Vitalik Buterin 的偏执模式测试 Ethereum 的 AI 隐私承诺

Vitalik Buterin 为其 AI 智能体加上了四层隐私保护，尽管他承认这一实验性方案仍然较慢，且容易受到流量分析攻击。Vitalik Buterin 的偏执模式结合了 Tor 路由、掩护流量、匿名支付和本地提示词改写。其目标是阻止 AI 提供商轻易将一段对话与发起该对话的人关联起来。

该原型发布于 Ethereum Foundation 和 Open Anonymity Project 在 Ethereum 主网上推出 zkAPI 两周之后。该系统通过零知识证明，将按量计费的 API 支付与用户的账单身份分离开来。Buterin 的封装方案试图处理仅靠支付隐私无法隐藏的信息，包括网络地址、时间模式和可识别的写作习惯。

这一差别对于正在考虑将自主智能体用于金融、研究或内部运营的机构而言至关重要。Ethereum 可以提供私密支付机制，但无法让外部模型忘记它必须处理的提示词。因此，这项实验检验了一个更棘手的命题：多项并不完整的保护措施，能否共同构成一个对实用 AI 智能体而言足够私密的运行环境。

Vitalik Buterin 的偏执模式增加四层隐私保护

Buterin 的实验将 AI 隐私视为一连串彼此独立的泄露点，而非单一的加密问题。

2026 年 10 月 16 日，Buterin 介绍了一个围绕其个人 AI 智能体框架构建、兼容 OpenAI 的守护进程。守护进程是一种在后台运行的程序，负责管理智能体与外部模型提供商之间的请求。

该方案为每段对话分配独立的 Tor 电路。Tor 会通过多个中继节点路由流量，使目标端无法直接看到用户的原始互联网地址。

在会话持续期间，每段对话都会保留其分配的电路。新会话将获得不同的电路和新的支付授权。这一设计限制了不同对话之间的直接关联，同时避免每条消息都承担性能成本。

Buterin 还将真实请求与随机掩护流量混合。掩护流量是指为了让观察者更难识别真实活动而发送的诱饵通信。该方法可隐藏被动监控中明显的请求峰值，但无法击败所有形式的时序分析。

本地语言模型会在提示词离开用户计算机之前对其进行改写。这一步旨在移除文风指纹、惯用表达以及其他可能识别作者身份的语言模式。

本地模型并不会让提示词内容变得不可见。它会改变表达方式，同时保留足够的含义，以便远程模型作出回答。姓名、文档、交易细节或不寻常的事实仍可能暴露用户身份。

随后，Buterin 在 bubblewrap 沙箱中运行该智能体。沙箱限制程序能够访问的文件、设备和网络资源。网络调用会经过 torsocks，后者将受支持的连接导入 Tor 网络。

支付层来自 zkAPI。软件不再出示与账户相连的传统 API 密钥，而是通过加密支付证明获取短期凭证。

Buterin 使用该组合系统测试了一个寻找 Tallinn 纯素餐厅的请求。这项任务刻意保持平常，但它检验了从本地改写到远程推理的完整路径。

他将这套技术栈形容为“已经相当可用”，同时指出启动新对话时仍存在显著延迟。这一承认比名称本身更准确地界定了该实验。偏执模式是一个带有明确妥协的可运行原型，而非完成的隐私产品。

公开代码也附带重要警告。zkAPI repository 将其支持隐私的分支描述为非生产版本。部分网络清单尚未部署，生产级证明材料也并不完整。

这些限定使该事件不只是一次功能发布。Buterin 构建了一个具体的威胁模型，并公开了各组件失效之处。其结果邀请那些需要保证、审计和运营问责机制的组织进行审视。

Ethereum 的 AI 安全推动为何此刻重要

AI 智能体会将普通隐私弱点转化为运营风险，因为它们结合了敏感上下文、外部工具和采取行动的权限。

标准聊天机器人接收文本并返回文本。智能体则可以维持记忆、检查文档、调用 API、执行代码，并与金融账户交互。这些额外能力创造了更有用的系统，但也扩大了身份泄露的后果。

投资智能体可能会接收投资组合细节、计划交易、钱包地址、税务问题和私密研究资料。企业智能体则可能处理客户记录、源代码、产品计划或法律文件。

即使提供商不要求真实姓名，多种信号仍可重建身份。互联网地址会暴露网络来源，支付方式会将使用行为关联到账户，写作风格和重复出现的事实则可将不同会话联系起来。

Ethereum Foundation 的 zkAPI launch 解决了该问题中的计费部分。用户将额度存入 Ethereum 金库，并获得代表其余额的私密票据。

