a16z lance Lattice Jolt : des preuves 3 fois plus rapides avec sécurité post-quantique

Auteur : a16z crypto

Traduction : Deep潮 TechFlow

Lecture approfondie de Shenchao : Les zkVM ont longtemps été critiqués pour leurs preuves lentes et de grande taille. a16z remplace cette fois les courbes elliptiques par des réseaux de grilles, accélérant directement la vitesse des preuves de trois fois et réduisant leur taille à moins de 100 Ko. Il s'agit du seul schéma post-quantique actuel à surpasser les performances des solutions traditionnelles basées sur les courbes elliptiques, ayant un impact direct sur le coût de validation sur la chaîne et les applications de confidentialité.

Nous lançons aujourd’hui officiellement Lattice Jolt, la dernière version de notre zkVM (machine virtuelle à preuve nulle de connaissance) open source. Jolt était déjà le zkVM le plus rapide et le plus simple actuel, et son architecture n’a pas changé. Toutefois, la cryptographie sous-jacente a été remplacée : des courbes elliptiques aux cryptosystèmes basés sur les réseaux. Ce seul changement apporte trois améliorations simultanées :

• Jolt devient post-quantiquement sécurisé.
• La vitesse de prover et verifier est augmentée de 2 à 3 fois.
• Lattice Jolt détient la preuve la plus courte parmi tous les zkVM post-quantiques : actuellement inférieure à 100 Ko, avec possibilité de compression supplémentaire. Étant donné que les preuves doivent être enregistrées sur la chaîne et transmises entre réseaux, plus elles sont petites, moins le coût de vérification est élevé.

Ces fonctionnalités couvrent tous les scénarios d'utilisation de zkVM. Le même prouveur peut traiter des milliards de cycles CPU sur GPU et prouver des millions de cycles sur un téléphone. Dans les deux cas, les développeurs écrivent des programmes ordinaires, sans avoir à écrire manuellement des circuits nécessitant des connaissances spécialisées. C'est pourquoi nous disons que Jolt est un « SNARK universel ».

Mais la véritable histoire réside dans l'importance de Lattice Jolt pour la conception et l'adoption des SNARK. Actuellement, presque tous les SNARK post-quantiques déjà déployés sur le marché sont basés sur des fonctions de hachage. Lattice Jolt démontre que les SNARK basés sur les réseaux peuvent être plus rapides et plus compacts. Les signatures numériques connaissent la même transition : les schémas de hachage sont un choix conservateur, mais les schémas basés sur les réseaux sont ceux que le monde déploie à grande échelle. Nous prévoyons que les SNARK suivront le même chemin, et la seconde partie de ce billet expliquera pourquoi.

Le schéma de compromis polynomial précédent de Jolt s'appelait Dory, et c'était le seul composant du système dépendant de la cryptographie courbe elliptique. Lattice Jolt remplace Dory par Akita, un tout nouveau schéma de compromis polynomial basé sur l'hypothèse Module-SIS. Lattice Jolt s'appuie sur cette hypothèse standard et largement étudiée pour atteindre une sécurité complète de 128 bits.

Module-SIS et son homologue Module-LWE appartiennent à la même famille d'hypothèses, vers laquelle l'infrastructure numérique mondiale est en train de migrer. Ces hypothèses soutiennent non seulement la norme de signature numérique ML-DSA, mais aussi la norme d'établissement de clé ML-KEM, qui est déjà le primitive post-quantique le plus largement déployé au monde.

Le développement et la mise en œuvre d'Akita sont dirigés par les chercheurs et ingénieurs de LayerZero, en collaboration avec des chercheurs de l'Université Carnegie Mellon, de l'Université de Californie du Sud, ainsi que notre équipe d'ingénierie et de recherche chez a16z crypto.

Lattice Jolt n'est pas seulement post-quantiquement sécurisé, il est plus rapide que la version courbe elliptique qu'il remplace.

L'accélération provient d'une raison simple : la courbe elliptique oblige Jolt à travailler sur un champ de 256 bits, tandis que la cryptographie basée sur les réseaux atteint le même niveau de sécurité sur un champ de 128 bits. Le travail principal du prouveur Jolt consiste en des multiplications d'éléments de champ (essentiellement des multiplications de nombres extrêmement grands) ; donc, en divisant par deux la taille des nombres, chaque multiplication devient plusieurs fois plus rapide.

