来源：腾讯科技

2024年8月5日，全球股市经历了一场“黑色星期一”。

标普500指数下跌3.1%，纳斯达克指数跌3.4%。

其中，科技股和芯片股领跌。英伟达跌6%，苹果跌4.6%，特斯拉跌4.2%。

“科技七巨头”盘初总市值蒸发1.3万亿美元。此后股价虽有所回升，但全天市值总损失仍略高于6,500亿美元。

对此，复旦发展研究院金融研究中心主任孙立坚表示，美股下跌是因为站在了高处不胜寒的泡沫高位上。

这个泡沫中最显眼的就是AI行业，因为它们已经连跌半个多月了。

7月18日，美股“七巨头”五日市值累计蒸发了1.1万亿美元。

一周后的7月24日，“七巨头”再次集体下跌，令当天美股市场全天蒸发市值超过7500亿美元。这也让标普500与纳斯达克指数均创下自2022年底以来最大单日跌幅。

股市之外，关于AI泡沫的警告也接连不断。

今年三月，阿波罗首席经济学家Torsten Sløk就撰文称，AI泡沫的“糟糕程度”不仅超过了1990年代，还已经超过了互联网泡沫巅峰时期的水平。

而红杉合伙人David Chan更是在去年和今年连续发出警告，认为AI企业年营收总和需达 6000亿美元，才能支付基础设施建设资金。这在当下是不可能的。

对AI泡沫最重磅的忧虑来自高盛在6月末发布的报告《生成式AI：花费甚多，而收益甚少》，其中采访的多位专家都表示人们对AI的期待过高，投入过大，但它已有的收益和潜在的收益都太小。当下，AI存在着巨大泡沫风险。

AI究竟是不是正在堆积的泡沫？如果是，那现在泡沫破裂了吗？它之后又将会产生怎样的影响？看完这篇文章，或许你就能找到答案。

1.什么是泡沫？

要想判断泡沫，我们需要先了解什么是泡沫。

泡沫往往源于新技术的产生，市场对技术的未来发展过于乐观，导致过度投资和盲目跟风，使其价值超越实体经济可承受的程度，随后急剧下滑，最后像肥皂泡一样破灭。

结合海曼·明斯基的《金融不稳定假说》、霍尔迪·加利《货币政策与理性资产价格泡沫》等数篇研究经济泡沫的经典论文，我们总结出泡沫产生的核心条件。

主要包括：经济基本面有利投资、信息差的出现，以及心理和行为因素的膨胀效应。简单来说就是：市场有钱且投资者非理性投资。

第一是市场要有钱，这意味着市场要有充裕的流动性。一个低利率环境下信贷扩张，流动性过剩的基本经济现状才能引发泡沫。

比如在2022年，我们就经历了被称作“万物泡沫”的时期。美联储为应对疫情导致的经济下跌，在2020到2021年实施了近零利率和量化宽松（QE）。这一举措吸引了投资者进行风险更高的投资，并允许不可持续的商业模式在低息贷款的基础上发展。几乎所有股市资产都在高速升值，屡创美国历史记录。直到2022年美联储重新上调利率来抑制通胀，股市应声大跌，一年内谷歌跌幅40%，特斯拉、Meta股价下跌60%。

第二是投资者非理性投资。新技术使得投资者可以通过早期投资获得相当高的回报。而某些赛道本身的垄断性质又使得它未来的潜在收益更高。足够高的获利空间导致市场盲目乐观，使投资者低估风险，高估回报。

比如2000年被刺破的互联网泡沫。1995年，大量风险投资涌入电子商务、电信、软件服务等互联网相关领域，投资回报率远超化工、能源、金融等其他行业。而投机者注意到股价的快速增长时，又预期其会进一步上升而买入。1999年，美国互联网相关行业的投资金额达到287亿美元，是1995年的近10倍。

2.AI投资的上限在哪儿？

还记得我们上面提到的泡沫产生的两个前提条件吗，第一个就是市场要有钱。

但当下美国金融市场的流动性并不乐观，这意味着AI泡沫上限高不了。

对此，华创资本合伙人的熊伟铭指出：“这一波泡沫的程度其实远不如20年前的互联网泡沫，甚至不如2017年的加密货币泡沫，也不如2021年的NFT泡沫，这些泡沫的特点是估值远远超过了实际产品和服务所能获得的投资回报周期。

如果用比例来衡量，我认为这一波泡沫的程度可能只有dotcom或NFT泡沫的20%到30%。这波泡沫的程度绝对比不上之前的几次。”

近两年的融资环境相对较差，为了遏制疫情时期货币宽松所带来的40年来的最高通胀，美联储自2022年3月至2023年7月进行了11次加息。

与此同时，美联储还开始了大规模缩表，从2022年6月开始，Fed每月减少600亿美元的国债持有量和350亿美元的抵押贷款支持证券(MBS)持有量。

一句话总结就是，在AI爆发期间，美联储正在进行自1980年代以来最激进的货币紧缩政策。

市场没钱，即便几乎所有的VC都陷入FOMO，美股整体风投的趋势依然不增反降。根据Crunch base的数据，今年上半年全球融资总额同比下降5%。

当然，这其中的AI初创公司逆风挺立，同比增长24%，甚至在今年第二季度拿到240亿美元的最大季度投资，但总值依然不过是2021年的70%。

这是因为2021年万物泡沫期的宽松带来了巨量流动性，其余波还未消除。市场不如2021年有钱，但也还是挺有钱的。

熊伟铭对比表示：“最近两年，AI从资本化角度来看可能已到顶峰。2021年，美国在半年内发了6万亿美元，这是人类历史上的唯一一次。这种资本催熟效应是前所未有的。”

然而VC们手中的钱就捏得比21年紧多了。

从COATUE给出的数据看，此轮AI投资虽然热闹，但VC们并未出尽全力。私募股权公司手里还有1万亿美元的未投资金，处于历史最高水平。

这主要有两个原因。

一是退出路径不畅，VC投资很犹豫。在上一轮“万物泡沫”之后，独角兽公司数量猛增，从2016年的67个一路涨到2021年的580个。但他们获得再融资的比率却在直线走低。从16年到22年，同期获得再融资的独角兽比例从50%降到了20%以下。

那IPO呢？更是惨不忍睹，从2022年开始基本都只有个位数。

“实际上，2021年美股有970个IPO，而2022年降至162个，今年上半年大约只有44个。这表明全球资本市场的收缩是一个明显的趋势。”