当软件需要 API 访问权限时，它会生成零知识证明。该证明确认存在足够额度，但不识别原始存款或其所有者。

服务随后会发放具有有限支出额度的短期密钥。提示词会发送给模型提供商，而支付授权则通过独立路径传输。提供商能看到内容和使用情况，但不应获得付款人的账单身份。

当前设计在 BN254 曲线上使用 Groth16 证明。承诺值和空值标识符可防止观察者轻易将每次请求关联到同一笔存入余额。空值标识符是一种单向标识，用于阻止重复使用，同时不泄露底层秘密。

这种方法不同于通过可见的区块链交易为每次请求付款。直接链上支付可能暴露时间、钱包历史和服务之间的关系，也可能给交互式智能体带来不可接受的延迟。

zkAPI 转而授权一个会话。这样可减少重复的证明和结算工作，同时保持资金与单次请求之间的分离。

该系统的应用不止于 AI 推理。其架构还可支持其他按量计费服务，包括区块链数据调用、媒体生成、带宽或机器间任务。AI 仍是最清晰的测试案例，因为提示词往往包含私密或商业敏感信息。

机构对该系统的评判方式将不同于个人开发者。原型可以容忍手动配置和不断变化的接口，而银行、研究实验室或企业安全团队则需要稳定的控制措施、已记录的故障模式和独立审查。

这些买家还需要了解每个阶段由哪一方观察。支付服务器会看到有效授权和总使用量。模型提供商会看到提示词和回复。Ethereum 会记录存款与取款，但不会记录对话本身。

这种分离可以减少集中式数据收集，但无法消除数据暴露。对于机构用户而言，这一区别决定该系统是支持受监管工作负载，还是仅适用于低风险实验。

这一时机也反映了 AI 安全领域更大的变化。各组织正从笼统的隐私承诺，转向在设备、支付系统、网络和推理提供商之间分散信任的技术控制措施。

Buterin 的原型通过追问隐私是否应围绕智能体本身构建，为这一趋势施加了压力。如果智能体控制路由、改写、支付和权限，用户对提供商账户政策的依赖就会降低。

匿名支付并不等于匿名 AI

核心权衡很直接：Ethereum 可以隐藏付款者身份，而模型仍需要获得足够的信息才能完成所要求的工作。

private usage design 直接说明了这一限制。zkAPI 不提供网络匿名性，也无法阻止提示词内容造成的隐私泄露。

这一边界至关重要。零知识证明可以在不暴露资金关系的情况下确认支付，但无法阻止推理提供商读取提交处理的文本。

本地提示词改写试图减少这种暴露。小型模型可以移除惯用措辞、替换识别性短语，或在传输前概括某些细节。

然而，随着智能体接收更具体的工作，改写的作用会逐渐减弱。概述公开文档的请求很容易清理，而涉及私人合同、医疗记录或专有代码库的请求则困难得多。

移除过多上下文会降低回答质量。保留必要上下文则可能泄露用户本想保护的信息。没有任何路由技术能够解决这种内容与效用之间的冲突。

对话历史构成另一项弱点。孤立的提示词或许泄露的信息不多，但一连串提示词可以形成独特画像。重复出现的地点、项目、偏好和词汇会在不同会话间提供关联点。

独立的 Tor 电路无法阻止基于内容的关联，独立的支付凭证也无法做到。它们限制了特定标识符，却仍让模型提供商获得语义标识符。

智能体的工具也会产生信息。搜索查询、检索到的文档、交易调用和错误消息都可能暴露意图。如果某个工具后来发送未经修改的文件，改写后的用户提示词就难以提供多少保护。

沙箱应对的是另一类威胁。它限制遭入侵或被误导的智能体在本地机器上可接触的范围。这种保护很重要，因为智能体可能会遵循嵌入网站或文档中的恶意指令。

不过，沙箱只会执行其被授予的权限。如果智能体确实需要访问敏感文件夹，该文件夹中的内容仍可能进入其工作上下文。

因此，机构部署需要明确的数据边界。安全团队必须界定智能体可以检查哪些文件、可以调用哪些工具，以及哪些目的地能够接收输出。

它们还需要用于事件调查的日志。这一要求可能与不可关联性产生冲突。除非在本地处理审计，否则一个旨在抹除身份与使用行为之间联系的系统，可能会令内部问责更加困难。

其承诺并非完全匿名，而是分隔化处理，由不同参与方获知交易的不同部分。

这依然可能很有价值。模型提供商可以在不获得持久账单档案的情况下处理提示词；支付系统可以在不查看对话的情况下结算使用量；网络中继可以在不知道两个端点的情况下转发流量。

