a16z lance Lattice Jolt : des preuves 3 fois plus rapides et résistantes aux attaques quantiques

Auteur : a16z crypto

Compilation : TechFlow

Introduction de TechFlow : Les zkVM ont souvent été critiqués pour leurs « preuves trop lentes et trop volumineuses ». Cette fois, a16z remplace les courbes elliptiques par la cryptographie sur réseaux, rendant les preuves 3 fois plus rapides et réduisant leur taille à moins de 100 Ko. C'est actuellement la seule solution post-quantique capable de surpasser en vitesse les solutions traditionnelles à courbes elliptiques, avec un impact direct sur les coûts de vérification on-chain et les applications de confidentialité.

Aujourd'hui, nous lançons officiellement Lattice Jolt, la dernière version de notre zkVM open source (machine virtuelle à connaissance nulle). Jolt était déjà le zkVM le plus rapide et le plus simple, et son architecture n'a pas changé. Mais la cryptographie sous-jacente a été remplacée : des courbes elliptiques à la cryptographie sur réseaux. Ce changement apporte trois choses à la fois :

• Jolt devient post-quantique.
• Les vitesses du prouveur et du vérificateur augmentent de 2 à 3 fois.
• Lattice Jolt possède la preuve la plus courte parmi tous les zkVM post-quantiques : actuellement moins de 100 Ko, avec possibilité de compression supplémentaire. Les preuves doivent être publiées on-chain et transmises entre réseaux ; plus elles sont petites, plus les coûts de vérification sont faibles.

Ces caractéristiques couvrent tous les cas d'utilisation des zkVM. Le même prouveur peut traiter des milliards de cycles CPU sur GPU et prouver des millions de cycles sur un téléphone. Dans les deux cas, les développeurs écrivent des programmes ordinaires, sans avoir à concevoir manuellement des circuits nécessitant des connaissances spécialisées. C'est pourquoi nous appelons Jolt un « SNARK universel ».

Mais l'histoire plus large concerne l'impact de Lattice Jolt sur la conception et l'adoption des SNARK. Actuellement, presque tous les SNARK post-quantiques en production sont basés sur des fonctions de hachage. Lattice Jolt prouve que les SNARK basés sur les réseaux peuvent être plus rapides et plus compacts. Les signatures numériques connaissent la même transition : les solutions de hachage sont un choix conservateur, mais les solutions sur réseaux sont celles que le monde déploie à grande échelle. Nous prévoyons que les SNARK suivront cette voie, et la seconde moitié de cet article explique pourquoi.

Remplacer les courbes elliptiques par les réseaux

Le précédent schéma d'engagement polynomial de Jolt s'appelait Dory, et c'était le seul composant du système dépendant de la cryptographie sur courbes elliptiques. Lattice Jolt remplace Dory par Akita, un tout nouveau schéma d'engagement polynomial basé sur l'hypothèse Module-SIS. Lattice Jolt repose sur cette hypothèse standard et bien étudiée, visant une sécurité complète de 128 bits.

Module-SIS et son cousin Module-LWE appartiennent à la même famille d'hypothèses vers laquelle l'infrastructure numérique mondiale migre. Ces hypothèses sous-tendent non seulement la norme de signature numérique ML-DSA, mais aussi la norme d'établissement de clés ML-KEM, qui est déjà la primitive post-quantique la plus largement déployée au monde.

Le développement et l'implémentation d'Akita ont été menés par des chercheurs et ingénieurs de LayerZero, avec la participation de chercheurs de l'Université Carnegie Mellon, de l'Université de Californie du Sud, ainsi que de nos équipes d'ingénierie et de recherche chez a16z crypto.

Pourquoi Lattice Jolt est plus rapide

Lattice Jolt n'est pas seulement post-quantique, il est plus rapide que la version à courbes elliptiques qu'il remplace.

L'accélération provient principalement d'une raison simple. Les courbes elliptiques obligent Jolt à travailler sur un corps de 256 bits, tandis que la cryptographie sur réseaux atteint le même niveau de sécurité sur un corps de 128 bits. Le travail principal du prouveur Jolt est la multiplication d'éléments du corps (essentiellement la multiplication de très grands nombres), donc réduire la taille des nombres de moitié rend chaque multiplication plusieurs fois plus rapide.

Jolt avec Dory était déjà rapide : notre dernière mise à jour de performance montrait que Jolt pouvait prouver environ 700 000 cycles RISC-V (RV64IMAC) par seconde sur un ordinateur portable, et des optimisations ultérieures ont poussé la version à courbes au-delà d'un million de cycles par seconde.

Lattice Jolt peut prouver plus de 2 millions de cycles par seconde sur la même machine.

Au cours des six derniers mois, nous avons non seulement développé Akita et l'avons intégré à Jolt, mais nous avons également réécrit entièrement la base de code de Jolt. Jolt fonctionnait déjà bien sur GPU, mais cette réécriture a rendu l'implémentation GPU plus facile à construire et à optimiser.