在这一情况下，退出手段就只剩并购一条路。这个路子太窄了。

另一个原因是现在AI发展所处的阶段投资门槛较高，限制了很多VC入场。

“早期的互联网行业需要搭建自己的服务器和基础设施，类似于今天的AI领域。运行一次大模型的成本从几万美元到上亿美元不等，处于新的基础设施建设的早期阶段。”

我们发现，进入人工智能领域的钱，大部分流向基础层公司（Foundational layer），也就是我们所熟知的大模型公司，如OpenAI、Anthropic、Gemini等。

他们再利用这部分资金购买计算层公司（Computing layer）如英伟达的芯片来训练自己的大模型。

因此当下AI产业所处的位置更像是在基建时期。也正是这种阶段特性决定资金量不足的小VC很难入场。

“去年和前年，大量AI公司特别是硅谷的公司进行早期投资，看似活跃，但80%的投资都集中在早期阶段，很多公司在大模型升级中被淘汰。大公司在NLP领域的优势明显，因为每次测试的成本太高，这与20年前的互联网发展类似。当时互联网成本高昂，拉光纤、搭机房，而现在AI的投资成本也很高，从小参数到大参数的基础设施变化，使得大公司具有天然优势。因此，这一波投资减少，无论在中国还是美国，主要都是大公司在主导。美国也由几家主要公司主导，创业公司在这波创新中不是主流，主流仍然是大公司。”

所以，不论是从金融市场的整体表现，还是从VC的参与热情来看，目前放在AI池子里的热钱都不算太多。

3.谁在投资AI？

市场上钱少，投资门槛又高，那么这场投资游戏到底是谁在玩？

实际上，本轮AI投资的核心玩家主要是互联网时代的佼佼者，自带氪金体质，其中最典型的当属“美股七巨头”了。

根据Flow partners和Dealroom今年5月底联合发布的报告显示，美股七巨头的综合市值占标普500指数的32%，经济利润更是占据标普500指数的近一半。

以至于在过去一年里，七巨头成了AI最大的投资者，仅2023年间就参与了208笔风险项目的投资。

2024年上半年，七巨头共投资近250亿美元，超过英国所有风险投资的总和，这些钱主要流向了人工智能领域。

不论是大模型还是芯片公司，背后均不乏七巨头的身影，甚至在马斯克的X.ai从非七巨头投资者那筹集到60亿美金之前，七巨头占了所有基础模型投资近70%的投资额。

如此“重仓”AI的巨头们，左手投资、右手自研，亲力亲为给资本市场讲故事，科技股价被许诺的技术神话持续拉高。

如今，市值总和16万亿的七巨头，平均市盈率已经高达45倍（标普500的均值为28倍），相应的投资宠儿如OpenAI、Anthropic等初创公司的市值也在不断上涨。

这样的市场是理性的吗？这就要看看巨头们下注的理由了。

4.硅谷巨头的理性

巨头们对于AI的态度几乎是孤注一掷的坚定。黄仁勋在英伟达最近一次电话会说到：

「 让我举个例子来说明时间真的很宝贵，为什么能立刻建立起来数据中心这个想法如此宝贵，而获得训练时间又如此宝贵。原因在于，下一个达到重要里程碑阶段的公司将宣布一项突破性的人工智能。而之后的第二家公司则会宣布一些仅仅比它提升了 0.3% 的东西。所以你要问自己的问题是，你是想成为一再交付突破性 AI 的公司，还是成为一个只提升了 0.3% 性能的公司？……因此，这就是为什么我们现在像疯了一样建立 Hopper 超级芯片系统，因为下一个重要里程碑阶段就在眼前。」

AI是目之所及的时代性技术，谁夺得先机就意味着谁将掌握下一场游戏的规则。对于七巨头来说，无论是否处在泡沫中，作出的决定都是一样的。因为这并不取决于你是否愿意辨别眼前是泡沫还是机遇，而取决于你能否在这场竞赛中生存下来。

而巨头的投入，与他们所创造的现金流相比，并没有十分激进。

从财报来看，这几家公司在上个季度基本都实现了超过了100亿美元的收入。

微软在2024财年Q2实现了220.4亿美元的利润，在如此大力投资AI投资的情况下，其净利润率仅从2023财年Q3的39.44%降至2024财年Q2的34.04%。AlphabetQ2的利润则达到了236亿美元，亚马逊134亿美元。

七巨头的整体利润都非常健康。而且他们口袋里也有大把花不出去的现金。

苹果的自由现金流现在已经超过1000亿美元。微软、Alphabet和亚马逊根据其收入增长速度是都有望在近几年加入“自由现金流1000亿美元俱乐部”。Meta今年自由现金流可能超过300亿美元。

英伟达和特斯拉的自由现金流稍微少一些，但在AI爆发前，英伟达每年已经能创造几十亿美元的自由现金流，这两年赚的盆满钵满之后应该可以达到百亿的水平了。

七巨头们现在加起来预计2024年全年在AI方面的投入不过500亿美元，从利润到现金都完全在承受范围之内。

如果这是下个时代的生死之战，他们留着这些利润和现金是准备养老吗？

正因为巨头们赌得起，所以谈不上不理性。

5.巨头们被高估了吗？

具有充裕现金流的巨头们在下场投资AI的同时，自己也是被投资者。

他们身负投资和自研的双重重任。这个时候，巨头自身的估值稳定性，也就成为了判断AI泡沫的重要指标。毕竟只有稳住自身，才有源源不断的现金流支撑良性循环。

这是一张利用”Rule of X”来评估七巨头的市值相对于它们的收入增长和利润率的图表。

简单来说，图中的斜线表示理论上的公平价值。如果一家公司的点位于斜线之上，意味着它的市值相对于收入被高估了，如果位于这条线之下，则被低估了。

我们可以看见，处于斜线之下的Amazon（亚马逊）、Tesla（特斯拉）、Alphabet（谷歌母公司）、Meta（前Facebook），市值相对于预期收入是被低估的状态。也就是说，这些公司股价存在泡沫的可能性较小，因为它们的市值没有显示出过度膨胀的迹象。

挂在斜线上的微软和苹果稍有溢价，但是他们分列市值第一和第二，一个作为OpenAI背后最大的投资方，一个毫不费力就能和OpenAI建立深度合作关系的公司，实力自然不用多说。

