《倒带》：当超级 AI 必须在没有记忆的情况下自证清白——Rewinding for Scalable Oversight

《倒带》

——当超级 AI 必须在没有记忆的情况下自证清白

论文：*Efficient Scalable Oversight via Rewinding*（arXiv:2610.40535，2026-10-29）

作者：Ziyi Guan、Yael Tauman Kalai（MIT CSAIL）、Ron Rothblum（Succinct）、Zoe Xi（MIT）

写作参照：费曼的讲法（从生活常识一寸寸逼近抽象）、伽莫夫《物理世界奇遇记》式的思想实验笔法。

---

🌃 一个让人睡不着的场景

先想象一个具体的画面。

你训练了一个大语言模型，任务是读一家公司的几百页内部记录，然后对每一部相关法律输出一个比特：违反了，或者没违反。几百页卷宗，一部法律一个比特，几十个比特拼成一份合规报告。

模型输出完毕。现在问题来了：你怎么知道它答对了？

派人类专家逐页核对？一位专家要读好几天，而这只是无数训练标签里的一个。可如果你不去核对，就是在一个你无法监督的系统身上下注——它今天可能忠于你，明天呢？后天呢？

过去十年，人类监督 AI 的主流办法叫 RLHF：让人给模型的回答打分。这个办法有个隐形的预算天花板：人的时间是最贵的算力。模型越强、任务越复杂，监督成本就越高，最后高到整个训练流程被人类标注速度卡死。

这就是 AI 安全文献里那个著名的问题——可扩展监督（scalable oversight）：当 AI 的能力超过它的监督者，弱的一方凭什么信任强的一方的答案？

2026 年 10 月 29 日挂在 arXiv 上的这篇论文，给这个问题添了一件新武器。它的思路可以概括成一句话：打不过它，就审它；审不动它，就给它装一台时间机器，让它在没有记忆、没有草稿、不能串供的条件下，把证词重说一千遍。

🎭 审讯天才的老手艺

密码学家为这个问题准备了一整套语言，核心是证明系统里的一对老角色：

• 证明者 P（Prover）：算力无穷，但不可信；
• 验证者 V（Verifier）：能力有限，但握有随机数。

这个设定像极了审讯室：嫌疑人可能是天才，警察不必比天才聪明，只需要会问问题。四十年间，这套"审讯学"经历过几次革命，每次都拓宽了"弱能验强"的边界——

静态证明的时代（NP）。证人把整份证词一次性递交，验证者从头读到尾。像审论文：评审必须通读全文，慢，且没有任何回旋余地。

交互的时代（IP）。1985 年 Goldwasser、Micali 和 Rackoff 允许双方多轮对话、允许验证者掷硬币。1992 年，Shamir（与 Lund–Fortnow–Karloff–Nisan 的工作汇合）证明了一个震撼的结果：IP = PSPACE。哪怕验证者只有多项式空间，通过随机提问，也能验证指数级复杂的计算。

直觉是什么？以经典的 sumcheck 为例：验证者想确认一个巨大多项式在某组点上的取值之和等于某个声称的数。逐点求和？那是证明者的活。验证者做的是另一件事——它随机挑一个坐标，把高维的求和声明折成低一维的求值声明，一层层折下去，直到问题小到可以直接算。每一层折叠都依赖一次随机选择，而作弊者要在所有随机选择下都保持一致，谎言的坐标就必须在每一个维度上都对得上——这比说一次真话难太多了。天才撒的谎是一张网，随机抽打几下，断的总是同一根线。

多个嫌疑人的时代（MIP）。Babai、Fortnow、Lund 更进一步：给验证者配两个互不通气的证明者，它能验证的复杂度再跳一级——MIP = NEXP。两个不能串供的嫌疑人，口供必须互洽：验证者可以分别问他们同一件事的细节，谎言的维护成本随问题数指数增长，而真相永远互洽——说真话的人不需要备忘录。

