zkVM: wat is een zero-knowledge virtual machine?
Stel dat je een vriend vraagt om een enorme optelsom te maken: duizenden getallen bij elkaar optellen. Je zou zijn antwoord kunnen controleren door de som zelf helemaal over te doen, maar dat kost net zoveel tijd als de berekening zelf. Een zkVM (zero-knowledge virtual machine) is in feite een rekenmachine die naast het antwoord ook een kort, wiskundig "bewijsbriefje" aflevert waarmee je binnen een fractie van een seconde kunt controleren dat de uitkomst klopt — zonder de hele berekening over te doen, en soms zelfs zonder te weten wat de exacte invoer was.
Dat klinkt abstract, maar het onderliggende probleem is heel concreet. Computersystemen die elkaar niet vertrouwen — bijvoorbeeld de duizenden computers die samen een blockchain als Ethereum draaien — moeten nu vaak elke transactie zelf herberekenen om zeker te weten dat niemand vals speelt. Dat is traag en duur. Een zkVM maakt het mogelijk om een programma één keer uit te voeren, daar een compact bewijs bij te maken, en dat bewijs vervolgens overal razendsnel te laten controleren. Dezelfde truc blijkt ook buiten blockchains nuttig, bijvoorbeeld om te bewijzen dat een AI-model daadwerkelijk de berekening heeft uitgevoerd die het beweert te hebben gedaan.
Wat is het precies?
Om een zkVM te begrijpen, helpt het om de twee ingrediënten te kennen waaruit hij is opgebouwd: een virtuele machine en een zero-knowledge bewijssysteem.
Een virtuele machine (VM) is software die een computerprocessor nabootst. Programma's — geschreven in gewone programmeertalen zoals Rust of C — worden vertaald naar een reeks eenvoudige rekeninstructies (vaak de RISC-V-instructieset, een open en veelgebruikte standaard) die de virtuele machine stap voor stap uitvoert. Elke stap laat een spoor achter: welke instructie werd uitgevoerd, welke waarden stonden in het geheugen, wat kwam eruit. Dat volledige spoor heet de executietrace.
Het tweede ingrediënt is een cryptografische techniek die zo'n trace omzet in een bewijs. De meest gebruikte families heten zk-SNARK (Succinct Non-interactive ARgument of Knowledge) en zk-STARK (Scalable Transparent ARgument of Knowledge). Beide zetten een berekening om in wiskundige vergelijkingen en construeren daar een bewijs bij dat twee eigenschappen combineert: het is succinct (klein en snel te controleren, ongeacht hoe lang de oorspronkelijke berekening duurde) en het is zero-knowledge (het bewijs kan geldig worden verklaard zonder alle onderliggende gegevens bloot te geven, als de toepassing dat vereist). SNARK's zijn vaak nog compacter, maar hebben doorgaans een eenmalige "trusted setup" nodig — een kwetsbaar opstartmoment waarin geheime sleutelinformatie wordt gegenereerd en daarna vernietigd moet worden. STARK's hebben die trusted setup niet nodig en steunen op eenvoudigere wiskundige aannames (hash-functies), maar leveren iets grotere bewijzen op.
Een zkVM combineert deze twee ingrediënten: het is een virtuele machine die automatisch, voor elk programma dat erop draait, een zero-knowledge bewijs van correcte uitvoering aflevert. De ontwikkelaar hoeft zelf geen cryptografisch "circuit" te ontwerpen — die vertaalslag gebeurt generiek, één keer, voor de hele instructieset. Dat is het grote verschil met een zkEVM, die alleen de uitvoering van code op de Ethereum Virtual Machine (de rekenmotor achter Ethereum-smart contracts) bewijst, terwijl een algemene zkVM elk programma kan bewijzen — inclusief, als bouwsteen, een zkEVM zelf.