哪怕是被认为最有泡沫嫌疑的英伟达，截至2024年第一季度，过去6个季度股价上涨744%，利润也上涨了330%，可以说是最有基本面支持的泡沫。

对冲基金COATUE还做过一个测算。若以互联网泡沫时期增长最为明显的思科为例，其五年平均市盈率为37倍，但泡沫时期高达132倍。

同样的计算方式对应到英伟达，其在过去五年平均市盈率为40倍，而今天到了68倍，远未达到思科泡沫时期的水准。作为新兴霸主，即使在半导体行业内，英伟达的市盈率也不过是中等偏上水平。

（图源COATUE，此版本结合最新数据重绘）

“最近七家大公司市值在一天内蒸发了1万亿美元，这个规模虽然巨大，但相较于20年前同等市值的波动，其影响要小得多。

20年前，互联网泡沫期间，市值的下跌分布在众多小公司之间，每家公司从100美元跌到2美元，这种跌幅对市场的冲击非常大。

而现在，市值的调整主要集中在少数大公司上。因此，即使这些公司市值大幅波动，对整体资本市场的影响相对较小。这也是为什么我认为AI市场的回调不会像2000年互联网泡沫那样引发资本市场的巨大震荡。”

巨头之所以是巨头，就是因为体量足够大，底盘也足够稳。哪怕成为泡沫，也是最有基本面的泡沫。

6.投给AI的钱多久能赚回来？

另外一个理性的前提是，投资需要有对应的回报。

巨头们心甘情愿地参与军备竞赛，当钱不是问题，需要进一步回应的就是对投资回报率的质疑。这也是高盛发布的报告和红杉资本的6000亿问题所质疑的核心。

AI目前的阶段更像是基建。而基建的回报周期和短期投资不太一样，基本以五年起计。就连数据中心的回报周期一般都在4.5年左右。

”AI的商业化普及可能需要5到10年的时间。回顾互联网的发展，最初的商业模式如广告和搜索引擎也经历了较长时间的培育。因此，我们需要对AI的商业化保持耐心和空间。”

既然这是个长回报周期的投入，那投给AI的钱什么时候可以赚回来呢？

Couteue帮我们算了一笔账。AI在基础设施建设期，也就是到2030年，预计会花费1.2万亿美元，这大概是2500万单位的GPU外加相关支出。这看起来很庞大，但其实仅占全球IT支出的18%。

按照25%的ROI，即预期收益6000亿美元，加上1.2万亿，到2030年AI的投入必须转化出1.8万亿美元的收入才能实现收支平衡。

这可以通过两种方式达成，一种是降本。只要AI能降低全球技术人员总薪资的5%或所有工人工资的3%，就可以达到1.8万亿的收益。另一个是增收。如果AI能带来全球2%的GPD增长，提升所有上市公司3%的收入，那AI公司只要从中赚取一半的收益，也能到1.8万亿。

那么问题来了，AI能带来降本增效的结果吗？

麻省理工学院教授Daron Acemoglu在高盛报告中指出，生成式人工智能短时间内能够产生的经济效益十分有限。即便他并不否认人工智能技术的潜力，却依然断言10年内人工智能只能影响所有工作任务的4.6%，带来的GDP增长甚微，只能到0.9%。

这样的质疑不无道理。回看技术史我们会发现，一项新技术从诞生到进入市场、渗透寻常人的生活，的确需要很长时间。

举个例子。我们经常使用的行李箱，其实早在1887年就初具雏形，但是直到1972年才出现把轮子装在行李箱上的专利设计，1991年才有了现在当下最常见的滚轮拉杆行李箱。

连行李箱这样简单的发明，从设计出现到普惠使用都经过了100年才找到正确的「打开方式」，更别提原理复杂、尚处黑箱的人工智能技术了。

但AI真如Acemoglu所说那样收效甚微吗？为了搞清楚这个问题，我们专门去翻了Acemoglu自己发表的论文以及他引述的两项研究。

结果发现，Acemoglu的论证很难立住脚。

他的论证引用了两项研究的数据，用未来可能被AI影响的任务比例（20%）× 实际会采用AI的任务比例（23%) =未来AI影响的工作任务比例（4.6%），得出AI效益甚微的结论。并依此去计算AI对GDP的最终影响。

但Acemoglu在论文中所采用的都是他引用研究中对AI发展最悲观的预测。他一来认为未来十年市场都不会出现有效整合大语言模型的软件。二来，认为AI的使用成本短时间内不会下降。

对于第一点，在Acemoglu引用的论文中，作者明确指出如果能够利用 GPTs，美国所有工人任务中约15%可以在保持同等质量的情况下显著加快完成速度。但在整合基于LLMs构建的软件和工具时，这一占比提升至所有任务的47%至56%。

Acemoglu却只用15%这个值去计算。然而，目前几乎所有科技巨头都在试图将AI融合到自家软件之中，像微软的Copilit，Adobe的Firefly都在持续更新，整合LLMs的软件并不稀奇。

早在GPT-4o的发布会上，OpenAI就透露出开发一个由大语言模型主导的系统级应用的想法。这在OpenAI今年的两次收购行为中再次得到印证，结合目前Agent的发展情况，我们有理由期待不久的将来看见LLMOS的亮相。

要真如Acemoglu所说，未来十年市场上都没有有效整合大语言模型的软件出现并大规模应用，那说AI是泡沫着实不冤，但目前来看显然不符合事实。

针对第二点，Acemoglu对于AI的使用成本和渗透率的判断也不够准确。他引用的论文称，美国企业会选择不自动化大多数可以AI化的任务，仅有23%用于视觉任务的工人工资具备自动化吸引力。但引用文章明确表明，如果成本迅速下降，或者通过规模大于单个企业的AI即服务（AI-as-a-service）平台进行部署，AI缓慢推广的现状就会加速。

更何况，AI成本下降已经是当下较为明显的趋势。

美国艾伦人工智能研究院创始CEO在接受《每日经济新闻》专访时表示，芯片时代的摩尔定律在 AI 时代仍然适用，AI 的训练和推理成本可能每18个月就下降一半。

以ChatGPT为例，奥特曼在年初接受专访时说到：

“GPT-3是我们推出时间最长、优化最久的模型，在它推出的三年多时间里，我们已经将其成本降低了40倍……至于GPT-3.5，相信我们已经将其成本降低了近10倍……在我所知道的所有技术中，我们的成本下降曲线是最陡峭的。”

从实际市场价格看，两年前，GPT 3.5 每千个 Token 就要 0.06 美金。现在， Gemini Flash每百万 Token 只要 0.05 美金 。仅仅两年时间，AI的成本降低100x，能力提升10x。”