值得记住的是，这几级跳变背后有一个共同的引擎：随机性 + 交叉验证。验证者掷出的每一枚随机硬币，都是往谎言之网上抽下的一鞭。

抽查的时代（PCP / IOP）。再往后，证明者被要求把证词写成一种特殊格式，验证者只读其中几位就能判真伪——这是后来所有零知识证明和区块链 SNARK 的理论源头。

故事讲到这里，本该是一个大团圆结局。但在可扩展监督的场景里，经典理论拐了一个致命的弯。

🕳️ 黑箱：经典定理在这里失灵

可扩展监督有一个经典密码学没有的特殊性：被验证的计算里藏着黑箱。

模型读卷宗时，可能调用"人类判断"——遇到模糊条款，让真人投票；也可能查询外部数据库——比如把整个互联网当作参考书。理论家把这种黑箱叫作预言机（oracle）：一个你只管提问、看不见内部的函数。

于是需要一个关键性质——相对化（relativization）：协议的完备性和可靠性保证，必须对任何预言机都成立，不管黑箱里装的是什么。这不是学究式的洁癖。英国 AI 安全研究所（AISI）的团队写得很直白：

"要想对 AI 安全有意义，一个交互式证明的结果必须相对化。"

理由很朴素：我们不知道未来的 AI 会拥有什么能力，所以证明不能依赖"看穿黑箱内部结构"的假设——保证必须对一切黑箱成立，包括我们想象不出来的那种。

遗憾的是，前面那些漂亮定理恰恰在这里集体翻车：IP = PSPACE 和 MIP = NEXP 都不相对化。更糟的是，还有一系列不可能性结果（论文引用了 Barbara–Chiesa–Guan 等人的工作）证明：对任意的预言机辅助计算，高效验证在原则上就是不可能的。直觉是这样的——如果计算的输出取决于每一次预言机回答的正确性，那验证者别无选择，只能把每个问题都重新问一遍，高效验证死亡。

老手艺在黑箱面前失灵了。要救活它，必须给计算加一个限制条件。这就是本文真正的主角登场之前，舞台中央的最后一个道具。

🥊 辩论：优雅，但赌桌上有个隐形庄家

AI 安全圈最出名的相对论化方案是辩论（debate），来自 Irving、Christiano 和 Amodei 2018 年的论文《AI Safety via Debate》：两个强大的 AI 各执一词，互相攻击对方论证的漏洞，一个弱小的人类（或一个小模型）当裁判，宣布谁更有理。

结果非常漂亮：DEBATE = PSPACE，整个证明相对化，而且裁判极其高效——它甚至不必读懂完整的论证，只需要听交锋。他们的论文里还有一个著名的 MNIST 思想实验：两个模型争论一张图是 6 还是 9，各自揭开局部像素作为证据，人类裁判听谁的举证更合理。

但辩论藏着一个沉重的假设：两个辩手中至少有一个说真话。 也就是说，裁判背后必须站着至少一个站在真理一边的强大 AI。

注意这个假设有多奢侈。可扩展监督这个问题之所以存在，恰恰是因为我们不知道能不能信任任何 AI。辩论把一个信任问题换成了另一个信任问题：你不用再相信答案本身，但你得相信"辩手里有个好人"。而后续研究还指出了更实际的麻烦——"混淆论证"问题：撒谎的辩手可以把论证故意写得晦涩庞大，诚实的对手翻遍算盘也找不到那个藏起来的漏洞。

2026 年 7 月，Chen、Kalai 和 Xi 走出了关键一步。在《How to Avoid Debate》（arXiv:2607.03561）里，他们证明：不需要诚实的证明者。只要计算满足一个叫"鲁棒性"的性质，单个证明者就能完成相对论化的双向高效交互证明——验证者快，证明者也快。