机构已经在金融托管和访问管理中采用类似的分离原则。任何单一运营者都不应拥有滥用系统所需的全部凭证、审批权限和记录。

但 AI 推理带来了一个不可避免的接收方。除非计算在本地或机密硬件内完成，否则远程模型必须接收有用内容。偏执模式会减少附带元数据，但无法消除这一基本依赖。

Tor 与掩护流量仍存在时序缺口

偏执模式提高了监控成本，但 Buterin 自己的威胁模型表明，随机诱饵流量无法保证不可关联性。

Tor 能够有效应对许多被动观察者。它通过多个节点转发流量，隐藏用户与目标之间的直接连接。

然而，AI 流量呈现出可识别的模式：用户发送提示词，服务提供商接收请求，然后返回响应。即使内容仍处于加密状态，数据包的时序和流量规模也可能形成可匹配的特征。

随机掩护流量会增加这种匹配的难度。伪造请求围绕真实活动出现，使观察者需要比对更多可能事件。

主动攻击者拥有更多选择。模型提供商可以故意延迟或改变响应流量。如果该提供商与入口中继节点合作，双方就可以寻找同一种被操纵的模式。

Buterin 在讨论其实现方案时指出了这种可能性。他倾向的长期解决方案是采用具备恒定掩护流量的专用混合网络（mixnet）。

混合网络会让消息经过多个中介节点，这些节点会延迟、重排并混合流量。恒定掩护流量即使在用户没有真实请求时，也会维持规律的数据流。

真实消息随后替换诱饵数据包，而不会改变可见的传输速率。观察者会在代理活动之前、期间和之后看到相同的模式。

这种更强的设计也带来直接成本。用户空闲时，恒定流量仍会占用带宽。混合机制会增加延迟，而全球分布式中继还会提升运维复杂度。

系统还需要足够多相互独立的中继运营商。如果一个组织控制了所选路径中的所有中继节点，它就能重建更多路由信息。

经济激励并不能自动解决这一问题。质押机制可以惩罚可衡量的失败，但无法证明名义上独立的运营商不存在共同所有者。

一个近期推出、使用 Paranoid Mode 名称的项目提出了三跳路径和质押中继。其网站表示，该项目独立于 Buterin 和 Ethereum Foundation。这一区别很重要，因为某项实现的存在并不等同于获得背书。

