Каждый запрос к коммерческой ИИ-модели может оставлять более длинный след, чем большинство пользователей предполагает. API-ключ связан с аккаунтом, аккаунт — с деньгами, и за обоими накапливаются промпты. Фонд Ethereum (EF) формулирует проблему прямо: «Каждый вызов ИИ-API сегодня несет в себе личность». Именно эту связь призван разорвать zkAPI — новый инструмент Фонда.

Запущенный 1 октября Фондом Ethereum и Open Anonymity Project, zkAPI позволяет пользователю внести ETH, USDC — стейблкоин, обеспеченный долларом, — или другие поддерживаемые кредиты в хранилище Ethereum, а затем оплачивать запросы к ИИ, не сообщая платежному серверу, кто он. Провайдер ИИ получает запрос, но не платежные данные стоящего за ним пользователя.

Речь идет не только о финансах, но и о личном. «Промпты — это личное. Люди спрашивают у ИИ-моделей о своем здоровье, финансах, сомнениях», — говорится в блоге Фонда в публикации под названием «Introducing zkAPI: private usage credits for any API». Если таких вопросов под одним аккаунтом накопится достаточно, провайдер получит не просто счет — он получит многолетнюю историю того, о чем человек размышлял.

Хранилище, приватная заметка и доказательство с нулевым разглашением

Механизм zkAPI начинается с обычной транзакции в Ethereum. Пользователь вносит кредиты в контракт-хранилище, после чего средства представлены приватной заметкой, которую можно потратить, не раскрывая, какой именно изначальный депозит их предоставил. Как объясняется в описании EF, «zkAPI отделяет платеж от личности».

Затем программное обеспечение на устройстве пользователя генерирует доказательство с нулевым разглашением, подтверждающее, что оплаченная заметка покрывает запрошенные расходы и еще не была потрачена. Доказательства с нулевым разглашением — это семейство криптографических методов, позволяющих одной стороне доказать истинность утверждения, не раскрывая данных, стоящих за ним; они стали распространенным строительным блоком в решениях для приватности и масштабирования блокчейнов. Доказательство здесь подтверждает только валидность, поэтому сервер может авторизовать расход, не узнавая, какая заметка принадлежит пользователю.

Внутренняя механика довольно технична. Депозиты — это обязательства внутри дерева Меркла — структуры, позволяющей любому проверить включение депозита, не раскрывая, какая именно это запись — глубиной 32 уровня. При расходовании создаются односторонние серийные номера, называемые нуллификаторами, а доказательства Groth16 на кривой BN254 и хеширование Poseidon выполняют основную криптографическую работу. Нуллификатор выступает защитой от двойной траты: попытка потратить тот же баланс дважды раскрывает дубликат, а в рамках баланса протокол спроектирован так, чтобы заметка оставалась несвязываемой. Словами Фонда: «Пользователь, который остается в пределах своего баланса, остается несвязываемым».

Одноразовые ключи вместо постоянных аккаунтов

Самая остроумная часть происходит после авторизации платежа. Вместо того чтобы выдавать провайдеру ИИ постоянный API-ключ, привязанный к обычному клиентскому аккаунту, сервер zkAPI проверяет доказательство платежа и создает новый краткосрочный ключ с лимитом в долларах. Ключ существует только в памяти устройства пользователя, после чего промпт направляется напрямую провайдеру ИИ.

«Сервер, который обрабатывает деньги, никогда не видит контент, а провайдер, который видит контент, никогда не узнает платежные данные, стоящие за ключом», — пояснил Фонд.

Когда временный ключ истекает, провайдер фиксирует фактически израсходованную сумму в подписанном чеке об использовании. zkAPI вычитает эту сумму из приватной заметки пользователя, а не автоматически забирает весь лимит, поэтому одна авторизация может покрыть целую сессию вместо транзакции Ethereum на каждый вопрос.

Такое разделение намеренно: платежная система знает, что кто-то заплатил, ИИ знает, что кто-то спрашивал, и ни одна из сторон не должна знать достаточно, чтобы связать эти два факта. Сам Ethereum видит еще меньше. Публичный блокчейн может наблюдать депозиты, закрытия и выводы, но не то, что было куплено на баланс. Средства также можно вернуть, даже если серверы zkAPI исчезнут. «Вы можете закрыть баланс и вывести средства в блокчейн, даже если все серверы zkAPI исчезнут», — объясняется в блоге EF.

Ограничения плаща приватности

Однако невидимого плаща здесь нет. zkAPI отделяет платежные данные от использования API; он не скрывает то, что человек вводит в ИИ-модель. Провайдер по-прежнему получает промпты и ответы, потому что должен запускать модель. Сетевая информация также может выдать пользователя: стабильный IP-адрес, временные закономерности или повторяющееся поведение помогают связать якобы отдельные сессии.

Фонд столь же откровенно говорит о более тонком риске: «Содержимое общих промптов может служить отпечатками пальцев для всех, кто может читать эти промпты». Если постоянно упоминать одного и того же работодателя, членов семьи, привычки письма, рабочие документы или старую историю переписки, сам контент может начать восстанавливать личность по кусочкам. Пользователям, которым нужна более сильная сетевая анонимность, рекомендуется Tor — давно существующая анонимная сеть — и свежие цепочки для отдельных сессий, а репозиторий протокола помечает zkAPI как экспериментальный — обозначение, оставляющее простор для развития дизайна по мере продолжения разработки.

За пределами ИИ

ИИ — лишь первый через дверь. Та же система могла бы обрабатывать блокчейн-RPC-запросы, задачи с изображениями и видео, трафик VPN и сервисы взаимодействия машин, где программные агенты оплачивают работу, не ведя обычных клиентских аккаунтов.

Это делает предложение zkAPI более узким и одновременно более интересным, анонимный ИИ. Оно не обещает, что никто ничего не знает. Оно стремится гарантировать, что никто не знает всего.