美中不足：他们的验证者开销仍然挂在电路的规模或深度上。电路一大，验证者还是会被拖慢。

于是问题自然浮出来：能不能在完全不假设任何证明者诚实的前提下，把验证者的开销压到和电路大小无关？

这篇论文的答案是：能——只要你用好一个被所有人忽略的物理事实。

⏪ 遥控器：把 AI 倒回昨天

这个支点值得单独停下来看，因为它是整篇论文灵感的来源。

在经典证明系统里，证明者是一个外部实体——一只神秘的信箱，投进去问题，吐出来答案，你不知道它内部发生了什么，更无法控制。但在可扩展监督的场景里，证明者不是外人：它就是你的模型，跑在你自己的机器上，或者至少跑在你能控制的虚拟机、可信硬件里。

这意味着一件经典密码学家想都不敢想的事：你可以给证明者拍快照，然后把整个模型倒回到对话中的任意一个早期状态，再从那里接着问。

像电子游戏的读档。像录像带的倒带。像一台审讯室里的时间机器——你让嫌疑人回到一年前的那个下午，从同一个心理起点重新走一遍，这次你问他一个不同的问题。他不知道你上一次问了什么，因为他的记忆被回滚了。

论文把这种协议命名为 RIP：rewindable interactive proof，可倒带的交互式证明。作者在第 5 节的脚注里开了一个很冷、很理论圈的玩笑：

"请勿与另一种 RIP 混淆（安息吧，R.I.P.）。我们的证明者只是被倒带，从未受到伤害。"

这个模型与 MIP、PCP 都有亲缘关系——把一台机器倒带，某种意义上是用一个物理副本模拟了"多个互不通气的证明者"。论文的附录还专门讨论了 RIP 与 MIP 的精确关系。但关键的效率差异在于：MIP 需要真的隔离多个实体，搭建、通信、防串供，样样是成本；而倒带只用一台机器就造出了同样的"口供隔离"，串供在物理上被时间回滚封死——昨天的模型收不到今天的纸条。

一个必须诚实交代的细节：RIP 的可靠性（soundness）要求比标准证明系统弱。标准证明系统要对一切作弊策略可靠；RIP 只对可以被倒带的作弊者可靠——它倒带之后的回答，不能依赖于被恢复状态之后发生的任何事。这正是模型威力的来源：验证者可以从同一个状态问任意多次，而证明者永远不知道你还有哪些问题。反过来说，如果作弊的证明者有一本不被倒带的笔记本——藏在审讯室外的外部存储——可靠性就会被打破。所以这个协议的前提，是证明者必须被密封在时间胶囊里：不能留草稿，不能写日记，不能给明天的自己递纸条。

看清这个前提，就不会对它失望：它描述的恰恰是真实的部署场景——你的模型本来就该跑在你控制的沙箱里。

🧱 鲁棒性：汤里的几粒盐

那"鲁棒"计算是什么意思？定义干净得像定义本身：

一个预言机电路是 ε-鲁棒的，如果改动最多 ε 比例的预言机回答，输出不变。

生活化的例子俯拾即是。一锅汤里换几粒盐，味道不变——这锅汤的味道对"盐粒级错误"是鲁棒的。反过来，如果整锅汤的味道取决于某一颗不可替代的盐，那它就脆弱。再比如多数投票：让一个分类器看一张手写数字图的许多个随机局部视角，每个视角投一票，最后取多数——换掉少数几票，结果纹丝不动。

为什么非得要这个假设？回看前面的不可能性结果：如果一处预言机错误就足以颠覆输出，验证者只能全部重查，高效验证没有活路。鲁棒性给了验证者抽查的许可证：

关键洞察：如果真实输出不是 a，那么任何能让验证者相信"输出是 a"的证词，必须在预言机回答上撒谎，且撒谎比例必然超过 ε。于是验证者随机抽查 O(1/ε) 个回答，就有常数概率抓到一个谎言；重复几轮，作弊被发现的概率指数级逼近 1。