另外，麦肯锡5月发布的研报表明，2024年全球的AI采用率显著提升，其中生成式AI的使用率更是比去年提高了整整一倍，这说明越来越多的组织和个人开始使用AI。

摩根大通的调研也指出，预期在2025年前接入AI进行生产的企业占比也超过55%。AI渗入企业中的比例远比23%高。

所以，Acemoglu的判断只能说是不合实际的悲观论断。AI所能带来的效能提升和成本下降，都是可以预见的改变。

7.我们还在1995年

当然，除了反驳Acemoglu的观点，我们还有更多证据去证明AI的价值。

高盛经济学家 Joseph Briggs 认为：“尽管生成式人工智能的潜力存在很大的不确定性，但它生成与人类创造的输出无法区分的内容以及打破人与机器之间沟通障碍的能力反映了一项重大进步，具有潜在的巨大宏观经济影响。”

这种影响首先来自于生产效率的大幅提升。

据麦肯锡估算，GenAI可以将 70% 的重复性工作自动化，每年可以带来2.6 万亿至 4.4 万亿美元收益，同时将所有人工智能的影响力提高 15% 至 40%。

这样看来，相比每年能为经济贡献2.6万亿至4.4万亿美元增长的乐观估算，红杉提出的每年6000亿美元的AI基建成本，还算泡沫吗？

其次，技术所引发的规模效应可能是超越生产力的颠覆性影响。

毫无疑问，互联网是过去20年最能创造财富的行业。上一波互联网技术浪潮带来了电子商务、平台经济、移动社交……是将世界连成一个整体的技术座驾。可它被发明的初衷是用于国防通信，那时鲜有人会想到，互联网能如此深刻地塑造我们当下的经济行为与生活方式。

尽管目前AI会带来何种深远影响还难以界定，但是人类总是习惯于高估自身的判断，低估技术的影响力。

“互联网解决的是互联问题，将原本线下的数据搬到线上，实现了数字孪生。例如，十几年前在互联网上根本找不到的菜品，如京酱肉丝，现在每个物品都被赋予了一个“IP地址”，就像从IPv4到IPv6的转变。每个人、每个物品都有一个独特的标识。

AI解决的不是连接问题，而是重新组织生产资料和提升生产力。AI能够在数字孪生的世界中发挥更大的作用，替代人的处理能力。它不仅仅是通过连接，而是通过智能判断和自动化操作。例如，空调和电冰箱连接到互联网后，仍需要人为设定参数，但有了AI后，这些设备可以自主判断并执行操作，如在气温超过28度时自动开启空调。这就是AI在经济生态中发挥的作用，与互联网的作用不同。实际上，许多行业更需要AI，而不是互联网。”

因此，我们的结论是：AI有泡沫，但这种泡沫有限，且并不偏离其真正的价值。现有的泡沫言论都过分悲观。

“1995年，雅虎等第一波互联网应用刚刚开始出现，类似于我们现在看到的AI生成图像和视频技术。

当时，互联网内容的组织和搜索方式让人们大开眼界，充满好奇心。那时连一个调制解调器都是高科技产品，像思科的产品也只有大公司能享有。

从基础设施的角度来看，情况相似。那时，公司需要去电信营业厅办理电子邮件服务，费用高昂且需要共享使用。今天的AI技术同样也只有大公司能够负担。”

所以，我们还处在1995年，现在谈论泡沫会破也许还为时尚早。

8.结语

最后，我们还需要问的是，用当下的ROI去衡量一场基建性质的科技进步是否合理？或者说，泡沫破裂的后果一定是坏的吗？

目前的AI的确面临投入高、应用难的问题，但如果我们把目光放远，转向那些在历史上被称作泡沫的基建时期，就会有不一样的发现。

在互联网泡沫破裂之前，电信公司在华尔街筹集了1.6万亿美元，并发行了6000亿美元债券，建设的光纤电缆达到8020万英里，占到美国历史上基础数字布线总数的76%，为互联网的成熟奠定基础。

如果再往前看，19世纪40年代英国铁路泡沫以及由此建造的铁路，为英国的高度工业革命打下地基，在经济泡沫时期批准的铁路计划里程数更是占了英国铁路系统总里程的90%。

当我们谈论互联网泡沫时，并非指互联网技术是泡沫，而是特指一种主要形式为电子商务、被过度兴奋的投机性投资所吹捧的商业模式。同样，南海泡沫并非海运贸易泡沫的破裂，而只是一个特定的垄断。

而人工智能意味着更多，历史的车轮更不会因为泡沫破裂而停下。人工智能的支持者总是迅速指出，AI是新的互联网——一种根本性的新技术架构——如果这是真的，那它就不会化作泡沫。

参考资料来源（可上下滑动查看）:

1.AI Bubble Is Bigger than the 1990s Tech Bubble – https://www.apolloacademy.com/ai-bubble-is-bigger-than-the-1990s-tech-bubble/

2. AI’s $600B Question – https://www.sequoiacap.com/article/ais-600b-question/

3. GEN AI: TOO MUCH SPEND, TOO LITTLE BENEFIT? – https://www.goldmansachs.com/intelligence/pages/gs-research/gen-ai-too-much-spend-too-little-benefit/report.pdf

4. 《金融不稳定假说》- 海曼·明斯基

5. 《货币政策与理性资产价格泡沫》- 霍尔迪·加利

6. The Impact of AI on Developer Productivity: Evidence from GitHub Copilot – Sida Peng, Eirini Kalliamvakou, Peter Cihon, Mert Demirer

7. GPTs are GPTs: An Early Look at the Labor Market Impact Potential of Large Language Models – Tyna Eloundou, Sam Manning, Pamela Mishkin, Daniel Rock

8. Apollo’s Chief Economist Sounds Alarm On AI Bubble, Warning It’s ‘Bigger Than The 1990s Tech Bubble’ – https://finance.yahoo.com/news/apollos-chief-economist-sounds-alarm-170755863.html

9. M7 Magnificent Seven – dealroom.co, Flow Partners

10. Coatue EMW 2024 – https://drive.google.com/file/d/184tgms_70fL5P0b1l83qSXk8vpFr4kfl/view

11. 本轮美国股市“泡沫”风险研究 – 黄承煜

12. A new future of work: The race to deploy AI and raise skills in Europe and beyond – McKinsey Global Institute

13. You Know How The Al Bubble Ends – https://www.forbes.com/sites/jamesberman/2024/07/11/you-know-how-the-ai-bubble-ends/

