Vitalik Buterin 发布基于 Tor 和 zkAPI 的隐私保护 AI 智能体

以太坊联合创始人Vitalik Buterin开发开源AI隐私系统

以太坊联合创始人Vitalik Buterin开发了一套用于AI代理的开源隐私系统。该系统结合了Tor路由、匿名支付和本地处理提示词的技术，旨在降低用户在使用大型语言模型时的信息暴露风险。

系统核心架构与功能

Buterin开发的这套开源AI隐私系统将Tor路由、zkAPI支付以及本地提示词重写技术融为一体。在每次AI对话中，系统都会分配一个独立的Tor电路，并添加随机的掩护流量，使得请求更难被追踪。该系统的运行界面兼容OpenAI接口，并通过沙盒限制将网络活动路由至Tor网络。

Buterin表示，该设置目前已具备可用性，但他也承认存在响应速度较慢的问题，且在面对协同流量分析时仍存在弱点。尽管尚未确认具体的部署日期，但他预计以太坊主网上zkAPI的存款和取款成本将会降低。

在一篇社交媒体帖子中，Buterin透露他利用zkAPI、随机掩护流量以及本地语言模型（用于在请求到达外部AI提供商之前重写请求），为其AI代理工具“pi”构建了一种“偏执模式”。他将这一封装了zkAPI、Tor、额外掩护流量和本地LLM提示词重写的方案，整合进一个兼容OpenAI的守护进程中，并为其代理工具创建了一个“偏执模式”包装器。

该设置通过一个兼容OpenAI API的守护进程运行，使隐私功能作为代理和语言模型服务之间的独立层运作。Buterin已在GitHub上发布了相关代码，但他承认该系统引入了显著的延迟，并且仍然容易受到某些形式的流量分析的影响。

隐私保护机制详解

隔离的Tor电路

根据Buterin的技术描述，每次AI对话都会获得一个单独的Tor电路，而请求则与随机掩护流量混合，使得网络活动更难区分。Tor通过将互联网流量路由到多个中继节点来隐藏连接的来源。在Buterin的实现中，独立的电路提供了对话之间的网络隔离。

随机掩护流量

额外的掩护流量旨在增加观察者基于通信模式识别实际AI请求的难度。

支付隐私

支付隐私由zkAPI处理，Buterin指出这可以防止用户在访问AI服务时通过支付信息暴露身份。

本地提示词重写

该系统包含一个本地提示词重写机制。在请求到达外部语言模型之前，运行在用户设备上的另一个模型会对原始文本进行处理。Buterin将此功能描述为“自带本地模型”的安排，允许用户选择负责重写其提示词的模型。据其帖子所述，他自己的设置使用的是qwen3.8-flash-next。

本地重写为网络路由和支付组件之外提供了另一层保护。然而，Buterin并未声称重写的提示词能完全消除通过提交的信息识别用户的可能性。

沙盒隔离与环境安全

除了网络路由和提示词处理外，Buterin还将pi代理工具置于bubblewrap（简称bwrap）沙箱中。Bubblewrap是一个Linux沙箱实用程序，可以限制程序对其操作系统环境部分的访问。Buterin表示，他正在尝试使用MicroVM技术作为另一种隔离选项，但该帖子并未确立MicroVM设置已成为最终实现的一部分。

被沙箱化的代理包裹在torsocks中，这是一个引导受支持的网络连接通过Tor的工具。According to Buterin, the arrangement is intended to ensure that the agent’s network activity passes through Tor instead of making direct connections.

因此，这种技术设计解决了多个潜在的信息暴露源，包括网络连接、支付记录、提示词内容以及AI代理运行的环境。

性能评估与局限性

Buterin使用一个简单的研究任务演示了该安排，并表示该软件对于实际工作正变得可用。“它变得相当可用了！”他写道，同时承认用户仍面临相当大的延迟。他指出，新对话的开始是过程中特别缓慢的部分。

该帖子未提供基准测试结果、平均响应时间或与未受保护的相同代理版本的对比数据。

Tor防护的脆弱性：协同流量分析

尽管采取了额外的隐私措施，但Buterin承认Tor并不是他所开发的系统的理想网络。他表示，随机掩护流量对被动观察者提供了合理的保护，但他指出了更困难的威胁，即AI提供商与Tor入口中继之间的合作。

入口中继是Tor客户端进入网络时使用的第一个中继。在Buterin描述的场景中，与入口合作的AI提供商可以主动操纵请求和响应的时间，以识别流量中的模式。据其评估，此类协调会使随机掩护流量的效果大打折扣。

Buterin认为，此类应用将从专门的混币网络（mixnet）中受益，这是一种旨在通过流量分析更难连接传入和传出通信的隐私网络。他提出的方法需要更高的带宽要求，并将恒定的掩护流量直接内置到网络中。恒定掩护流量意味着即使在没有真实请求的情况下也要生成额外的网络活动，而不是仅依赖随机插入的流量。

Buterin没有宣布混币网络的实施工作或提供开发时间表。他的评论将该网络描述为当前Tor安排的潜在技术改进，而他将其形容为保护AI交互的不完美解决方案。

zkAPI支付成本预期下降

Buterin在更新的最后提到了关于使用zkAPI成本的单独发展。他表示，以太坊主网上zkAPI存款和取款的燃气费将显著降低。该声明未指定预期的交易成本降低幅度、节省成本的机制或部署日期。

存款和取款与代理包装器中的网络隐私功能是分开的，后者使用zkAPI来解决通过支付暴露身份的可能性。Buterin的帖子未指明在其演示中使用了哪些外部语言模型提供商，也未披露运行组合隐私工具的总成本。 announced gas cost changes remain pending, with no confirmed mainnet activation date provided in the post.

背景：早期的zkAPI工作

最新的实现在此之前，以太坊基金会和Open Anonymity Project于10月1日推出了zkAPI，作为一种用于计量服务的支付系统。根据基金会的公告，用户将资金存入以太坊金库，并通过零知识证明授权后续的API使用。该系统可以颁发具有支出限制的短期API凭证，允许单个授权覆盖会话期间的多个请求。

支付授权和提示词交付分开处理。支付服务验证支出权利而不接收对话内容，而模型提供商处理提示词而不获取用户的资金身份。基金会承认，支付机制本身并不隐藏IP地址或提示词中包含的信息。这些局限性在10月2日的zkAPI隐私分析中进行了审查。

10月4日，Buterin测试了一个三层设置，使用个人健康和旅行信息生成饮食和锻炼建议。正如此前报道的那样，早期的实验使用本地Qwen模型来决定应与远程AI服务共享哪些信息。Buterin报告的处理速度约为每秒20到30个token，并表示超过每秒100个token的速度更为理想。

以太坊在自主代理方面的工作还包括ERC-8004身份基础设施，计划于2026年1月在主网推出。该标准为代理身份和声誉提供注册表，这是与zkAPI处理的私有支付授权不同的功能。Buterin的最新帖子描述了围绕早期隐私安排的额外控制措施，包括特定于对话的Tor电路、随机掩护流量和沙盒限制。