Sommario
L’11 agosto Attestable ha annunciato un seed da 20 milioni di dollari guidato da Altimeter Capital e TLV Partners. Il post di lancio dice: “The core technical obstacle, practical zero-knowledge proofs, was considered impossible. We solved it.”
Chi riceve l’output di un modello non ha oggi modo di verificare crittograficamente che sia stato prodotto da quel modello, con quei pesi, su quell’input. Le prove a conoscenza zero risolverebbero il problema in linea di principio, e la domanda è quanto costano.
Cosa dichiara il post tecnico dell’azienda
Il blog di Attestable dichiara due limiti temporanei che il post di lancio non riporta: “We support up to 16K tokens in the context window” e “Though we prove all non-linear operations in floating points, we quantize all matrix multiplications to integers”. Più avanti la stessa pagina scrive “Our only current limitation is dynamically quantizing the linear operations to 8-bit integers”, che è un’affermazione diversa dalla prima, e in un terzo punto “we use floating points for almost all of the operations during inference”.
I benchmark portano una qualificazione esplicita: “These are alpha results. There is still substantial optimization ahead of us.” L’hardware dichiarato è una singola H100. Su una sequenza singola da 16K token il post riporta 53 token al secondo, su un batch di quattro sequenze da 4K 77 token al secondo, con proof da 4,35 a 7,92 MiB e verifica da 157 a 648 ms su un verifier di riferimento su CPU. Il post non pubblica il tempo di proving in wall-clock né la memoria richiesta dal prover.
Il caso di studio è Gemma 4 31B, che la scheda pubblicata da Google indica con una finestra nativa di 256K token. I 16K dichiarati come limite del prover ne sono un sedicesimo, rapporto che ricaviamo dai due numeri.
Sul lato crittografico il post non nomina il proof system e non pubblica campo, numero di query FRI, parametri di grinding né un’analisi di soundness. Le affermazioni sulla sicurezza post-quantistica e sui 100 bit di sicurezza non sono ispezionabili dall’esterno.
I numeri della letteratura
Il preprint IACR ePrint 2025/535 di Xie, Lu, Fang, Wang e colleghi riporta nella sua unica tabella di prestazioni, intestata “Single-Core Performance”: VGG-16, 15,2 milioni di parametri, 2,2 secondi per immagine CIFAR-10; Llama-3, 8 miliardi di parametri, 150 secondi per token. Il paper non descrive il setup sperimentale e non risulta pubblicato in una sede con revisione, quindi il numero va letto come dichiarato dagli autori.
Moltiplicando quei 150 secondi per mille, calcolo nostro, una risposta da mille token supera le quarantuno ore di proving su un core. L’estrapolazione assume che il costo per token resti costante, cosa che il preprint non misura.
Il paper arXiv 2603.18046, NanoZK, misura per sotto-circuiti: un MLP costa circa 6,3 secondi di solo proving, che diventano circa 43 includendo il setup, con verifica intorno ai 22 millisecondi. L’attention passa da 0,9 secondi a d=16 fino a 184 secondi a d=256. Le proof end-to-end su blocco completo sono misurate fino a d=128, e il valore di circa 68 secondi per blocco a d=768 è dichiarato dagli autori come una proiezione su GPU, ricavata da uno scaling misurato e da un intervallo di accelerazione stimato. Gli autori aggiungono che “full soundness still requires verifying every layer”.
Il rapporto 1000x dichiarato in The Cost of Intelligence
Il preprint IACR ePrint 2026/1063, The Cost of Intelligence, riporta che una rete MLP, che il paper stesso definisce piccola senza darne le dimensioni, impiega circa 0,008 secondi per un forward pass e che dimostrare lo stesso passaggio con l’approccio di zkCNN richiede 0,6 secondi. Il paper commenta “on the order of a 1000x compute blowup”.
I due tempi che precedono quel commento danno un rapporto di 75, cioè 0,6 diviso 0,008, calcolo nostro, contro i 1000x dichiarati. Lo stesso rapporto compare nelle equazioni di costo del preprint, dove però rifacendo il conto i valori assoluti risultano diversi di un fattore dieci.
