南加州大学的三名研究人员描述了一种攻击，对象是大语言模型（LLM）推理的零知识证明。在这种攻击中，服务商实际运行的模型要小得多，却能为其宣传的更大模型生成有效证明。论文已获 2026 年 IEEE Symposium on Security and Privacy 录用，会议议程将其安排在 2026 年 5 月 20 日的一个场次。作者于 7 月 30 日将论文发布到 arXiv。[1, 2]

在零知识（ZK）推理中，服务商公布模型架构和对私有权重的密码学承诺。随后，它证明某个输出与二者相符，同时不泄露权重。作者称，这类证明系统仍然具备可靠性（soundness），即虚假的命题无法得到证明，但它们无法表明一个输出背后投入了多少计算。[1]在他们提出的 Hollow-LLM 攻击中，服务商保留所声明的架构和参数量，承诺的却是作者所说的“幽灵权重”（ghost weights）。这些权重的代数结构让部分层把输入原样传递下去，并把宽层限制在一个很小的活跃子空间内。因此，服务商只需完成一个小得多的内部模型的计算就能响应请求，它的证明依然能通过验证。[1]

作者的实验采用了现有 ZK 推理系统 zkGPT 的证明设置。实际执行的模型是一个 6 层 Transformer，对外声明的则是宽度加倍的 12 层模型。服务耗时保持在小模型的水平，以困惑度衡量的输出质量没有变化。证明开销则与一个真正达到声明规模的诚实模型相差无几。[1]

论文附有一份程序委员会的元评审意见，认为夸大模型规模的动机不够充分。其理由是，规模差距大可能会暴露，差距小又可能省不了多少。[1]

论文的威胁模型（即它所假定的场景）针对的是专有模型，其验证方只能看到公开的架构、权重承诺和证明。作者写道，据他们所知，目前还没有公司提供商用的实时 ZK 推理验证服务。他们还指出，行为审计可以抬高作弊者的成本，但无法提供保证。可信执行环境（TEE）是由硬件隔离的代码运行环境。作者也写道，TEE 缺乏公开可验证性。[1]

来源

  1. Hollow-LLM Attack: Computationally Trivial Weights in Zero-Knowledge Verification of LLM InferencearXiv (Chen Gong, Beijie Liu and Mengyuan Li) · 2026年7月30日
  2. IEEE Symposium on Security and Privacy 2026: AgendaIEEE Computer Society Technical Community on Security and Privacy · 2026年5月20日

核查或更正本页

更正
提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
验证记录

下方摘要可以说明你读到的文字是否与公开的源文件一致，但不能说明报道内容本身正确。这一摘要在构建时根据本页的 Markdown 源文件计算，并列入站点清单。

1cabc335e1fbc286a661ccdc2c495689262cbd56f8ff6c4ce136caef956133ae

查看源文件 · 清单