a16zがLattice Joltを発表：証明速度3倍、量子攻撃にも耐性

著者：a16z crypto

編集：深潮 TechFlow

深潮リード：zkVMは「証明が遅すぎる、サイズが大きすぎる」と批判されてきたが、a16zは今回、楕円曲線を格子暗号に置き換えることで、証明速度を3倍にし、証明サイズを100KB未満に圧縮した。これは現在、速度で従来の楕円曲線方式を上回る唯一のポスト量子方式であり、オンチェーン検証コストやプライバシー応用に直接的な影響を与える。

本日、私たちはLattice Joltを正式にリリースします。これは、当社のオープンソースzkVM（ゼロ知識仮想マシン）の最新バージョンです。Joltはもともと現在最速かつ最もシンプルなzkVMであり、そのアーキテクチャは変わりません。しかし、基盤となる暗号技術が変更されました：楕円曲線から格子暗号へ。この1つの変更が同時に3つのことをもたらします：

• Joltがポスト量子安全になります。
• 証明者と検証者の速度が2〜3倍向上します。
• Lattice Joltは、すべてのポスト量子zkVMの中で最短の証明を実現します：現在100KB未満で、今後さらに圧縮可能です。証明はオンチェーンに載せたり、ネットワーク間で転送したりする必要があるため、証明が小さいほど検証コストが低くなります。

これらの特性は、zkVMのすべてのユースケースをカバーします。同じ証明者が、GPU上では数十億のCPUサイクルを処理でき、スマートフォン上でも数百万サイクルを証明できます。どちらの場合も、開発者は通常のプログラムを書くだけで、専門知識を必要とする回路を手書きする必要はありません。これが、私たちがJoltを「万能SNARK」と呼ぶ理由です。

しかし、より大きなストーリーは、Lattice JoltがSNARKの設計と採用に与える意味です。現在市場に出ているほぼすべての実用化されたポスト量子SNARKは、ハッシュベースです。Lattice Joltは、格子ベースのSNARKがより高速でコンパクトになり得ることを証明しました。デジタル署名も同じ変遷をたどっています：ハッシュ方式は保守的な選択ですが、格子方式こそが世界で大規模に展開されているものです。私たちはSNARKも同じ道をたどると予想しており、このブログ記事の後半でその理由を説明します。

格子で楕円曲線を置き換える

Joltの以前の多項式コミットメント方式はDoryと呼ばれ、システム全体で唯一楕円曲線暗号に依存するコンポーネントでした。Lattice JoltはDoryをAkitaに置き換えます。Akitaは、Module-SIS格子仮定に基づく全く新しい多項式コミットメント方式です。Lattice Joltは、この標準的で十分に研究された仮定に基づき、完全な128ビットセキュリティを目標としています。

Module-SISとその兄弟であるModule-LWEは同じ仮定ファミリーに属し、世界のデジタルインフラはこのファミリーへ移行しつつあります。これらの仮定は、デジタル署名標準ML-DSAだけでなく、鍵確立標準ML-KEMも支えており、後者は世界で最も広く展開されているポスト量子プリミティブです。

Akitaの開発と実装は、LayerZeroの研究者とエンジニアが主導し、カーネギーメロン大学、南カリフォルニア大学の研究者、そしてa16z cryptoのエンジニアリングおよび研究チームが共同で参加しました。

Lattice Joltが高速な理由

Lattice Joltはポスト量子安全であるだけでなく、置き換えられた楕円曲線バージョンよりも高速です。

高速化は主に単純な理由から来ています。楕円曲線はJoltを256ビット体上で動作させることを強制しますが、格子暗号は128ビット体上で同等レベルのセキュリティを達成できます。Jolt証明者の主な作業は体要素の乗算（本質的には非常に大きな数の乗算）であるため、数値サイズが半分になると、各乗算が数倍高速になります。

Doryを搭載したJoltはすでに高速でした：前回のパフォーマンス更新では、Joltはノートパソコン上で毎秒約70万RISC-V（RV64IMAC）サイクルを証明でき、その後の最適化により曲線版Joltは毎秒100万サイクルを超えました。

Lattice Joltは同じマシン上で毎秒200万サイクル以上を証明できます。

過去6ヶ月の大半を、私たちはAkitaの開発とJoltへの統合だけでなく、Joltコードベースのゼロからの書き直しにも費やしました。Joltは以前からGPU上で良好に動作していましたが、今回の書き直しによりGPU実装の構築と最適化が容易になりました。