14. Why Al stocks aren’ t in a bubble – https://www.goldmansachs.com/intelligence/pages/why-ai-stocks-arent-in-a-bubble.html

15. To the Al Bubble Skeptics – https://www.thedeload.com/p/to-the-ai-bubble-skeptics

16. crunchbase.com

来源：登链社区

为工作程序员提供的 ZKP 教程介绍。

你知道为什么斑马有条纹吗？一种理论是这是一种伪装。当斑马聚集在一起时，这使得狮子更难以区分它们的猎物。狮子必须将猎物从群体中隔离出来才能追捕它[^1]。

人类也喜欢在人群中隐藏。一个具体的例子是，当多个人在一个集体名称下作为一个整体行动时。《联邦党人文集》就是这样创作的[^2]。 另一个例子是 Bourbaki，这是 1930 年代一群法国数学家的集体笔名。这导致了现代数学大部分内容的彻底重写，重点在于严谨性和公理化方法[^3]。

在数字时代，假设你在一个群聊中，想要发送一条有争议的信息。你想证明你是其中的一员，而不透露是哪一位。我们如何在数字领域使用密码学来做到这一点？我们可以使用一种叫做 群签名 的东西。

从传统上讲，群签名在数学上相当复杂且难以实现。然而，使用零知识证明（ZKP），这个数学问题变成了一个简单的编程任务。在本文结束时，你将能够自己编写群签名。

介绍

这篇文章将向你展示如何从零开始编写基本的零知识证明（ZKP）。

在学习新的技术栈时，我们希望尽快掌握编辑-构建-运行的循环。只有这样，我们才能开始从自己的经验中学习。

我们将首先让你设置环境，编写一个简单的程序，执行所谓的可信设置，然后尽快生成和验证证明。之后，我们将识别一些改进我们程序的方法，实施这些改进并进行测试。在此过程中，我们将建立一个更好的心理模型，以便在实践中编程 ZKP。最后，你将熟悉（某种方式）从零开始编写 ZKP。

我们将逐步构建一个简单的签名方案，你可以证明你发送了特定的消息。你将能够理解这段代码的作用及其原因：

<span 1="" 9="" 18="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" template="" signmessage="" signal="" input="" output="" component="" identityhasher="Poseidon(<span" span="" identity_commitment="==" signaturehasher="Poseidon(    # 克隆仓库并运行准备脚本
    git clone git@github.com:oskarth/zkintro-tutorial.git
    cd zkintro-tutorial
    
    # 在执行之前浏览此文件的内容
    less ./scripts/prepare.sh
    ./scripts/prepare.sh

我们建议你浏览 ./scripts/prepare.sh 的内容，以查看这将安装什么，或者如果你更喜欢手动安装。执行后，你应该看到 Installation complete 并且没有错误。

如果你遇到问题，请查看最新的官方文档 这里^[7]。完成后，你应该安装以下版本（或更高版本）：

    pragma circom 2.0.0;
    
    template Multiplier2 () {
      signal input a;
      signal input b;
      signal output c;
      c <== a * b;
    }
    
    component main = Multiplier2();

这就是我们的特殊程序或 _电路_。 [^6] 按行分析：

• pragma circom 2.0.0; – 定义所使用的 Circom 版本

• template Multiplier() – 模板是大多数编程语言中对象的等价物，是一种常见的抽象形式

• signal input a; – 我们的第一个输入，a；输入默认是私有的

• signal input b; – 我们的第二个输入，b；同样默认是私有的

• signal output b; – 我们的输出，c；输出始终是公共的

• c <== a * b; – 这做了两件事：将信号 c 赋值 并 约束 c 等于 a 和 b 的乘积

• component main = Multiplier2() – 实例化我们的主组件

最重要的行是 c <== a * b;。这是我们实际声明约束的地方。这个表达式实际上是两个的组合：<--（赋值）和 ===（等式约束）。 [^7] Circom 中的约束只能使用涉及常量、加法或乘法的操作。它强制要求方程的两边必须相等。 [^8]

关于约束

约束是如何工作的？在类似数独的上下文中，我们可能会说一个约束是“一个介于 1 和 9 之间的数字”。然而，在 Circom 的上下文中，这不是一个单一的约束，而是我们必须使用一组更简单的等式约束（===）来表达的东西。 [^9]

为什么会这样？这与底层的数学原理有关。从根本上讲，大多数 ZKP 使用 _算术电路_，它表示对 多项式 的计算。在处理多项式时，你可以轻松引入常量，将它们相加、相乘并检查它们是否相等。 [^10] 其他操作必须用这些基本操作来表达。你不必详细了解这一点才能编写 ZKP，但了解底层发生的事情可能会很有用。 [^11]

我们可以将电路可视化如下：

构建我们的电路

供你参考，最终文件可以在 example1-solution.circom 中找到。有关语法的更多详细信息，请参见 官方文档^[9]。

我们可以通过运行以下命令来编译我们的电路：

这是调用 circom 创建 example1.r1cs 和 example1.wasm 文件的一个简单包装。你应该会看到类似以下内容：

    {
      "pi_a": ["15932[...]3948", "66284[...]7222", "1"],
      "pi_b": [
        ["17667[...]0525", "13094[...]1600"],
        ["12020[...]5738", "10182[...]7650"],
        ["1", "0"]
      ],
      "pi_c": ["18501[...]3969", "13175[...]3552", "1"],
      "protocol": "groth16",
      "curve": "bn128"
    }

这以一些数学对象（三个椭圆曲线元素）pi_a、pi_b 和 pi_c 的形式指定了证明。[^20] 它还包括有关协议（groth16）和使用的 _curve_（bn128，我们暂时忽略的数学实现细节）的元数据。这使得验证者知道如何处理此证明以正确验证。

请注意，证明是多么简短；无论我们的特殊程序多么复杂，它的大小都只有这个。这展示了我们在 _友好的零知识证明介绍_^[10] 中讨论的 ZKP 的 succinctness 属性。上述命令还输出了我们的 _公共输出_：

这是与我们的见证和电路对应的所有公共输出的列表。在这种情况下，有一个公共输出对应于 c：33。[^21]