Le premier résultat est une implémentation Apple Metal, apportant une accélération considérable au matériel Apple. (Metal est le framework d'Apple pour exécuter du code sur les GPU intégrés aux appareils comme les MacBook et les iPhone.)

• Lattice Jolt accéléré par GPU peut prouver plus de 10 millions de cycles RV64IMAC par seconde sur un MacBook.
• Lattice Jolt purement CPU peut prouver plus de 2 millions de cycles par seconde sur la même machine.
• Même la version à courbes de Jolt atteint désormais environ 4 millions de cycles par seconde sur un MacBook avec Metal.

Autrement dit, en une seule version, Jolt sur MacBook est passé d'environ 1 million de cycles par seconde (version à courbes, CPU pur) à plus de 10 millions de cycles par seconde (version sur réseaux, avec Metal).

Mettons ces chiffres en perspective : il y a quatre ans, lorsque nous avons écrit pour la première fois sur les surcoûts des prouveurs SNARK, prouver un calcul coûtait des millions de fois plus cher que de l'exécuter directement. Lattice Jolt réduit ce surcoût à environ dix mille fois. Ce n'est pas fini : il reste des possibilités d'optimisation au niveau de l'ingénierie et du protocole.

La taille de la preuve est tout aussi importante que la vitesse du prouveur. À moins de 100 Ko, la preuve de Lattice Jolt est déjà bien plus petite que celle des autres zkVM post-quantiques, dont les preuves vont de plus de 200 Ko à environ 600 Ko ou plus.

Le passage aux réseaux améliore également l'empreinte mémoire déjà excellente de Jolt : l'utilisation d'espace du prouveur passe d'environ 300 octets par cycle à 200 octets. Cela signifie que vous pouvez prouver des millions de cycles RISC-V sur un téléphone.

Un article complémentaire sera bientôt publié, ajoutant la propriété de connaissance nulle à Lattice Jolt, une propriété nécessaire pour les applications de confidentialité.

Pourquoi les réseaux plutôt que les fonctions de hachage

Pendant des années, l'attention de la communauté SNARK (et pratiquement tous les déploiements en production) s'est concentrée sur les SNARK basés sur le hachage comme voie vers la sécurité post-quantique.

Mais il existe aussi une ligne de recherche continue sur les SNARK et les engagements sur réseaux, couvrant LaBRADOR, Greyhound, LatticeFold, SuperNeo, et le prédécesseur direct d'Akita, Hachi. Lattice Jolt s'appuie sur ces recherches, introduisant la couche d'engagement sur réseaux dans une architecture zkVM haute performance, tout en prouvant que les SNARK sur réseaux sont inégalés en vitesse et en compacité.

Cela ne devrait pas surprendre. Comme mentionné, le même schéma s'est déjà produit avec les signatures numériques.

Les cryptographes ont construit des signatures basées sur de nombreuses hypothèses. Les signatures par hachage sont généralement considérées comme le choix le plus conservateur : leurs hypothèses de sécurité sont simples et anciennes. Mais le monde se tourne principalement vers les signatures sur réseaux, car elles sont plus courtes et plus rapides :

• Les signatures ML-DSA font environ quelques Ko.
• L'alternative de hachage standardisée par le NIST, SLH-DSA, est plusieurs fois plus grande.
• Pour le chiffrement et l'échange de clés, la situation est encore plus claire : il n'existe aucune option de hachage (il est prouvé que c'est impossible), et les déploiements post-quantiques sont massivement basés sur les réseaux. ML-KEM (la principale norme d'établissement de clés finalisée par le NIST en 2024) est déjà déployée par défaut dans les principaux navigateurs et applications de messagerie, et utilisée dans un grand nombre de connexions TLS sur Internet.

L'analogie entre SNARK et signatures n'est pas superficielle. Une signature numérique est essentiellement une preuve de connaissance d'une clé privée pour un message autorisé. Les SNARK étendent ce paradigme d'une déclaration étroite à des calculs arbitraires. Il serait donc étrange que le paysage cryptographique à long terme des SNARK soit complètement différent de celui des signatures et du chiffrement.

Il y a aussi un malentendu à clarifier : les SNARK par hachage sont souvent présentés comme un choix post-quantique conservateur parce qu'ils « ne reposent que sur des fonctions de hachage ». Cela n'est vrai que si la fonction de hachage sous-jacente est non algébrique.

Aujourd'hui, la plupart des déploiements de SNARK basés sur le hachage dépendent de constructions de hachage algébriques adaptées aux SNARK (comme Poseidon) afin de prouver à faible coût que le hachage a été correctement évalué. C'est particulièrement important pour la récursivité (ici, la récursivité signifie prouver que vous détenez une preuve SNARK valide). Ces constructions ont plus de structure que les fonctions de hachage standard, et leur cryptanalyse est encore immature.