最初の成果はApple Metal実装で、Appleハードウェアに大幅な高速化をもたらしました。（Metalは、MacBookやiPhoneなどのデバイスに内蔵されたGPU上でコードを実行するためのAppleのフレームワークです。）

• GPU加速されたLattice Joltは、MacBook上で毎秒1000万以上のRV64IMACサイクルを証明できます。
• 純粋なCPUのLattice Joltは、同じマシン上で毎秒200万サイクル以上を証明できます。
• 曲線版Joltでさえ、Metal搭載のMacBook上では現在毎秒約400万サイクルで動作します。

つまり、1回のリリースで、MacBook上のJoltは毎秒約100万サイクル（曲線版、純粋なCPU）から1000万サイクル以上（格子版、Metal搭載）に向上しました。

これらの数字を大きな文脈で見ると：4年前に私たちが初めてSNARK証明者のオーバーヘッドを書いたとき、計算を証明することは直接実行するよりも数百万倍高価でした。Lattice Joltはこのオーバーヘッドを約1万倍にまで削減しました。これで終わりではなく、エンジニアリングとプロトコルレベルの最適化の余地は依然として存在します。

証明サイズは証明者の速度と同様に重要です。100KB未満のLattice Joltの証明は、他のポスト量子zkVMよりもはるかに小さく、他の方式の証明は200KB以上から約600KB以上まで様々です。

格子に切り替えたことで、Joltの元々優れていたメモリ使用量もさらに改善されました：証明者の空間使用量はサイクルあたり約300バイトから200バイトに削減されました。これは、スマートフォン上で数百万のRISC-Vサイクルを証明できることを意味します。

関連論文が近日公開され、Lattice Joltにゼロ知識性が追加されます。これはプライバシー応用に必要な特性です。

なぜハッシュではなく格子なのか

長年にわたり、SNARKコミュニティの注目（および基本的にすべての本番展開）は、ポスト量子安全への道としてハッシュベースSNARKに集中してきました。

しかし、格子SNARKと格子コミットメントに関する研究も継続的に行われており、LaBRADOR、Greyhound、LatticeFold、SuperNeo、そしてAkitaの直接の前身であるHachiなどが含まれます。Lattice Joltはこれらの研究の上に構築され、格子コミットメント層を高性能zkVMアーキテクチャに導入すると同時に、格子ベースSNARKが速度とコンパクト性において比類ないことを証明しています。

これは驚くべきことではありません。前述のように、同じパターンがデジタル署名ですでに起こっています。

暗号学者は多くの仮定に基づいて署名を構築してきました。ハッシュ署名は通常、最も保守的な選択肢と考えられています：そのセキュリティ仮定はシンプルで古いものです。しかし、世界は主に格子署名へ向かっています。なぜなら、それらはより短く高速だからです：

• ML-DSA署名は約数KBです。
• NIST標準化されたハッシュ代替案であるSLH-DSAは数倍大きくなります。
• 暗号化と鍵交換については、状況はさらに明確です：ハッシュ方式は選択肢として存在せず（不可能であることが証明されています）、ポスト量子展開は圧倒的に格子に基づいています。ML-KEM（NISTが2024年に確定した主要な鍵確立標準）は、すでに主要ブラウザや通信アプリでデフォルト展開され、ネットワーク上の多数のTLS接続で使用されています。

SNARKと署名の間の類推は表面的なものではありません。デジタル署名は本質的に、認可されたメッセージに対する秘密鍵の知識証明です。SNARKはこのパラダイムを狭いステートメントから任意の計算へと拡張します。したがって、SNARKの長期的な暗号学的展望が署名や暗号化の展望と全く異なるならば、それこそ奇妙なことです。

ここで誤解を解く価値があります：ハッシュSNARKは「ハッシュ関数のみに依存する」ため、保守的なポスト量子選択肢とよく言われます。これは、基盤となるハッシュ関数が非代数的である場合にのみ当てはまります。

今日、ほとんどのハッシュベースSNARK展開は、ハッシュが正しく評価されたことを低コストで証明するために、SNARKフレンドリーな代数的ハッシュ構造（Poseidonなど）に依存しています。これは特に再帰（ここでの再帰とは、有効なSNARK証明を保持していることを証明すること）にとって重要です。これらの構造は標準的なハッシュ関数よりも多くの構造を持ち、その暗号解析はまだ成熟していません。