我们证明了什么？我们知道两个秘密值 a 和 b，它们的乘积是 33。这展示了我们在上一篇文章中讨论的 隐私 属性。

请注意，证明在孤立状态下没有用，它需要随之而来的公共输出。

验证证明

接下来，让我们验证这个证明。运行：

just verify_proof example1

这需要验证密钥、公共输出和证明。通过这些，我们能够验证证明。它应该打印“证明已验证”。请注意，验证者从未接触到任何私有输入。

如果我们更改输出会发生什么？打开 example1/target/public.json，将 33 更改为 34，然后再次运行上述命令。

你会注意到证明不再被验证。这是因为我们的证明并没有证明我们有两个数字，其乘积是 34。

恭喜你，你现在已经编写了你的第一个 ZKP 程序，进行了可信设置，生成了证明并最终验证了它！

练习

1. ZKP 的两个关键属性是什么，它们意味着什么？

2. 证明者的角色是什么，她需要什么输入？验证者呢？

3. 解释 c <== a * b; 这一行的作用。

4. 为什么我们需要进行可信设置？我们如何使用其产物？

5. 代码：完成 example1，直到你生成并验证了一个证明。

第二次迭代

通过上述电路，我们证明了我们知道两个（秘密）数字的乘积。这与 质因数分解 问题密切相关，这是许多密码学的基础。[^22] 这个想法是，如果你有一个非常大的数字，找到两个质数使其乘积等于这个大数字是很困难的。相反，检查两个数字的乘积是否等于另一个数字是非常简单的。[^23]

然而，我们的电路存在一个大问题。你能看到吗？

我们可以轻松地将输入更改为“1”和“33”。也就是说，一个数字 c 始终是 1 和 c 的乘积。这一点并不令人印象深刻，对吧？

我们想要做的是添加另一个 _约束_，使得 a 或 b 不能等于 1。这样，我们就被迫进行适当的整数因式分解。

我们如何添加这个约束，需要做哪些更改？

更新我们的电路

我们将为这些更改使用 example2 文件夹。不幸的是，我们不能仅仅写 a !== 1，因为这不是一个有效的约束。[^24] 它不是由常量、加法、乘法和等式检查组成的。我们如何表达“某物不是”？

这并不是立即直观的，这种类型的问题是编写电路的艺术所在。发展这种技能需要时间，并超出了本初始教程的范围；幸运的是，有许多好的资源可以参考。[^25]

不过，有一些常见的习语。基本的想法是使用 IsZero() 模板来检查一个表达式是否等于零。它对真值输出 1，对假值输出 0。

使用真值表[^26] 来显示可能的值通常是有帮助的。以下是 IsZero() 的真值表：

这是一个如此有用的构建块，以至于它被包含在 Circom 的库 circomlib 中。在 circomlib 中还有许多其他有用的组件。[^27]

我们可以通过创建一个 npm 项目（JavaScript）并将其作为依赖项添加来包含它。在 example2 文件夹中，我们已经为你完成了这一步。要导入相关模块，我们在 example2.circom 的顶部添加以下行：

include "circomlib/circuits/comparators.circom";

使用 IsZero()，我们可以检查 a 或 b 是否等于 1。修改 example2.circom 文件，使其包含以下行：

<span 1="" 12="" 4000="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" iszerocheck="IsZero();
    just generate_proof example2
    just verify_proof example2

它仍然按预期生成和验证证明。

如果我们将 example2/input.json 的输入更改为 1 和 33 并尝试运行上述命令，我们将看到一个断言错误。也就是说，Circom 甚至不会让我们生成证明，因为输入违反了我们的约束。

完整流程图

现在我们已经经历了整个流程两次，让我们退后一步，看看所有部分是如何结合在一起的。

希望事情开始变得有些明朗。接下来，让我们提升一下，让我们的电路更有用。

练习

6. 为什么我们必须运行 example2 的第 2 阶段，而不是第 1 阶段？

7. 上一个例子的主要问题是什么，我们是如何解决的？

8. 代码：完成 example2，直到你无法生成证明。

第三次迭代

通过上述电路，我们已经证明了我们知道两个秘密值的乘积。单靠这一点并不是很有用。在现实世界中，有用的是 _数字签名方案_。通过它，你可以向其他人证明你写了特定的消息。我们如何使用 ZKP 来实现这一点？要实现这一点，我们必须首先涵盖一些基本概念。

现在是短暂休息的好时机，去喝一杯你最喜欢的饮料。

数字签名

数字签名已经存在，并且在我们的数字时代无处不在。现代互联网没有它们是无法运作的。通常，这些是使用 公钥密码学 实现的。在公钥密码学中，你有一个私钥和一个公钥。私钥仅供你自己使用，而公钥是公开共享的，代表你的身份。

数字签名方案由以下部分组成：

• 密钥生成：生成一个私钥和相应的公钥

• 签名：使用私钥和消息创建签名

• 签名验证：验证消息是否由相应的公钥签名

虽然具体细节看起来不同，但我们编写的程序和上述密钥生成算法共享一个共同元素：它们都使用 _单向函数_，更具体地说是 _陷门函数_。陷门是容易掉进去但难以爬出来的东西（除非你能找到一把隐藏的梯子） [^30]。

对于公钥密码学，从私钥构造公钥是容易的，但反过来却非常困难。我们的前一个程序也是如此。如果这两个秘密数字是非常大的质数，那么将该乘积转回原始值是非常困难的。现代公钥密码学通常在底层使用 _椭圆曲线密码学_。

传统上，创建像这些数字签名方案这样的密码协议需要大量的工作，并需要提出一个涉及一些巧妙数学的特定协议。我们不想这样做。相反，我们想使用 ZKP 编写一个程序，以实现相同的结果。

而不是这样：[^31]

我们只想编写一个程序，生成我们想要的证明，然后验证这个证明。

哈希函数和承诺

我们将使用两个更简单的工具：_哈希函数_ 和 _承诺_，而不是使用椭圆曲线密码学。

哈希函数也是一种单向函数。例如，在命令行中，我们可以这样使用 SHA-256 哈希函数：

    commitment = hash(some_secret)
    signature = hash(some_secret, message)

此时你可能有一些问题。让我们解决一些你脑海中可能存在的问题。

首先，为什么这有效，我们为什么需要 ZKP？当有人验证证明时，他们只能访问承诺、消息和签名。没有直接的方法可以验证承诺是否对应于秘密，而不揭示秘密。在这种情况下，我们只是在生成证明时“揭示”秘密，因此我们的秘密保持安全。

其次，为什么在 ZKP 内部使用这些哈希函数和承诺，而不是公钥密码学？你绝对可以在 ZKP 内部使用公钥密码学，并且这样做是有合理理由的。就约束而言，它的实现成本远高于上述方案。这使得它比上述更慢，更复杂。正如我们将在下一节中看到的，哈希函数的选择非常重要。

