现了一种升级现有协议的方法。他们通过要求观察者（即经典验证者）在交互开始前提供一种特殊的数字证书来实现这一点。该证书证明观察者并非试图进行不诚实的操作或提取隐藏的秘密。它充当了一种保证，证明观察者行为是诚实的，或者至少不是恶意的。如果观察者试图使用伪造或操纵的数字来欺骗量子机器，他们在不知道秘密解的情况下无法产生这种证书，这使得欺骗行为失去了意义。

为了实现这一点，研究人员将量子证明与一种称为“可提取非交互式零知识论证”（extractable non-interactive zero-knowledge argument）的经典安全工具相结合。这种工具允许系统验证观察者是否拥有生成证书所需的必要秘密知识，而无需观察者透露该知识本身。如果观察者是诚实的，证书有效，则量子证明继续进行。如果观察者是恶意的并试图使用伪造的数字，他们就无法生成有效的证书，交互就会失败。这创建了一个量子设备免受剥削的系统。研究人员证明，这种方法对于基于因数分解的方法和基于容错学习的方法都有效。他们证明了一台经典计算机模拟该交互过程可以产生与量子计算机完全相同的结果，这意味着没有额外的额外信息泄露。

这项工作的意义在于它能够保护量子设备所有者的利益。在未来量子计算作为一种服务提供的场景中，用户可能希望在支付费用之前验证服务器是否真的是量子服务器。如果没有这个新的安全层，不诚实的用户的确可能通过欺骗服务器来免费解决困难问题，或者更糟，提取本应由用户自己解决的问题的解。通过实施零知识量子性证明，研究人员确保了验证过程本身不会成为盗窃的漏洞。量子服务器可以在不泄露任何秘密或计算优势的情况下展示其力量。

该研究还强调了看待这些交互方式的一个微妙但重要的转变。传统上，这些证明中的安全性侧重于确保量子机器没有撒谎。这种新方法则反转了局面，侧重于确保观察者没有撒谎。它将观察者视为需要受到约束的一方，要求他们证明自己没有进行恶意行为。这种双重角色——即证明者和验证者在进行量子测试的同时，还要参与经典的安全检查——创造了一个更稳健的系统。研究人员发现，对于因数分解法，观察者必须证明他们知道一个数字的因数；对于容错学习法，他们必须证明他们知道与数据相关的秘密密钥。在这两种情况下，这种证明要求都阻止了观察者将量子机器作为解决自身难题的工具。

虽然研究人员成功地转化了这两种特定的方案，但他们也承认，并非每种证明量子性的方法都能如此轻松地升级。一些现有的方法依赖于不同的假设，或者不符合其研究中所使用的标准“挑战-响应”格式。例如，基于随机模式采样的方法较难适配，因为它们不遵循相同的交互结构。研究人员建议，虽然他们的方法对于最常见的方案非常强大，但寻找一种适用于所有类型量子证明的通用解决方案仍然是一个开放性的问题。他们还指出，为了使系统能够完全抵御未来的量子计算机攻击，用于证书的底层经典工具本身也必须具备抗量子攻击的能力。他们提到了现有的数学构造可以提供这种水平的安全性。

最终，这项工作为更安全的量子验证未来提供了蓝图。它将该领域从简单的能力测试转向了安全的、无需信任的交互，使量子设备的权力得到了尊重。通过将“零知识”的概念形式化到这一语境中，研究人员表明，在不损害量子机器完整性的情况下，验证量子性是可能的。这是迈向量子服务实际部署的关键一步，确保了向量子时代的过渡建立在安全与信任的基础之上。其结果是一个既能展示量子计算的独特力量，又无需担心被寻求窃取其秘密的人利用的系统。

=== 技术摘要：量子性零知识证明 (Zero-Knowledge Proofs of Quantumness) ===

问题陈述

量子性证明 (Proofs of Quantumness, PoQ) 是旨在允许量子证明者向经典验证者证明其量子计算能力的密码协议。虽然现有的 PoQ 方案（例如基于分解或容错学习问题 LWE 的方案）解决了经典证明者伪装成量子设备的问题（完备性/可靠性），但它们缺乏针对恶意经典验证者的正式保护。

在当前的方案中，恶意验证者 ( $V^*$ ) 可能会利用交互过程来提取有用信息或在不支付计算成本的情况下解决难题。例如：

在基于分解的方案中，恶意验证者可以将挑战整数 $N$ 替换为特定的合数 $N^*$ （例如来自 RSA 公钥的 $N^*$ ），从而迫使量子证明者对其进行分解，有效地将一项困难的计算任务外包出去。
在基于 LWE 的方案（例如 [BCM+18]）中，虽然验证者不一定能直接解决 LWE 实例，但量子证明者生成的交互记录包含了经典证明者无法拥有的信息。恶意验证者可能会利用这种交互来获得超越仅仅是验证量子性的优势。

核心问题在于缺乏一种形式化手段来防止验证者在证明过程中提取有用信息。本文提出了一个问题：是否存在一种“零知识”量子性证明，能够让证明者在展示量子能力的同时，不泄露任何其他有用信息？