抽查能代替全查，因为真相本身不怕噪音。Chen–Kalai–Xi 那篇论文有一个很漂亮的辩护：当预言机代表人类判断时，鲁棒性几乎是对任务的基本要求——人类判断本来就带噪声，一个会被少数人意见左右的标签，本身就不值得采信。更广泛的直觉是：许多任务可以通过冗余变得更鲁棒——把问题换个措辞、问不同的人、取多数答案。鲁棒性不是技术补丁，而是关于"什么样的任务值得验证"的哲学假设。

🎼 引擎室：三步，不用一根密码学螺丝

现在把镜头推进到协议内部。整条流水线可以拆成三步，每一步都能讲给外行听。

第一步：拆掉黑箱。 让证明者交出一份"预言机回答清单" w——电路里每个预言机门该得到什么答案，它先全招了。把门里的黑箱替换成清单上的比特，带预言机的电路就变成了普通电路。接下来只剩两件事要验：(1) 按这份清单算下去，输出确实是 a；(2) 清单上的回答和真预言机一致。

第二步：编码 + 抽查。 清单不能明文交——太长，验证者读不起，读了就不高效了。证明者把"清单 + 完整计算轨迹"用纠错码编码后交出（这里用的是 TensorSwitch 张量码：码长线性、码距恒定、编码时间线性）。纠错码的妙处在于：任何两个合法码字必然在大量位置上不同，所以验证者只需检查编码串上的几个位置，就能判断这个串离"合法证词的编码"有多远。然后它随机抽几个预言机门的位置，借助交互式局部解码（证明者出力帮忙，验证者只花对数时间）恢复出"该门声称的提问与回答"，拿去和真预言机对答案。鲁棒性保证：如果结论是假的，清单上必然布满谎言，抽查必中。

第三步：把 IOP 编译成 RIP——倒带取代密码学。 上面这套协议本质是一个 IOP（interactive oracle proof，交互式预言机证明）：证明者发送很长的消息串，验证者只读其中几位。实用证明系统大多建在 IOP 上，因为它对双方都省。

但 IOP 有一个信任前提：证明者的每条长消息必须在被查询之前就固定下来，不能根据验证者问了哪些位来现场编答案——否则抽查会被适应性作弊钻空子。在传统路线里，这个前提靠密码学承诺（commitment）保证：证明者先把消息哈希锁进保险箱， query 时才允许开一条缝。承诺是昂贵的，它需要哈希、需要椭圆曲线、需要一堆未证明的假设。

RIP 把这个保险箱整个扔掉了。当验证者想读某条消息的第 i 位时，它把证明者倒带到"刚算完这条消息"的那个状态，只问这一位。 在倒带状态下，证明者不知道验证者之前还问过哪些位——它的答案不可能针对你的提问历史做适应性优化。换句话说：

倒带模拟了承诺。 密码学在这里被一台时光机替换。整个协议零密码学假设，可靠性是信息论级别的——哪怕作弊者是算力无穷的神，也只能以最多 1/3 的概率骗过验证者（之后可以靠重复把错误率压到任意低）。

📐 主定理：一行数字

论文的主定理（Theorem 1.1，正式版 Theorem 5.8）用一句话说：

对一个 ε-鲁棒的预言机电路 C^O（n 位输入、m 位输出、S 个门），经过一次性预处理 Õ(n+m+S) 之后，存在一个相对论化的 RIP 协议：

> - 验证者在线时间 Õ(n+m+1/ε)，只问 O(1/ε) 次预言机；

- 诚实证明者时间 O(n+m+S)——和它老老实实算一遍一样快，线性；

- 轮数 O(log(n+m+S))，总通信量 Õ(1/ε)；

- 作弊者（即使算力无穷）骗过验证者的概率至多为 1/3。

和陈–卡莱–西（CKX）协议比，差距一目了然：CKX 的验证者开销还挂在电路的规模或深度上，而这里验证者的在线时间只依赖输入长度、输出长度和鲁棒性参数，与电路多大、多深完全无关，预言机查询次数只取决于 1/ε。此外，CKX 的简洁协议是计算可靠性（依赖密码学假设），本协议是统计可靠性（无假设）；证明者从多项式时间改进到线性时间。