最后，为什么在我们已经拥有公钥密码学的情况下还要使用 ZKP？在这个简单的例子中，没有必要使用 ZKP。然而，它作为更有趣的应用的构建块，例如本文开头提到的群签名示例。毕竟，我们想要 _编程密码学_。

这真是太多了！幸运的是，我们已经过了难关。让我们开始编码吧。如果你一开始没有完全理解上述内容，也不用担心。习惯这种推理方式需要一些时间。

回到代码

我们将从 example3 目录开始工作。

要实现数字签名，我们需要做的第一件事是生成我们的密钥。这些对应于公钥密码学中的私钥和公钥。由于密钥对应于一个身份（你，证明者），我们将分别称其为 identity_secret 和 identity_commitment。它们共同形成一个身份对。

这些将作为电路的输入，与我们要签名的消息一起使用。作为公共输出，我们将拥有签名、承诺和消息。这将允许某人验证签名确实是正确的。

由于我们需要身份对作为电路的输入，因此我们将单独生成这些：just generate_identity

这会产生类似于以下内容：

    include "circomlib/circuits/poseidon.circom";

Poseidon 哈希模板的使用如下：

<span 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" hasher="Poseidon(2);
    component main {public [identity_commitment, message]} = SignMessage();

默认情况下，我们电路的所有输入都是私有的。通过这个，我们明确标记 identity_commitment 和 message 为公共。这意味着它们将成为公共输出的一部分。

有了这些信息，你应该有足够的知识来完成 example3.circom 电路。如果你仍然卡住，可以参考 example3-solution.circom 获取完整代码。

像之前一样，我们必须构建电路并运行受信任设置的第 2 阶段：

    {
      "identity_secret": "21879[...]1709",
      "identity_commitment": "48269[...]7915",
      "message": "42"
    }

随意将身份对更改为你自己使用 just generate_identity 生成的身份对。毕竟，你想把身份秘密保留给自己！

你可能会注意到消息只是一个作为字符串引用的数字 ("42")。不幸的是，由于约束在数学上的工作方式（使用线性代数和 _算术电路_），我们只能使用数字而不能使用字符串。电路内部支持的唯一操作是基本的算术操作，如加法和乘法。[^37]

我们现在可以生成和验证一个证明：

    ["48968[...]5499", "48269[...]7915", "42"]

这分别对应于签名、承诺和消息。

让我们看看如果我们不小心，事情可能会出错。 [^38]

首先，如果我们将身份承诺更改为 input.json 中的随机内容，会发生什么？你会注意到我们无法再生成证明。这是因为我们还在电路内部检查身份承诺。保持身份秘密和承诺之间的关系至关重要。

其次，如果我们不将消息包含在输出中，会发生什么？我们确实得到了一个证明，并且它得到了验证。但消息可以是 _任何东西_，因此它实际上并不能证明你发送了特定的消息。类似地，如果我们不将身份承诺包含在公共输出中，会发生什么？这意味着身份承诺可以是任何东西，因此我们实际上不知道 谁 签署了消息。

作为思考练习，想想如果我们省略这两个关键约束中的任何一个会发生什么：

• identity_commitment === identityHasher.out

• signature <== signatureHasher.out

恭喜你，现在你知道如何编程加密了！[^39]

练习

9. 数字签名方案的三个组成部分是什么？

10. 使用像 Poseidon 这样的 “ZK-Friendly hash function” 的目的是什么？

11. 什么是承诺？我们如何将它们用于数字签名方案？

12. 为什么我们将身份承诺和消息标记为公共？

13. 为什么我们需要身份承诺和签名约束？

14. 代码：完成 example3，直到你生成并验证了一个证明。

下一步

通过上述数字签名方案，以及我们在文章中看到的一些技巧，你拥有了实现文章开头提到的 群签名方案 的所有工具。[^40]

在 example4 中存在骨架代码。你只需要 5-10 行代码。唯一的新语法是 for 循环，它的工作方式与大多数其他语言相同。[^41]。

这个电路将允许你：

• 签署一条消息

• 证明你是三个人之一（身份承诺）

• 但不透露是哪一个

你可以把它看作一个谜题。关键的见解基本上归结为一个算术表达式。如果可以的话，尝试在纸上解决它。如果你卡住了，可以像之前一样查看解决方案。

最后，如果你想要一些额外的挑战，这里有一些扩展的方法：

1. 允许组内任意多的人

2. 实现一个新的电路 reveal，证明你签署了特定的消息

3. 实现一个新的电路 deny，证明你没有签署特定的消息

使用经典工具创建这样的加密协议将是一项巨大的任务，需要大量的专业知识。[^42] 使用 ZKP，你可以在一个下午变得高效和危险，将这些问题视为编程任务。这只是我们可以做的冰山一角。

练习

15. 群签名与普通签名有什么不同？它们可以如何使用？

问题

这些问题是可选的，需要更多的努力。

1. 找出 IsZero() 是如何实现的。

2. 代码：完成上述群签名方案（见 example4）。

3. 代码：扩展上述群签名示例：允许更多人并实现 reveal 和/或 deny 电路。

4. 你将如何设计一个 “ZK 身份” 系统来证明你已满 18 岁？你可能想证明的其他属性是什么？从高层次来看，你将如何实现它，以及你看到的挑战是什么？研究现有解决方案以更好地理解它们是如何实现的。

5. 对于像以太坊这样的公共区块链，有时会使用 Layer 2 (L2) 来允许更快、更便宜和更多的交易。从高层次来看，你将如何使用 ZKP 设计一个 L2？解释你看到的一些挑战。研究现有解决方案以更好地理解它们是如何实现的。## 结论

在本教程介绍中，我们熟悉了如何从头开始编写和修改基本的零知识证明（ZKPs）。我们设置了编程环境并编写了一个基本电路。然后我们进行了可信设置，创建并验证了证明。我们识别了一些问题并改进了电路，确保测试我们的更改。之后，我们使用哈希函数和承诺实现了一个基本的数字签名方案。

我们还学习了足够的技能和工具，以便能够实现群体签名，这在没有零知识证明的情况下是很难实现的。

我希望你对编写零知识证明所涉及的内容有了更好的心理模型，并对实际中的编辑-运行-调试周期有了更好的理解。这将为你将来可能编写的任何其他零知识证明程序打下良好的基础，无论你最终使用什么技术栈。

致谢

感谢 Hanno Cornelius、Marc Köhlbrugge、Michelle Lai、lenilsonjr 和 Chih-Cheng Liang 阅读草稿并提供反馈。