Jolt avec Dory est déjà rapide : notre dernière mise à jour de performance a montré que Jolt pouvait prouver environ 700 000 cycles RISC-V (RV64IMAC) par seconde sur un ordinateur portable, et les optimisations ultérieures ont fait dépasser à Jolt la version courbe les 1 million de cycles par seconde.

Lattice Jolt peut prouver plus de 2 millions de cycles par seconde sur la même machine.

Pendant la majeure partie des six derniers mois, nous avons non seulement travaillé sur le développement d’Akita et son intégration dans Jolt, mais nous avons également réécrit entièrement la base de code de Jolt. Bien que Jolt fonctionnait déjà bien sur GPU auparavant, cette réécriture a rendu l’implémentation GPU plus facile à construire et à optimiser.

Le premier résultat est une implémentation Apple Metal, qui apporte une accélération considérable aux appareils Apple. (Metal est un framework d'Apple permettant d'exécuter du code sur le GPU intégré aux appareils tels que les MacBook et les iPhone.)

• Lattice Jolt accéléré par GPU peut prouver plus de 10 millions de cycles RV64IMAC par seconde sur MacBook.
• Lattice Jolt entièrement basé sur le CPU peut prouver plus de 2 millions de cycles par seconde sur la même machine.
• Même la version courbe de Jolt peut désormais atteindre environ 4 millions de cycles par seconde sur un MacBook avec Metal.

Autrement dit, une seule publication a fait passer le nombre de cycles par seconde de Jolt sur MacBook de environ 1 million (version courbe, CPU uniquement) à plus de 10 millions (version grille, avec Metal).

Vus dans un contexte plus large : il y a quatre ans, lorsque nous avons pour la première fois évalué le coût du prouveur SNARK, produire une preuve coûtaient plusieurs millions de fois plus cher que d'exécuter directement le calcul. Lattice Jolt a réduit ce coût à environ dix mille fois plus cher. Ce n'est pas encore la fin : il reste encore des possibilités d'optimisation au niveau de l'ingénierie et du protocole.

La taille de la preuve et la vitesse du prouveur sont tout aussi importantes. Avec moins de 100 Ko, les preuves de Lattice Jolt sont bien plus petites que celles des autres zkVM post-quantiques, dont les preuves varient de plus de 200 Ko à environ 600 Ko ou plus.

Après le passage à Gr, l'occupation mémoire de Jolt, déjà excellente, s'est encore améliorée : l'utilisation de l'espace par le prover est passée de environ 300 octets par cycle à 200 octets. Cela signifie que vous pouvez prouver des millions de cycles RISC-V sur votre téléphone.

Un article scientifique associé sera bientôt publié, ajoutant la propriété de confidentialité par preuve à connaissance nulle à Lattice Jolt, une caractéristique essentielle pour les applications de confidentialité.

Pendant des années, l'attention de la communauté SNARK (ainsi que la quasi-totalité des déploiements de production) s'est concentrée sur les SNARK basés sur des fonctions de hachage, les considérant comme la voie vers la sécurité post-quantique.

Mais une ligne de recherche continue sur les SNARK et les compromis de réseau a toujours existé, couvrant LaBRADOR, Greyhound, LatticeFold, SuperNeo, ainsi que Hachi, prédécesseur direct d’Akita. Lattice Jolt s’appuie sur ces recherches en introduisant une couche de compromis de réseau dans une architecture zkVM à haute performance, tout en démontrant que les SNARK à base de réseau sont inégalés en termes de vitesse et de compacité.

Cela ne devrait pas surprendre. Comme mentionné précédemment, le même schéma s'est déjà produit avec les signatures numériques.

Les cryptographes ont conçu de nombreuses signatures basées sur diverses hypothèses. Les signatures de hachage sont généralement considérées comme le choix le plus conservateur : leurs hypothèses de sécurité sont simples et anciennes. Toutefois, le monde tend principalement vers les signatures basées sur les réseaux, car elles sont plus courtes et plus rapides :

• Les signatures ML-DSA font environ quelques KB.
• La solution de signature SLH-DSA normalisée par le NIST est beaucoup plus grande.
• Pour le chiffrement et l'échange de clés, la situation est plus claire : aucun schéma de hachage n'est possible (il a été prouvé que c'est impossible), et le déploiement post-quantique repose de manière écrasante sur les réseaux. ML-KEM (la norme principale d'établissement de clés identifiée par le NIST en 2024) est déjà déployée par défaut dans les navigateurs principaux et les applications de communication, et est largement utilisée dans les connexions TLS sur le web.