要するに、私たちは代数的ハッシュ関数のセキュリティに自信を持っていません。それにもかかわらず、それらは今日、本番SNARKシステムで広く使用されています。（ただし、進歩の兆候があります：イーサリアム財団は最近、それらの使用を放棄すると発表しました。）

代数的ハッシュは、展開されたハッシュベースSNARKにおける唯一の隠れた仮定ではありません：多くのシステムは歴史的に、完全に証明された境界ではなく、推測的な近接ギャップ境界を使用して具体的なセキュリティレベルを設定してきました。最も強力と考えられていた境界のいくつかは、後に誤りであることが証明されました。

上記の推測を回避したハッシュベースSNARKでさえ、そのセキュリティ目標は通常128ビット未満です。なぜなら、完全な128ビットセキュリティは大幅なパフォーマンスオーバーヘッドをもたらすからです。なぜでしょうか？ハッシュベースSNARKは、128ビット体上で128ビットセキュリティを達成できません。なぜなら、その健全性誤差はn/|F|に比例してスケールし、ここでnは証明されるステートメントのサイズ、|F|は体のサイズです。したがって、128ビット体上で10億ステップのステートメントを証明すると、約30ビットのセキュリティが失われ、100ビット未満になります。対照的に、Lattice Joltの健全性誤差はlog(n)/|F|に比例してスケールし、同じ体上でほぼ完全な128ビットセキュリティを保持します（少量のlog(n)損失は標準技術で回復可能です）。

皮肉なことに、「保守的」なポスト量子選択肢として宣伝されている一部のシステムは、実際には代数的ハッシュ関数、推測的な近接ギャップ境界、および128ビット未満の目標セキュリティレベルに同時に依存しています。したがって、ハッシュベースSNARKは重要な方向性ですが、多くの人が考えるような低リスクの選択肢に自動的になるわけではありません。

1つのJolt、3つの基盤：曲線、格子、ハッシュ

私たちは一貫して、Joltは単一の暗号的基盤に縛られるべきではないと考えてきました。曲線、ハッシュ、格子に基づく成熟した高性能SNARKを持つべきです。異なる仮定とパフォーマンス特性が異なるシナリオに適しています。

しかし、デジタル署名を参照するならば、格子ベースのSNARKが最も広く展開されるポスト量子選択肢となるでしょう。

Joltはこの変遷において非常に有利な立場にあります。当初のJolt設計は、楕円曲線のコミットメントに特に有用な特性、すなわちスパースベクトルへの高速コミットメントを活用していました。格子コミットメントも同じ特性を持ちます：ベクトルのほとんどのエントリがゼロまたは小さい場合、ベクトルへのコミットメントコストは低く、Joltはほぼそのようなベクトルにのみコミットします。この特性により、Joltの残りの部分を変更せずにDoryをAkitaに置き換えることができました。

私たちはハッシュベースのJoltバージョンを構築する予定です。しかし、曲線ベースおよび格子ベースのJoltと比較すると、ハッシュベースのバージョンは空間効率が悪く、証明が大きく、様々な複雑な問題があります。これは、最も有望なハッシュベースSNARKがバイナリ体上で動作するためです。この数体系はハッシュ評価の証明には便利ですが、CPUの算術方式とは一致しません。この不一致により、通常のCPU乗算の証明が高価になります。それでも、デジタル署名の分野と同様に、エコシステムはすべての主要な仮定ファミリーの下でzkVMを持つべきです。

万能SNARK

Lattice Joltは、ビルダーがzkVMに求めるすべての要件を一度に満たします：ポスト量子、透明、高速、コンパクト、そして空間効率に優れています。LaBRADORからHachiに至る格子SNARK研究の系譜を本番レベルのzkVMに持ち込みながら、当初Joltを高速にした利点を一切放棄していません。

私たちの目標は、最も高性能なzkVMを誰でも使えるようにオープンソース化することだけでなく、特定のアプリケーション向けにSNARKを手動でチューニングする必要性を大幅に排除することです。これは、Joltが手動チューニングされた証明者と同じくらい高速であることを要求するものではありません。それは不可能な目標であり、CPUがすべてのタスクで専用ASICに匹敵することを要求するようなものです。Joltが許容可能なユーザーエクスペリエンスを提供できるほど高速であることだけが求められます。

クライアント側証明に関連する「小さな」ステートメント（今日、手動最適化回路がこれらのシナリオを支配しています）については、重要な基準はスマートフォン上で約1秒以内に証明を生成することです。Joltはすでにこれをほぼ実現しており、多数の高速化策が進行中です。

格子SNARKの時代が到来しました。