该独立网络还说明了另一项挑战：代币激励可能分散人们对安全评估的注意力。中继奖励、治理规则和罚没参数都不能替代密码学审查。

对 Tor 局限性的分析还指出，提供商仍会接收到经过改写的提示词。因此，流量保护与内容保护必须分开评估。

延迟仍是用户最明显的成本。Buterin 表示，新对话的启动速度更慢，因为每个会话都需要建立新的网络和支付状态。

对于敏感研究或高价值交易，组织可能会接受这种延迟。但对于需要快速工具调用的常规交互任务，它们接受的可能性较低。

掩护流量还带来了额外的财务问题。如果作为诱饵的模型调用到达付费提供商，成本将相当高。网络层数据包更便宜，但需要专门的基础设施来识别并安全丢弃掩护消息。

可行的设计必须决定诱饵流量在何处终止，以及由谁承担传输费用。它还必须防止中继在节省带宽的同时，假装发送了所需流量。

这些问题并未否定该原型。它们澄清了减少明显元数据与提供可辩护的匿名性保证之间的差距。

这种区别将决定偏执模式是停留在个人配置层面，还是成为机构 AI 的参考架构。

机构采用需要审计、控制与明确责任

机构会将这一技术栈视为一组安全依赖关系，而不是单一的 Ethereum 品牌隐私功能。

第一个依赖项是 zkAPI 本身。其公开仓库将该协议标记为实验性，并警告接口可能会在稳定版本发布前发生变化。

密码学系统需要的不只是能运行的代码。机构会关注独立审计、可复现构建、安全的参数生成流程，以及对已发现漏洞的明确响应机制。

智能合约风险同样存在。存入金库的资金依赖合约逻辑、证明验证和提现机制。隐私收益无法抵消可能锁定或错误转移资产的漏洞。

第二个依赖项是本地客户端。它处理钱包材料、会话凭证、提示词改写和路由决策。此处一旦遭到入侵，就可能绕过所有下游隐私层。

因此，软件分发也成为威胁模型的一部分。用户需要验证二进制文件、更新、依赖项和配置文件。企业团队还会要求受管部署和策略执行。

第三个依赖项是用于改写的本地模型。它的输出必须在移除身份标识的同时保留任务含义。没有简单的评分能够证明它同时实现了这两个目标。

一次改写可能改变关键的合同措辞或技术约束。它也可能保留某个独特细节，因为删除该细节会使提示词失去可用性。

组织需要同时覆盖隐私和语义准确性的测试。这些评估应使用具有代表性的工作负载，而不是通用聊天示例。

第四个依赖项是模型提供商。偏执模式减少了提供商获取身份和支付元数据的途径，但提供商仍控制推理过程。

它可以根据技术设置和合同义务保留内容。它也可以改变模型、日志系统或滥用控制方式，而这些变化本地客户端无法验证。

机密计算提供了一条可能的辅助路径。可信执行环境会在受保护硬件中隔离代码和数据，同时提供有关运行软件的证据。

不过，硬件支持的推理也引入了自身的供应商、证明系统和漏洞历史。它转移了信任，而非消除了信任。

机构还必须决定如何处理法律请求和内部调查。旨在防止关联的隐私系统可能会使合规、欺诈审查和员工问责变得复杂。

一个实用的企业版本可能需要由组织在提供商之外控制身份。雇主可以知道是哪位员工发起了会话，而模型提供商仅接收不可关联的授权。

这种安排可以保留内部治理能力，同时避免让推理公司获得完整的用户画像。它还需要在审计日志与提示词内容之间进行谨慎隔离。

AMBCrypto 最初的表述将这一实验与机构对 Ethereum 的兴趣联系起来。该结论仍属推测。Buterin 并未宣布机构产品、客户部署或正式的 Ethereum 协议变更。

主网支付报道证实 zkAPI 已投入运行，但部署并不等于采用。使用数据、提供商集成和独立安全审查将提供更有力的证据。

机构还关注连续性。它们需要可信的运营商、支持流程、服务级别预期和迁移计划。开源原型可以提供组件，却未必能提供这些保证。

近期最有力的应用场景，可能是已经运营 Ethereum 基础设施并了解其风险的开发者。他们可以测试私密 API 支付，而不必将整套技术栈视为已具备生产就绪条件。

更大型的组织可以将该架构作为一种模式来研究：分离支付身份、网络来源、提示词准备和本地权限。然后根据组织自身的实际威胁模型评估每项控制措施。

Ethereum AI 隐私接下来会如何发展

三个信号将显示 Vitalik Buterin 偏执模式会成为基础设施，还是继续作为一项颇具影响力的实验存在。

第一个信号是经过独立审查、具备稳定生产构件的 zkAPI 版本。审计应覆盖金库合约、证明系统、客户端钱包和提现路径。

稳定版本将强化匿名 API 支付能够支持真实应用的论点。若仍持续警告存在尚未部署的组件，系统就仍将处于实验性使用范围内。

第二个信号是模型提供商或 API 网关的采用。当开发者能够访问多项推理服务，而无需为每一项服务重建集成时，支付层会变得更有价值。

提供商支持也将检验匿名支付是否能够与滥用防范共存。即使无法识别每位付款者，服务仍需要速率限制、反欺诈控制和法律合规机制。

可行的平衡将支持 Buterin 更广泛的主张：API 不需要永久绑定身份的账户。主要提供商的拒绝则会削弱该架构的实际覆盖范围。

第三个信号是专为代理流量设计、可信的网络隐私层。它必须提供恒定掩护流量，同时不让延迟和带宽成本变得不可接受。

该层还需要独立且多样化的中继，以及可衡量的安全模型。仅有一个代币化的中继列表，无法回答运营商集中度或主动攻击相关的问题。

成功开发将弥合 Buterin 指出的最重要网络弱点。若失败，Tor 与随机掩护流量仍将是有用但不完整的防御手段。

读者不应将 ETH 市场波动视为验证指标。该原型尚未显示出与网络收入、机构需求或该资产价格之间的关系。

真正有意义的指标是技术和运营层面的。应关注审计结果、稳定版本、真实的提供商集成，以及处理敏感工作的开发者是否持续使用。

对 AI 构建者而言，直接的经验是架构性的：身份会通过多个渠道泄露，因此单一隐私功能无法单独保护代理。

团队应绘制支付系统、网络、提供商、本地客户端和代理工具各自能够观察到的信息。它们还应在其技术知识库中维护可搜索的威胁模型和决策记录。

Vitalik Buterin 偏执模式让这种碎片化风险变得可见。它并未建立机构级私密 AI，但为安全团队提供了一套可供质疑的具体技术栈。

下一个问题是，独立审查者和服务提供商能否将其分层保护转化为可靠的基础设施。在此之前，偏执模式应被视为一项具有异常坦率局限性的严肃实验。