IOGがCardano上でのRISC ZeroおよびSP1証明検証のためのZKラッパーを開発

Input Output Researchは、BN254楕円曲線上でGroth16証明を生成するRISC Zero、SP1などのシステムとCardanoアプリケーションを接続するために設計されたゼロ知識ラッパーを開発している。

このプロトタイプは、既存のZKツールによって生成される多くの証明をCardanoのスマートコントラクトが効率的に検証することを妨げている暗号互換性のギャップに対処するものだ。作業はなお技術的実現可能性の段階にあり、選定したコンポーネントは2027年初頭のエンジニアリング実装に向けて準備が進められている。

Groth16ラッパーがBN254上の証明をCardano向けに変換

ブロックチェーンのゼロ知識インフラの大部分は、BN254上のGroth16証明を用いている。Ethereumがこの曲線をサポートしたことで、開発者向けフレームワーク、アプリケーション、ZK仮想マシンが同じ暗号標準を採用する動きが促進された。

一方でCardanoがサポートするのはBLS12-381の演算である。Groth16自体は両方の曲線で利用可能だが、BN254上で作成された証明は、新たなプロトコル機能か、Plutusスマートコントラクト内で計算コストの高い算術処理を行わない限り、Cardano上で効率的に検証できない。

このプロトタイプは両環境の間に再帰的なラッピング層を導入する。BN254上の有効なGroth16証明を受け取り、BLS12-381上の第二の証明を生成することで、ネットワークがすでにサポートしている暗号演算を用いてCardanoが結果を検証できるようにする。

この変換は、実行者への信頼をユーザーに要求しない。外側の証明が、指定された検証鍵と公開入力に対して有効な元の証明が存在することを確認する。Cardanoは元の結果の背後にある計算を繰り返すことなく、その主張を検証する。

現在のツールキットはRISC ZeroとSP1をサポートしており、これらは開発者が汎用プログラムを実行し、そのプログラムが正しく実行されたことを示すコンパクトな証明を生成できるゼロ知識仮想マシンである。

ソース固有のプラグインが出力を共通形式に変換する。その後、ラッピングエンジンがBLS12-381上で主張を再現し、Cardanoアプリケーションに統合可能な検証コードを生成する。

Input Output Researchは、外側の証明システムとしてGroth16とPlonkを試験した。Groth16はラッピング処理が高速で、より小さい証明を生成したが、ラッパー回路のためのトラステッドセットアップを必要とする。Plonkは回路固有のセットアップを回避できる一方で、オフチェーンの証明時間が大幅に長くなる。

いずれの手法でも、Cardanoのオンチェーン検証の予算内に収まる最終証明が得られた。そのため主なトレードオフは、Plutusによる最終検証ではなく、証明生成とセットアップ要件にある。

RISC ZeroとSP1はクロスチェーン検証を支援し得る

RISC ZeroとSP1との互換性により、Cardanoの暗号環境向けにあらゆる計算を作り直すことなく、既存のZKプログラムやライブラリをCardano開発者が利用できるようになる。

研究に含まれる一例では、EthereumアカウントのERC-20残高を証明する。RISC Zeroが必要なEthereumのロジックを実行し、コミットされたネットワーク状態から残高を抽出して証明を生成する。ラッパーはその出力を、Cardanoのバリデータが検証できる形式へと変換する。

同じアーキテクチャは、選択したEthereumまたはBitcoinの状態を確認したり、外部プログラムの実行を検証したり、Cardanoの外部で計算が行われたことを示す暗号学的証拠を提供したりするためにも利用できる。

ワークショップでは、EthereumのライトクライアントであるHeliosの、SP1を用いた実装の可能性についても議論された。このようなシステムは、ゼロ知識環境内でEthereumのコンセンサス実行を証明し、Cardanoアプリケーションによる検証のためにコンパクトな結果を提出できる。

これらの機能は、他のブロックチェーンからの信頼できる情報に依存するライトクライアント、ブリッジ、ロールアップ、クロスチェーンプロトコルを支援し得る。ラッパー自体は資産を転送したり、ブリッジとして動作したりはしない。これは他のアプリケーションが自身のアーキテクチャに統合できる検証レイヤーを提供する。

この手法は重複する開発作業の削減にもつながる。あらゆる計算をCardanoネイティブのZK回路として実装する代わりに、RISC ZeroやSP1のエコシステムで提供されるソフトウェアを利用し、オンチェーン検証の前に最終証明を変換すればよい。

このツールキットは依然として実験用のプロトタイプである。サンプルは、証明生成、再帰的ラッピング、対応するCardano検証器の作成を網羅しているが、本番導入には引き続きエンジニアリング作業、セキュリティレビュー、外側の証明システムに関する最終決定が必要となる。

Plonky3とHalo2が残る検証作業を定義する

ワークショップでは、Cardanoのスマートコントラクトを通じてPlonky3の証明を検証するための実現可能性調査も発表された。

Plonky3は、STARKベースの証明システム向けのモジュラー型フレームワークである。多くのSNARKシステムで用いられる楕円曲線演算ではなく、主としてハッシュ関数と有限体演算に依拠するため、Cardanoのポスト量子研究に関連性が高い。

提案されている応用の一つは、ポスト量子署名の集約である。これらの署名は一つあたり数十キロバイトを要する場合がある一方で、ZK証明を用いれば複数の署名を単一の結果にまとめ、オンチェーンで保存または検証すべきデータ量を削減できる。

もう一つの可能な用途は、将来現在の楕円曲線署名から移行した後に残るレガシーUTXOに関するものだ。保有者は、アドレスに結び付いたシードを公開せずに、そのシードの知識を証明できる可能性がある。

実現可能性調査では、Plonky3の直接検証は依然としてCardanoの単一トランザクションの制限を超えることが判明した。最適化されたテスト証明は約186キロバイトで、約2億2000万のメモリユニットと750億のCPUユニットを必要とした。

個々のクエリ証明は個別に検証できるため、全体の処理はおよそ23件のトランザクションに分割可能だと研究者らは見積もった。Hydraでの実行や、チャレンジがあった場合にのみ完全な証明を検証するオプティミスティックな検証モデルも、代替案として議論された。

別途、Halo2のコスト見積もりツールは開発プロセスのより初期段階を対象とする。このツールは、Cardano上で提案する回路を検証するために必要な想定証明サイズ、検証鍵サイズ、暗号演算を算出する。

開発者は、アプリケーション全体を完成させる前に、回路をモデリングしたり、SHA-256などのコンポーネントを試験したりできる。見積もりにより、チームは高コストなコンポーネントを特定し、プロバーやCardano検証器を構築する前に設計を調整できる。

現時点では、Groth16ラッパーが研究プログラムから実務的な開発者利用へ至る最も直接的な経路である。これがエンジニアリング実装へと進めば、Cardanoのアプリケーションは、各外部システムがネイティブのBLS12-381サポートを導入するのを待たずに、確立されたzkVMエコシステムからの出力を検証できるようになる。Plonky3については、トランザクション間に検証を分割する、Hydraに移す、あるいはチャレンジベースの設計で有効化するなど、異なるアーキテクチャが必要となる。