---
title: Hollow-LLM 论文称零知识推理证明无法证实运行的是大模型
dek: 南加州大学的研究人员描述了一种做法：服务商用一个小型语言模型提供服务，却能为声明的更大模型生成有效的零知识证明。论文列入了 2026 年 5 月 IEEE Symposium on Security and Privacy 的议程，其结论是：证明有效，并不表示服务商完成了所声明模型的计算。
disclosure: 本站编辑是本文所报道论文的合著者之一。
---
南加州大学的三名研究人员描述了一种攻击，对象是大语言模型（LLM）推理的零知识证明。在这种攻击中，服务商实际运行的模型要小得多，却能为其宣传的更大模型生成有效证明。论文已获 2026 年 IEEE Symposium on Security and Privacy 录用，会议议程将其安排在 2026 年 5 月 20 日的一个场次。作者于 7 月 30 日将论文发布到 arXiv。[^1, 2]

在零知识（ZK）推理中，服务商公布模型架构和对私有权重的密码学承诺。随后，它证明某个输出与二者相符，同时不泄露权重。作者称，这类证明系统仍然具备可靠性（soundness），即虚假的命题无法得到证明，但它们无法表明一个输出背后投入了多少计算。[^1]在他们提出的 Hollow-LLM 攻击中，服务商保留所声明的架构和参数量，承诺的却是作者所说的“幽灵权重”（ghost weights）。这些权重的代数结构让部分层把输入原样传递下去，并把宽层限制在一个很小的活跃子空间内。因此，服务商只需完成一个小得多的内部模型的计算就能响应请求，它的证明依然能通过验证。[^1]

作者的实验采用了现有 ZK 推理系统 zkGPT 的证明设置。实际执行的模型是一个 6 层 Transformer，对外声明的则是宽度加倍的 12 层模型。服务耗时保持在小模型的水平，以困惑度衡量的输出质量没有变化。证明开销则与一个真正达到声明规模的诚实模型相差无几。[^1]

论文附有一份程序委员会的元评审意见，认为夸大模型规模的动机不够充分。其理由是，规模差距大可能会暴露，差距小又可能省不了多少。[^1]

论文的威胁模型（即它所假定的场景）针对的是专有模型，其验证方只能看到公开的架构、权重承诺和证明。作者写道，据他们所知，目前还没有公司提供商用的实时 ZK 推理验证服务。他们还指出，行为审计可以抬高作弊者的成本，但无法提供保证。可信执行环境（TEE）是由硬件隔离的代码运行环境。作者也写道，TEE 缺乏公开可验证性。[^1]

:::analysis
在论文研究的专有模型场景中，证明是客户确认所宣传模型正在运行的主要证据。这项攻击表明，这份证据并不涵盖实际执行的计算。作者审视的每一种应对措施都留有缺口。实验使用的是小型 Transformer，因此在商业规模下，这类“掏空”攻击能节省多少、是否容易察觉，都还有待测量。
:::

:::checked
我们于 2026 年 10 月 20 日阅读了论文的 arXiv 记录页和全文（包括所附的元评审意见），以及研讨会的议程。议程页面没有标注日期，因此我们在来源列表中标注的是该论文所在场次的日期。我们没有复现实验，也没有测试任何 ZK 推理系统。
:::