L’attestazione hardware, già in produzione
L’attestazione hardware risolve un problema vicino con un modello di fiducia diverso: invece di dimostrare matematicamente il calcolo, si dimostra che il calcolo è avvenuto dentro un ambiente misurato.
Google descrive nel brief tecnico di Private AI Compute, di novembre 2025, enclave AMD SEV-SNP per il frontend e una piattaforma TPU chiamata Titanium Intelligence Enclave per il serving, con questa regola: “Workload credentials are provisioned only upon successful validation of the node’s attestation against internal reference values”.
Anthropic ha pubblicato il 18 giugno 2025, con Pattern Labs, uno schema in cui un TPM misura ogni fase del boot e un keyserver rilascia le chiavi solo quando la misura corrisponde. Il documento dichiara il proprio stato di avanzamento: “This is just a sketch of our research to start a conversation; we’re still early in this work”.
Quali attacchi restano fuori da questa garanzia lo dichiarano i fornitori. Il whitepaper NVIDIA sul Confidential Compute della H100 elenca fra i vettori fuori ambito “Sophisticated Physical attacks” e “Denial of Service attacks”.
Cosa può mostrare oggi un’azienda a un revisore
Il livello di prova disponibile in produzione è il log. Su Amazon Bedrock la registrazione delle invocazioni è disattivata per impostazione predefinita, e quando è attiva il record contiene metadati e i corpi JSON di input e output fino a 100 KB, oltre i quali il contenuto finisce su S3 e nel log resta il riferimento.
Un log dimostra che l’invocazione è avvenuta, non quali pesi l’hanno servita.
Cosa ne pensiamo
Il post di lancio dice che il problema era considerato impossibile ed è stato risolto. Il blog della stessa azienda dichiara una finestra di contesto fino a 16K token, moltiplicazioni di matrici quantizzate a interi, risultati alpha e ottimizzazione ancora da fare. Sono due documenti di tipo diverso: uno annuncia un risultato, l’altro registra lo stato del prover.
I due gruppi di numeri non sono confrontabili fra loro. Attestable dichiara 53 token al secondo su una singola H100 per Gemma 4 31B, su sequenza singola da 16K e in benchmark che qualifica come alpha. IACR ePrint 2025/535 dichiara 150 secondi per token per Llama-3 8B su un singolo core. Cambiano hardware, modello e condizioni, quindi il rapporto fra le due cifre non misura un progresso.
Al 12 agosto non esiste un artefatto pubblico che permetta a un terzo di rieseguire quei benchmark, e senza proof system dichiarato l’analisi di soundness non è rivedibile.
Per chi deve decidere oggi il criterio è quale garanzia occorre. Se serve dimostrare a un revisore che un’inferenza è avvenuta in un ambiente controllato, l’attestazione hardware è disponibile adesso, entro il perimetro di minacce dichiarato dal fornitore, che per la H100 lascia fuori ambito gli attacchi fisici sofisticati e il denial of service. Se serve una prova crittografica che non richieda fiducia in nessun hardware, l’unico rapporto fra proving e inferenza ricavabile dai lavori citati è il 75 che ricaviamo dai due tempi di IACR ePrint 2026/1063 su una piccola rete MLP, e le misure end-to-end di NanoZK si fermano a d=128. Il confronto fra i due approcci si fa sulle condizioni dichiarate accanto ai numeri: modello, hardware, finestra di contesto e batch, più un artefatto che permetta di rieseguire la misura.
Fonti
- Attestable, Proving LLMs at Scale
- Attestable, Company
- IACR ePrint 2025/535, Xie, Lu, Fang, Wang e colleghi
- arXiv 2603.18046, NanoZK: Privacy-Preserving Verifiable Inference for LLM
- IACR ePrint 2026/1063, The Cost of Intelligence
- NVIDIA, Confidential Compute on NVIDIA Hopper H100 (WP-11459-001)
- Google, Private AI Compute technical brief
- Anthropic, Confidential Inference via Trusted Virtual Machines
- AWS, Monitor model invocation using CloudWatch Logs and Amazon S3