L'analogie entre SNARK et les signatures n'est pas superficielle. Les signatures numériques sont fondamentalement des preuves de connaissance de la clé privée d'un message autorisé. Les SNARK étendent ce paradigme d'une déclaration étroite à n'importe quel calcul. Il serait donc étrange que le paysage cryptographique à long terme des SNARK soit complètement différent de celui des signatures et du chiffrement.

Il existe également un malentendu à clarifier : les SNARK à base de hachage sont souvent présentés comme un choix conservateur post-quantique car « ils ne dépendent que de fonctions de hachage ». Cela n’est vrai que si la fonction de hachage sous-jacente n’est pas algébrique.

Aujourd'hui, la plupart des déploiements SNARK basés sur des fonctions de hachage reposent sur des constructions algébriques de hachage compatibles SNARK (telles que Poseidon) pour prouver à faible coût que le hachage a été évalué correctement. Cela est particulièrement important pour la récursivité (où la récursivité désigne la preuve que vous détenez une preuve SNARK valide). Ces constructions possèdent plus de structure que les fonctions de hachage standard, et leur analyse cryptanalytique n'est pas encore bien développée.

En résumé, nous n'avons pas confiance dans la sécurité des fonctions de hachage algébriques. Malgré cela, elles sont encore largement utilisées dans les systèmes SNARK de production. (Cependant, un signe de progrès est apparu : la Fondation Ethereum a récemment annoncé qu'elle abandonnerait leur utilisation.)

L'hypothèse d'algèbre de hachage n'est pas la seule hypothèse non démontrée utilisée dans les SNARK basés sur le hachage déployés : de nombreux systèmes ont historiquement utilisé des limites conjecturales de gap de proximité pour définir des niveaux de sécurité spécifiques, plutôt que des limites entièrement prouvées. Certaines de ces limites, considérées comme les plus fortes, ont ensuite été démontrées erronées.

Même en évitant les SNARK basés sur les fonctions de hachage mentionnés ci-dessus, leurs objectifs de sécurité sont généralement inférieurs à 128 bits, car une sécurité complète de 128 bits entraîne un coût de performance significatif. Pourquoi ? Les SNARK basés sur les fonctions de hachage ne peuvent pas atteindre une sécurité de 128 bits sur un corps de 128 bits, car leur erreur de fiabilité évolue selon n/|F|, où n correspond approximativement à la taille de la déclaration prouvée et |F| à la taille du corps. Ainsi, prouver une déclaration de un milliard d'étapes sur un corps de 128 bits entraîne une perte d'environ 30 bits de sécurité, la ramenant à moins de 100 bits. En comparaison, l'erreur de fiabilité de Lattice Jolt évolue selon log(n)/|F|, préservant presque complètement les 128 bits de sécurité sur le même corps (une petite perte liée à log(n) peut être récupérée grâce à des techniques standard).

Ironiquement, certains systèmes présentés comme des choix « conservateurs » post-quantiques dépendent en réalité à la fois de fonctions de hachage algébriques, de limites de gap de proximité spéculatives et d'un niveau de sécurité cible inférieur à 128 bits. Ainsi, bien que les SNARK basés sur le hachage constituent une direction importante, ils ne deviennent pas automatiquement les options à faible risque que beaucoup imaginent.

Nous avons toujours estimé que Jolt ne devrait pas être lié à une seule base cryptographique. Nous devons disposer de SNARK matures et hautement performants basés sur des courbes, des fonctions de hachage et des réseaux. Différentes hypothèses et caractéristiques de performance conviendront à différents scénarios.

Mais si l'on se réfère à la signature numérique, les SNARK basés sur les réseaux deviendront le choix post-quantique le plus largement déployé.

Jolt se trouve dans une position exceptionnelle pour cette transition. La conception initiale de Jolt exploite les propriétés des courbes elliptiques particulièrement utiles pour les compromis, notamment la possibilité de réaliser rapidement des compromis sur des vecteurs épars. Les compromis de réseaux possèdent les mêmes caractéristiques : lorsque la plupart des entrées du vecteur sont nulles ou petites, le coût du compromis est faible, et Jolt ne réalise presque que des compromis sur ce type de vecteurs. Cette caractéristique nous permet de remplacer Dory par Akita tout en conservant le reste de Jolt inchangé.