Een laatste, praktische stap is recursie: grote berekeningen worden in stukken gehakt, elk stuk krijgt een eigen bewijs, en die bewijzen worden vervolgens samengevoegd tot één klein eindbewijs. Zo blijft controleren snel, ook als de onderliggende berekening enorm is. De keerzijde is dat het maken van een bewijs ("proven") veel meer rekenwerk vergt dan de oorspronkelijke uitvoering — vaak honderden tot duizenden keer zoveel — al daalt dat getal snel door nieuwe algoritmes en gespecialiseerde hardware.
Wat wil men ermee bereiken?
De kern van de ambitie is vertrouwen vervangen door wiskunde. In plaats van erop te rekenen dat een partij eerlijk rekent, of dat iedereen alles zelf controleert, levert een zkVM een controleerbaar bewijs. Dat dient een aantal concrete doelen.
Ten eerste schaalbaarheid. Blockchains als Ethereum laten van nature elke deelnemende computer dezelfde transacties herberekenen, wat het netwerk traag en duur maakt. Met een zkVM voert slechts één partij de berekening uit en levert daar een bewijs bij; alle andere deelnemers controleren alleen het korte bewijs. Dit principe heet een ZK-rollup en is een van de belangrijkste manieren waarop blockchains proberen op te schalen zonder aan veiligheid in te leveren.
Ten tweede vertrouwen tussen partijen die elkaar niet kennen: een zkVM levert "trustless" verificatie op, zonder centrale scheidsrechter die alles opnieuw moet nakijken.
Ten derde privacy: omdat een bewijs geldig kan worden verklaard zonder alle invoergegevens te tonen, kun je in theorie bewijzen dat je ouder dan 18 bent, genoeg saldo hebt, of aan bepaalde regels voldoet, zonder de onderliggende gegevens (geboortedatum, rekeningstand) te delen.
Ten vierde nieuwe vormen van verifieerbare berekening buiten blockchains: aantonen dat een AI-model een uitkomst correct heeft berekend, dat een clouddienst een taak eerlijk heeft uitgevoerd, of dat data-analyse zonder manipulatie is gebeurd. Dit brede werkgebied wordt ook wel verifiable computing genoemd.
Voorbeelden uit de praktijk
RISC Zero (opgericht rond 2021 in de Verenigde Staten) bouwde een van de eerste algemene zkVM's, gebaseerd op de RISC-V-instructieset, waardoor gewone Rust-code bewijsbaar wordt zonder dat ontwikkelaars zelf cryptografie moeten kennen. Het bedrijf lanceerde ook Boundless, een marktplaats waar externe partijen ("provers") tegen betaling bewijzen genereren voor anderen.
SP1 van Succinct Labs (gelanceerd begin 2024) is een open-source zkVM die eveneens gewone Rust-programma's bewijsbaar maakt en door verschillende blockchainprojecten wordt gebruikt om bruggen en rollups te bouwen; het bedrijf biedt daarnaast een gedecentraliseerd "Prover Network" aan waarop deelnemers bewijzen kunnen laten genereren.
Jolt, een onderzoeksproject verbonden aan investeringsmaatschappij a16z crypto (paper gepubliceerd in 2024), is geen commercieel product maar laat een sterk vereenvoudigde en snellere manier zien om zkVM-bewijzen te construeren, gebaseerd op een zogeheten lookup-argument (Lasso). Het toont hoe snel het onderliggende onderzoeksveld nog in beweging is.
StarkWare (opgericht in 2018 in Israël) en zijn Cairo-taal/VM waren een van de eerste praktische toepassingen van STARK-bewijzen. De bijbehorende blockchain StarkNet draait sinds eind 2021 op Ethereum en is daarmee een van de langstlopende productiesystemen die op grote schaal STARK-bewijzen gebruiken.
zkEVM's zoals Polygon zkEVM, Scroll en Linea (allen rond 2023 op het Ethereum-hoofdnet in gebruik genomen) zijn specifieke toepassingen die bewijzen dat Ethereum-smart contracts correct zijn uitgevoerd, gebouwd op onderliggende zk(VM)-technieken.