预处理那一步是必要且标准的：验证者要读一遍电路描述存成状态，此后每次评估都复用。在"固定电路、海量输入"的训练标签场景里，这份一次性成本被摊薄到近乎为零。任何想让在线验证快过读电路的方案，都绕不开某种形式的预处理——这是下界，不是妥协。

🧪 数字不说谎：两组实验

理论再漂亮也要过秤。作者真的实现了协议。

实验一：MNIST 上的抽查。 灵感直接来自辩论论文的经典实验：用一个稀疏 MNIST 分类器当预言机（只看图像 6 个非零像素就判断数字）。电路对一张图的许多随机稀疏视角发起预言机查询，多数投票决定候选数字是否成立。在 2⁻⁴⁰ 的可靠性参数下、50 张测试图像上，把预言机门的数量从 2⁸ 一路加到 2²⁶：

• 验证者的预言机查询次数中位数稳在 74–80 次——别忘了，最大的电路本来需要约 6700 万次查询，相差 84 万倍；
• 验证者在线时间在约 700 万门处跌破直接计算的成本，2²⁶ 门时只用了直接计算的 12%（约八分之一）；
• 代价在证明者一侧：它要生成完整证词，最大规模下耗时约是直接计算的 60 倍。验证者省下的每一秒，都是证明者加班加出来的。

实验二：把 Flock 倒带化。 Flock 是一个前沿 SNARG（简洁非交互论证），用于批量计算 BLAKE3 哈希，底层是一个 IOP，外层用密码学编译成非交互式。作者把同一个 IOP 直接编译成 RIP——省掉了整个密码学编译层——在 2²² 到 2³⁴ 规模的实例上，证明者比 Flock 的 SNARG 证明者快 1.8 到 2.1 倍。

为什么倒带反而更快？两个原因。其一，证明者不再需要对长证明串做密码学承诺，省掉了那一大块开销。其二更微妙：在 SNARG 里，作弊的证明者可以拿到证明串后离线无限次重试、寻找能骗过验证者的伪造；在 RIP 里，它每次执行只有这一次机会，所以 IOP 可以跑在更低的安全级别、更小的有限域上——整个系统的参数都能调得更松。

🚫 为什么不直接从货架上拿一个 SNARG？

区块链时代，简洁论证系统遍地都是，为什么可扩展监督不直接拿来用？论文给了两个理由，都很硬。

第一，货架上的 SNARG 不处理预言机。 即便计算是鲁棒的，现有系统也爱莫能助——黑箱进不了它们的电路模型。

第二，它们的可靠性站在未证明的假设上——从保守的碰撞抗性哈希，到为追求具体效率而采用的激进假设。而 AI 正在这些假设的底下挖矿：论文提到，最近一些由 AI 发现、仍在评审中的结果，宣称否定了指数时间假设（ETH），并据此给出椭圆曲线离散对数问题的亚指数算法。椭圆曲线离散对数，正是当今密码学的承重墙之一。在这样的时刻，把超级 AI 的可信问题押在"离散对数很难"上，是不是一笔审慎的买卖，已经非常可疑——你在用一个可能被淘汰的假设，去约束一个最擅长淘汰假设的对手。

RIP 同时绕开这两个坑：它原生处理鲁棒的预言机计算，不依赖任何密码学假设，对计算能力无限的作弊者依然可靠。更妙的是，扔掉密码学不仅更安全，还更快——上面的 Flock 实验就是证据。少一层盔甲，反而跑得更轻。