Nous allons construire une version de Jolt basée sur les fonctions de hachage. Toutefois, par rapport aux versions de Jolt basées sur les courbes et les réseaux, la version basée sur les fonctions de hachage est moins efficace en termes d'espace, produit des preuves plus volumineuses et présente divers problèmes de complexité. Cela s'explique par le fait que les travaux les plus prometteurs sur les SNARK basés sur les fonctions de hachage s'appuient sur le corps binaire. Ce système numérique facilite la preuve de l'évaluation des fonctions de hachage, mais ne correspond pas à la manière arithmétique des processeurs. Ce désalignement rend la preuve des multiplications classiques du processeur coûteuse. Malgré tout, l'écosystème devrait disposer d'un zkVM pour chaque grande famille d'hypothèses, comme c'est le cas dans le domaine des signatures numériques.

Lattice Jolt répond à tous les besoins des développeurs en matière de zkVM : post-quantique, transparent, rapide, compact et efficace en espace. Il transpose la feuille de route de recherche sur les SNARK de réseaux de LaBRADOR à Hachi dans un zkVM prêt pour la production, sans sacrifier aucun des avantages qui ont fait la rapidité initiale de Jolt.

Notre objectif n’est pas seulement de rendre open source le zkVM le plus performant pour que tout le monde puisse l’utiliser, mais aussi d’éliminer considérablement la nécessité d’optimiser manuellement les SNARK pour des applications spécifiques. Cela ne requiert pas que Jolt soit aussi rapide que les proveurs optimisés manuellement. C’est un objectif impossible, comparable à exiger qu’un CPU égale les ASIC dédiés pour chaque tâche. Il suffit que Jolt soit suffisamment rapide pour offrir une expérience utilisateur acceptable.

Pour les déclarations « petites » liées à la preuve client (où les circuits optimisés à la main dominent actuellement ces scénarios), le critère clé est de générer la preuve en moins d'une seconde sur un téléphone. Jolt est déjà proche de cette performance, et de nombreuses solutions d'accélération sont en cours de développement.

L'ère des SNARK est arrivée.

Ce contenu est fourni à titre informatif uniquement et ne doit pas être utilisé comme conseil juridique, commercial, financier ou fiscal. Pour ces questions, vous devriez consulter vos propres conseillers. Toute mention de titres ou d'actifs numériques est uniquement à des fins illustratives et ne constitue ni un conseil en investissement ni une offre de services de conseil en investissement. De plus, ce contenu n'est pas destiné à tout investisseur ou investisseur potentiel et ne doit en aucun cas servir de base pour prendre une décision d'investissement dans l'un des fonds gérés par a16z. (Les offres d'investissement dans les fonds a16z sont effectuées uniquement par le prospectus privé, les accords de souscription et les autres documents connexes de chaque fonds, et il est essentiel de lire intégralement ces documents.) Les investissements ou entreprises du portefeuille mentionnés, cités ou décrits ne représentent pas l'ensemble des investissements des outils gérés par a16z, et aucune garantie ne peut être donnée quant à la rentabilité de ces investissements ou quant au fait que d'autres investissements futurs auront des caractéristiques ou des résultats similaires. La liste des investissements effectués par les fonds gérés par Andreessen Horowitz (à l'exclusion des investissements pour lesquels l'émetteur n'a pas autorisé a16z à divulguer publiquement les informations, ainsi que des investissements en actifs numériques cotés non divulgués) est disponible à l'adresse https://a16z.com/investments/.

Les graphiques fournis dans le texte sont à titre indicatif uniquement et ne doivent pas servir de base à toute décision d'investissement. Les performances passées ne préjugent pas des résultats futurs. Ce contenu reflète uniquement la situation à la date indiquée. Toute prédiction, estimation, déclaration prospective, objectif, perspective et/ou opinion exprimée dans ces documents peut être modifiée à tout moment sans préavis et peut différer ou être contraire aux opinions exprimées par d'autres. Pour plus d'informations importantes, veuillez consulter https://a16z.com/disclosures.