Hoe ver is de techniek?
zkVM's zijn nog een jong vakgebied. Zero-knowledge bewijzen bestaan als wiskundig idee sinds de jaren tachtig, en de eerste grootschalige toepassing in de praktijk was de privacymunt Zcash, die in 2016 zk-SNARK's gebruikte om transacties te verhullen. Tot voor kort moest voor elke toepassing een eigen, handgeschreven cryptografisch "circuit" gebouwd worden — foutgevoelig, specialistisch werk. De omschakeling naar algemene zkVM's, waarbij gewone programmeercode automatisch bewijsbaar wordt, is pas sinds ongeveer 2023 goed op gang gekomen.
Het tempo van verbetering is hoog. Benchmarks van de afgelopen jaren laten zien dat het genereren van bewijzen (proving) tientallen tot honderden keren sneller is geworden, mede dankzij nieuwe wiskundige technieken (zoals lookup-argumenten) en specifieke hardware: gewone GPU's versnellen het proces al aanzienlijk, en bedrijven als Cysic, Ingonyama en Fabric Cryptography ontwikkelen gespecialiseerde chips die dit verder moeten versnellen.
De belangrijkste obstakels blijven echter reëel. Een bewijs maken kost nog altijd veel meer rekentijd en geheugen dan de oorspronkelijke berekening — vaak nog honderden keren zoveel, afhankelijk van het programma. De software verandert nog regelmatig, en verschillende projecten zijn onderling niet compatibel: er is nog geen duidelijke "winnende" aanpak. SNARK-varianten met trusted setup en STARK-varianten zonder trusted setup bestaan naast elkaar, elk met eigen afwegingen. Ten slotte is veiligheid een blijvend aandachtspunt: een fout in de bewijssoftware zou een vals bewijs kunnen laten doorgaan voor geldig, dus onafhankelijke audits en formele verificatie van zkVM's zelf zijn essentieel — en dat werk is nog niet overal even ver.
Sommige toepassingen, met name zkEVM's voor blockchainschaling, draaien inmiddels al op productieschaal. Bredere toepassingen van algemene zkVM's buiten de blockchainwereld, zoals verifieerbare AI, staan nog in een pril, experimenteel stadium.
Wie werken eraan?
Het veld wordt vooral gedreven door een combinatie van gespecialiseerde start-ups, grotere blockchainbedrijven en academische cryptografen, met de Verenigde Staten en Israël als zwaartepunten.
In de Verenigde Staten zijn RISC Zero en Succinct Labs de bekendste zkVM-specifieke bedrijven. Investeringsmaatschappij Andreessen Horowitz (a16z) heeft via zijn onderzoeksarm a16z crypto eigen technisch onderzoek gepubliceerd (waaronder Jolt) en investeert in meerdere projecten in dit veld. De Ethereum Foundation financiert via haar onderzoeksteams al jaren cryptografisch onderzoek naar schaalbare, privacyvriendelijke bewijssystemen.
In Israël is StarkWare de dominante naam, opgericht door cryptografen die ook betrokken waren bij het oorspronkelijke wetenschappelijke STARK-onderzoek. Andere grote namen in het bredere zkEVM- en rollup-landschap zijn Polygon Labs, Consensys (met Linea) en Matter Labs (met zkSync) — bedrijven met internationale, verspreide teams.
Op academisch vlak spelen onderzoeksgroepen aan onder meer Amerikaanse en Israëlische universiteiten een grote rol in de onderliggende cryptografie; resultaten worden gepubliceerd op vakconferenties als Crypto en Eurocrypt en gedeeld binnen de bredere internationale cryptografiegemeenschap. Europese onderzoekers en open-sourcebijdragers volgen dit werk en dragen eraan bij, maar de grote productbedrijven in dit veld zitten vooralsnog vrijwel allemaal in de Verenigde Staten en Israël.