方法论

作者提出了零知识量子性证明 (Zero-Knowledge Proofs of Quantumness, ZKPoQ)。其核心直觉是：经典验证者从与量子证明者交互中所获得的信息，不应超过由一个模拟的经典证明者与同一验证者交互所能获得的信息。

核心技术方法：验证者侧零知识

论文指出，要求证明者生成零知识证明通常是不可行的。在基于 LWE 的方案中，验证者会用一个只有验证者自己知道的陈述（例如某个特定方程的见证/witness）来挑战证明者。证明者无法为一个它并不知晓的陈述生成零知识证明。

因此，作者提出了一个双重角色框架，其中验证者必须提供一个零知识证明，以声称其行为并非恶意。具体而言：

可提取非交互式零知识证明 (Extractable NIZK)： 验证者必须提交一个可提取的 NIZK 证明，以证实用于 PoQ 挑战的秘密参数（例如 $N$ 的分解因子或 LWE 秘密 $s$ ）的有效性。
通过提取进行模拟： 零知识属性的模拟器可以通过验证者的 NIZK 证明提取出秘密见证。利用该见证，模拟器可以完美地重现交互记录，而无需量子设备。
保持完备性/可靠性 (Soundness Preservation)： 为了防止经典证明者利用提取出的秘密来通过验证，NIZK 证明本身必须是零知识的。这确保了恶意经典证明者无法从证明中学习到秘密，并且必须独立解决底层的难题（分解或 LWE）才能通过验证。

主要贡献

1. ZKPoQ 的形式化定义

论文将 ZKPoQ 定义为一个满足以下三个属性的量子证明交互 (QPIP) 系统：

量子完备性 (Quantum Completeness)： 诚实的量子证明者以高概率被接受。
经典可靠性 (Classical Soundness)： 没有任何经典证明者能以非忽略概率通过验证。
计算零知识性 (Computational Zero-Knowledge)： 对于任何 PPT 验证者 $V^*$ ，存在一个 PPT 模拟器 $Sim_{V^*}$ ，使得 $V^*$ 与量子证明者交互的视图与 $V^*$ 与模拟器交互的视图在计算上是不可区分的。

2. 分解类 PoQ 的转换

作者展示了如何将基于 Shor 分解的 PoQ 转换为 ZKPoQ 方案（图 7）：

验证者生成 $N = p \cdot q$ 并提供关于分解因子 $(p, q)$ 的可提取 NIZK 证明。
量子证明者在继续执行前验证此证明。
安全性： 零知识属性依赖于 NIZK 的可提取性（允许模拟器获取 $p, q$ ）。可靠性则依赖于 NIZK 的零知识属性（防止经典证明者从证明中学习 $p, q$ ）。

3. LWE 类 PoQ 的转换

作者将 [BCM+18] LWE 基础的 PoQ 方案转换为 ZKPoQ 方案（图 8）：

验证者生成一个 NTCF 密钥 $k$ 以及对应的陷门 $t_k$ 。
验证者提供关于与 $k$ 相关的 LWE 秘密 $s$ 的可提取 NIZK 证明。
安全性： 与分解案例类似，模拟器提取 $s$ 来模拟协议。由于 NIZK 的零知识属性防止了经典证明者学习 $s$ 以从而通过验证，因此可靠性得到了维持。

4. 可行性与假设

这些转换依赖于在公共参考串 (CRS) 模型下存在 NP 的可提取 NIZK 证明。
论文指出，对于 ZKPoQ 方案本身，使用经典安全的可提取 NIZK 就足够了。然而，对于诸如可验证随机性或密钥租赁等量子证明者本身可能具有恶意的应用场景，则需要后量子安全的可提取 NIZK（基于 LWE）。

结果

论文确立了两个主要定理：

定理 1： 给定一个可提取的 NIZK，分解类 PoQ 方案可以转换为 ZKPoQ 方案。
定理 2： 给定一个可提取的 NIZK，基于 LWE 的 PoQ 方案 [BCM+18] 可以转换为 ZKPoQ 方案。

作者证明了这些转换后的方案满足量子完备性、经典可靠性和计算零知识性。他们明确展示了零知识属性如何防止恶意验证者利用量子设备来解决难题（如特定整数的分解或求解 LWE 实例）。

重要性与主张

论文将 ZKPoQ 定位为一种增强的安全概念，用于量子性证明。

监管验证者行为： 该框架有效地将验证者的行为从“恶意”调节为“诚实但好奇”，确保量子设备的计算能力在验证过程中不会被欺骗。
实际相关性： 在后量子时代，当经典用户订阅量子服务时，ZKPoQ 确保验证过程不会泄露量子服务器的能力或秘密。
局限性与开放问题： 作者承认，他们使用可提取 NIZK 的通用转换专门适用于挑战-响应协议（分解和 LWE）。他们指出，目前尚不清楚这种方法是否适用于其他基于 LWE 的协议（例如基于随机预言机的协议）或缺乏高效经典验证的非交互式方案（如玻色采样）。他们还指出，移除 CRS 模型（转向纯模型/plain model）是一个未来的研究方向。

总之，该论文提供了第一个关于量子性证明中零知识性的形式化定义，并提供了一种具体的、可证明安全的方法，用于升级现有的 PoQ 方案，以应对恶意验证者。