En bref, nous n'avons pas confiance dans la sécurité des fonctions de hachage algébriques. Malgré cela, elles sont encore largement utilisées dans les systèmes SNARK en production. (Il y a cependant un signe de progrès : la Fondation Ethereum a récemment annoncé qu'elle les abandonnerait.)

Les hachages algébriques ne sont pas la seule hypothèse cachée dans les SNARK basés sur le hachage déployés : de nombreux systèmes ont historiquement utilisé des bornes de proximité spéculatives pour fixer des niveaux de sécurité concrets, au lieu d'utiliser des bornes entièrement prouvées. Certaines de ces bornes, considérées comme les plus solides, se sont révélées fausses par la suite.

Même en évitant les SNARK basés sur le hachage spéculatifs mentionnés ci-dessus, leur objectif de sécurité est généralement inférieur à 128 bits, car une sécurité complète de 128 bits entraînerait des surcoûts de performance significatifs. Pourquoi ? Les SNARK basés sur le hachage ne peuvent pas atteindre 128 bits de sécurité sur un corps de 128 bits, car leur erreur de solidité évolue en n/|F|, où n est approximativement la taille de l'énoncé prouvé et |F| la taille du corps. Ainsi, prouver un énoncé d'un milliard d'étapes sur un corps de 128 bits perd environ 30 bits de sécurité, la faisant passer sous 100 bits. En revanche, l'erreur de solidité de Lattice Jolt évolue en log(n)/|F|, préservant presque la totalité des 128 bits de sécurité sur le même corps (la petite perte en log(n) peut être récupérée par des techniques standard).

Ironiquement, certains systèmes présentés comme des choix post-quantiques « conservateurs » reposent en réalité à la fois sur des fonctions de hachage algébriques, des bornes de proximité spéculatives et des niveaux de sécurité cibles inférieurs à 128 bits. Ainsi, bien que les SNARK basés sur le hachage soient une direction importante, ils ne constituent pas automatiquement l'option à faible risque que beaucoup imaginent.

Un Jolt, trois fondations : courbes, réseaux et hachage

Nous avons toujours pensé que Jolt ne devait pas être lié à une seule fondation cryptographique. Nous devrions disposer de SNARK matures et performants basés sur les courbes, le hachage et les réseaux. Différentes hypothèses et caractéristiques de performance conviendront à différents scénarios.

Mais si l'on se réfère aux signatures numériques, les SNARK basés sur les réseaux deviendront le choix post-quantique le plus largement déployé.

Jolt est dans une position exceptionnellement avantageuse pour cette transition. La conception initiale de Jolt exploitait des propriétés des courbes elliptiques particulièrement utiles pour les engagements, notamment l'engagement rapide de vecteurs creux. Les engagements sur réseaux possèdent la même propriété : lorsque la plupart des entrées d'un vecteur sont nulles ou petites, l'engagement du vecteur est peu coûteux, et Jolt n'engage presque que ce type de vecteurs. Cette propriété nous a permis de remplacer Dory par Akita tout en gardant le reste de Jolt inchangé.

Nous construirons une version de Jolt basée sur le hachage. Mais comparée aux Jolt basés sur les courbes et les réseaux, la version basée sur le hachage est moins efficace en espace, produit des preuves plus grandes et présente divers problèmes de complexité. Cela s'explique par le fait que les SNARK basés sur le hachage les plus prometteurs fonctionnent sur des corps binaires. Ce système numérique facilite la preuve de l'évaluation du hachage, mais ne correspond pas à l'arithmétique du CPU. Cette inadéquation rend coûteuse la preuve de multiplications CPU ordinaires. Même ainsi, l'écosystème devrait disposer de zkVM sous chaque grande famille d'hypothèses, comme dans le domaine des signatures numériques.

SNARK universel

Lattice Jolt répond en une seule fois à tous les besoins des développeurs pour un zkVM : post-quantique, transparent, rapide, compact et économe en espace. Il amène la ligne de recherche sur les SNARK sur réseaux, de LaBRADOR à Hachi, dans un zkVM de niveau production, sans abandonner aucun des avantages qui ont rendu Jolt rapide à l'origine.

Notre objectif n'est pas seulement de rendre open source le zkVM le plus performant pour tous, mais aussi de réduire considérablement la nécessité d'optimiser manuellement les SNARK pour des applications spécifiques. Cela n'exige pas que Jolt soit aussi rapide que des prouveurs optimisés à la main. Ce serait un objectif impossible, comme demander à un CPU de rivaliser avec des ASIC spécialisés sur chaque tâche. Cela exige seulement que Jolt soit assez rapide pour offrir une expérience utilisateur acceptable.

Pour les « petits » énoncés liés aux preuves côté client (où les circuits optimisés à la main dominent aujourd'hui), le critère clé est de générer une preuve en environ une seconde sur un téléphone. Jolt est déjà proche d'y parvenir, et de nombreux projets d'accélération sont en cours.

L'ère des SNARK sur réseaux est arrivée.