Vitalik 解析 Diamond iO 密码学混淆协议，将代码隐藏复杂度“降级”

以太坊联合创办人 Vitalik Buterin 于 7 月 28 日在其官方博客发表密码学混淆系列的第二篇文章，解析“Diamond iO”协议架构。相较于主流 iO 协议所需的“星系级”计算时间，Diamond iO 成功将复杂度降至“行星级”。Vitalik 认为，只需几次关键优化，部分特定用例有望实现商业落地。

Diamond iO 架构突破：“行星级”计算强度

（来源：Vitalik.eth）

传统 iO 技术通常在属性基加密（ABE）内部执行全同态加密（FHE）运算，再通过层层叠加的协议塔确保评估者只有在正确执行后才能解密，这种架构带来毁灭性的计算负担。Diamond iO 通过对 BGG+14 ABE 方案的两大核心修改解决了这一问题：引入全新的条件式 FHE 解密机制，以及新的输入编码生成机制，使整体计算强度大幅降低至大致等同于函数加密（FE）。

在运作流程中，评估者获得辅助项、对隐藏输入 z 的 FHE 加密、公开输入位元 x 以及低范数 FHE 解密密钥 s；协议巧妙运用“桶式左移算子（Bucket-wise left shift）”来缩放位元权重，以避免误差爆炸，最终通过“陷门（Trapdoor）”提取结果，该陷门只对正确执行电路形状的运算放行。

安全性假设：Evasive LWE 与 All-product LWE 防堵归零攻击

Diamond iO 最具争议但也最具创新性的部分是其输入编码的生成机制，依赖两个较新的密码学假设：由 Wee22 提出的 Evasive LWE，以及 Diamond iO 独有的 All-product LWE。这两大假设有效防止评估者通过相减等方式泄露秘密，避开了此前屡次击溃早期混淆协议的“归零攻击”。

在安全性方面，协议采用“PROM bootstrap”技术：让隐藏输入 z 包含真正的秘密与随机 PRF 密钥，并计算带有偏移量的新的函数，再通过 XOR 哈希处理，成功将对伪随机功能的混淆转化为通用的 iO 协议。

Vitalik 坦言，这些假设相对新颖且带有一定风险，未来仍需密码学界投入更多精力进行安全分析与验证。

未来优化方向：更高效 PRF、更先进的 FHE 协议与 STARK 整合优化

Diamond iO 目前面临的性能瓶颈包括：BGG+ 的评估开销（ABE 与 FHE 的乘积）、内部 PRF 使用深度依赖输入长度的 Goldreich PRG 树、只能容忍低深度电路以防止误差累积，以及需要使用庞大的亚指数安全参数。Vitalik 提出的未来优化方向如下：

· 使用更高效的 PRF 取代 Goldreich 树

· 换用更先进的 FHE 协议（如 BGV/CKKS 或 packed GSW）

· 进一步合并 ABE 与 FHE 层以降低开销

· 针对结合 STARK 证明的“iO 完整程序”进行定向优化

Vitalik 在文章结尾表示，Diamond iO 的最大价值在于其结构相对简单、易于分析。开发者不需要精通过往 20 年里所有复杂构造就能理解核心。他期待这篇文章能吸引更多研究者投入安全分析与性能优化。

常见问题

Diamond iO 的“行星级”复杂度具体代表什么？

Vitalik 在文章中以“星系级（Galactic）”形容传统 iO 协议所需的计算时间，即比宇宙寿命还长的计算量；Diamond iO 成功将复杂度降至“行星级（Planetary）”。尽管在当今硬件条件下仍不可行，但已经显著缩短了从理论到实用的距离。Vitalik 认为，经过几次关键优化后，部分特定用例有望商用落地。

Diamond iO 依赖哪两项新的密码学假设，它们解决了什么问题？

Diamond iO 依赖 Evasive LWE（由 Wee22 提出）和 All-product LWE（Diamond iO 独有）。这两项假设有效防止评估者通过相减等方式泄露秘密，避开了此前屡次击溃早期混淆协议的“归零攻击（Zeroizing attacks）”；Vitalik 坦言这些假设相对新颖，未来需要密码学界开展更多安全分析。

Diamond iO 目前主要面临哪些性能瓶颈？

主要瓶颈包括：BGG+ 评估开销（ABE 与 FHE 的乘积）、内部 PRF 使用深度依赖输入长度的 Goldreich PRG 树、只能容忍低深度电路以防止误差爆炸，以及需要使用庞大的亚指数安全参数；Vitalik 建议的改进方向包括更高效的 PRF、更先进的 FHE 协议（如 BGV/CKKS）以及合并 ABE 与 FHE 层。