图片

• Bourbaki Congress 1938 – 未知，公有领域，通过 Wikimedia^[11]

• Hartmann’s Zebras – J. Huber，CC BY-SA 2.0，通过 Wikimedia^[12]

• Trapdoor Spider – P.S. Foresman，公有领域，通过 [Wikimedia](https://commons.wikimedia.org/wiki/File:Trapdoor_(PSF “Wikimedia”).png)

• Kingsley Lockbox – P.S. Foresman，公有领域，通过 Wikimedia^[13]

参考资料

[1] AI翻译官: https://learnblockchain.cn/people/19584

[2] 翻译小组: https://learnblockchain.cn/people/412

[3] learnblockchain.cn/article…: https://learnblockchain.cn/article/9178

[4] 零知识的友好介绍: https://learnblockchain.cn/article/6184

[5] git 仓库: https://github.com/oskarth/zkintro-tutorial

[6]git 仓库: https://github.com/oskarth/zkintro-tutorial

[7]这里: https://docs.circom.io/getting-started/installation/

[8]zkrepl.dev: https://zkrepl.dev/

[9]官方文档: https://docs.circom.io/circom-language/signals/

[10]友好的零知识证明介绍: https://learnblockchain.cn/article/6184

[11]Wikimedia: https://commons.wikimedia.org/wiki/File:Bourbaki_congress1938.png

[12]Wikimedia: https://commons.wikimedia.org/wiki/File:Hartmann_zebras_hobatereS.jpg

[13]Wikimedia: https://commons.wikimedia.org/wiki/File:Kingsley_lockbox.jpg

[14]AI 翻译官: https://learnblockchain.cn/people/19584

[15]这里: https://github.com/lbc-team/Pioneer/blob/master/translations/9178.md

[16]^2]:  参见 [联邦党人文集（维基百科）: https://en.wikipedia.org/wiki/The_Federalist_Papers#Authorship

[17]^3]:  参见 [Bourbaki（维基百科）: https://en.wikipedia.org/wiki/Nicolas_Bourbaki#Membership

[18]^8]:  这使得编写约束相当具有挑战性，正如你可以想象的那样。有关 Circom 中约束的更多详细信息，请参见 [https://docs.circom.io/circom-language/constraint-generation/: https://docs.circom.io/circom-language/constraint-generation/

[19]^12]:  线性约束意味着它可以仅通过加法表示为线性组合。这相当于使用常数进行乘法。需要注意的主要是线性约束比非线性约束更简单。有关更多详细信息，请参见 [约束生成: https://docs.circom.io/circom-language/constraint-generation/

[20]算术电路: https://docs.circom.io/background/background/#arithmetic-circuits

[21]^13]:  从数学上讲，我们所做的是确保方程 Az * Bz = Cz 成立，其中 Z=(W,x,1)。A、B 和 C 是矩阵，W 是见证（私有输入），x 是公共输入/输出。虽然知道这一点很有用，但编写电路时并不需要理解这一点。有关更多详细信息，请参见 [Rank-1 约束系统: https://docs.circom.io/background/background/#rank-1-constraint-system

[22]^15]:  正如在 友好的介绍 文章中提到的那样，2016 年 Zcash 举办的仪式有一个很好的外行播客，你可以在 [这里: https://radiolab.org/podcast/ceremony

[23]^17]:  我们称之为 1-out-of N 信任模型。还有许多其他信任模型；你最熟悉的可能是多数规则，即你信任大多数人做出正确的决定。这基本上就是民主和大多数投票的运作方式。 [↩: #user-content-fnref-17

[24]^22]:  也称为 _密码学难度假设_。请参见 [计算难度假设 (维基百科): https://en.wikipedia.org/wiki/Computational_hardness_assumption#Common_cryptographic_hardness_assumptions

[25]^23]:  有关更多信息，请参见 [https://en.wikipedia.org/wiki/Integer_factorization: https://en.wikipedia.org/wiki/Integer_factorization

[26]^24]:  虽然我们可以添加 _asserts_，但这些实际上不是约束，仅用于清理输入。有关其工作原理，请参见 [https://docs.circom.io/circom-language/code-quality/code-assertion/: https://docs.circom.io/circom-language/code-quality/code-assertion/

[27]https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions: https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions

[28]^25]:  这份由 0xPARC 提供的资源非常出色，如果你想深入了解编写 (Circom) 电路的艺术： [https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/: https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/

[29]^26]:  由于编写约束的性质，这种情况经常出现。请参见 [https://en.wikipedia.org/wiki/Truth_table: https://en.wikipedia.org/wiki/Truth_table

[30]^27]:  有关 circomlib 的更多信息，请参见 [https://github.com/iden3/circomlib: https://github.com/iden3/circomlib

[31]^28]:  请参见 [https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom: https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom

[32]^29]:  人们通常在项目之间共享这些 ptau 文件以提高安全性。有关详细信息，请参见 [https://github.com/privacy-scaling-explorations/perpetualpowersoftau: https://github.com/privacy-scaling-explorations/perpetualpowersoftau

[33]https://github.com/iden3/snarkjs: https://github.com/iden3/snarkjs

[34]^30]:  这里的梯子代表某种值，使我们能够以相反的“困难”方式进行。另一种思考方式是将其视为一个挂锁。你可以轻松锁定它，但很难解锁，除非你有钥匙。陷门函数也有更正式的定义，请参见 [https://en.wikipedia.org/wiki/Trapdoor_function: https://en.wikipedia.org/wiki/Trapdoor_function

[35]^31]:  来自维基百科的截图。请参见 [ECDSA (维基百科): https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm#Signature_verification_algorithm

[36]^38]:  在现实世界的数字签名方案中，当多个消息交换时，我们可能还希望引入一个加密随机数。这是为了避免重放攻击，即某人可以在稍后时间重用相同的签名。请参见 [https://en.wikipedia.org/wiki/Replay_attack: https://en.wikipedia.org/wiki/Replay_attack

[37]^40]:  在 ZKP 中实现群签名的灵感来自 0xPARC，请参见 [https://0xparc.org/blog/zk-group-sigs: https://0xparc.org/blog/zk-group-sigs

[38]^41]:  请参见 [https://docs.circom.io/circom-language/control-flow/: https://docs.circom.io/circom-language/control-flow/

[39]^42]:  相比之下，实施群签名的论文如 [https://eprint.iacr.org/2015/043.pdf: https://eprint.iacr.org/2015/043.pdf