⚠️ 诚实的边界：这本书的封底

理论文章最容易在 limitations 一节露怯或藏拙。这篇没有。把条件摊开数一遍：

1. 鲁棒性是必需品，不是装饰品。 不可能性结果堵死了"任意计算"的路，鲁棒性是最小代价的通行证。但哪些真实任务天然鲁棒，是个开放的经验问题：多数投票式的集成学习显然是；某些一步错步步错的脆弱推理链，很可能不是。这条假设划出了协议的疆域，也把"设计鲁棒任务"提成了新的工程课题。 2. 预处理不免费。 Õ(n+m+S) 的一次性成本，在"同一电路跑一百万个输入"的训练标签场景下无关紧要，但对一次性计算不划算。 3. 证明者很沉重。 实验里 60 倍的诚实开销提醒我们：协议的账本是守恒的，验证者的轻快由证明者埋单。好在证明者本来就要跑那个计算，附加成本是常数级倍数，不是数量级。 4. 你必须真正控制证明者的机器。 快照、回滚、可信硬件、虚拟机检查点——这些是协议的物理前提。模型能把信息写进不被倒带的外部存储，整个安全性就塌了。好消息是，前沿实验室部署高能力模型时本来就该这么做；RIP 只是把这条安全实践变成了数学证明的一部分。 5. 鲁棒性越差，抽查越贵。 一切成本按 1/ε 缩放。对脆弱的任务，协议诚实地变贵，不装。

这不是一份部署手册，而是一扇打开的门：它第一次证明，"零信任假设 + 相对论化 + 高效验证"这个看起来贪心得不行的组合，是可以同时成立的。

🌌 尾声：信任的新形状

回到开头那个睡不着的场景。

几百页卷宗，几十个比特的标签，一个你打不过的模型。老办法是辩论——找两个 AI 互撕，祈祷其中一个是好人。新办法更冷，也更安静：让模型走进一间可以倒带的房间，交出一份带纠错码的证词，然后从同一个起点，回答随机抽查的一千个问题。谎言必须在没有记忆、没有串供、没有草稿纸的条件下，和真相长得一模一样——而在数学上，这不可能。

倒带的妙处，是它把一个深刻的信任问题还原成了一个古老的公正仪式：让证人在不自知的情况下重复证词，看分叉处是否自相矛盾。人类用这个方法审了几千年的案，只是第一次有人把它写进了定理。

时间机器不存在于物理里，它存在于虚拟机的快照里。审讯者不需要比嫌疑人聪明，只需要一个倒带键，和愿意多问一遍的耐心。

这大概就是超级智能时代，信任应有的形状：不是相信，而是回放。

---

📚 参考文献

1. Guan, Z., Kalai, Y. T., Rothblum, R., & Xi, Z. Efficient Scalable Oversight via Rewinding. arXiv:2610.40535, 2026. https://arxiv.org/abs/2610.40535 2. Chen, L., Kalai, Y. T., & Xi, Z. How to Avoid Debate: Scalable AI Safety via Doubly-Efficient Interactive Proofs. arXiv:2607.03561, 2026. https://arxiv.org/abs/2607.03561 3. Irving, G., Christiano, P., & Amodei, D. AI Safety via Debate. arXiv:1805.00899, 2018. https://arxiv.org/abs/1805.00899 4. Shamir, A. IP = PSPACE. Journal of the ACM 39(4), 1992. 5. Babai, L., Fortnow, L., & Lund, C. Non-Deterministic Exponential Time has Two-Prover Interactive Protocols（MIP = NEXP）. FOCS 1990. 6. Goldwasser, S., Kalai, Y. T., & Rothblum, G. N. Delegating Computation: Interactive Proofs for Muggles（GKR 协议）. Journal of the ACM 62(4), 2015. 7. Goldwasser, S., Micali, S., & Rackoff, C. The Knowledge Complexity of Interactive Proof Systems. SIAM Journal on Computing 18(1), 1989.（交互式证明的开端）

#每日论文 #paperscool #可扩展监督