Vitalik Buterin深度解析生物人格证明在区块链中的应用与前景

原文标题：What do I think about biometric proof of personhood?

特别感谢Worldcoin团队、Proof of Humanity社区和Andrew Miller所做的讨论。

Worldcoin由OpenAI首席执行官Sam Altman联合创立，其核心理念是：人工智能虽然能创造巨大财富，但也可能导致大规模失业，并使得区分人类和机器人变得困难。因此，首先需要建立可靠的人格证明系统，其次通过UBI（全民基本收入）来缓解这一冲击。Worldcoin的独特之处在于采用了先进的生物识别技术，使用名为”Orb”的专用硬件扫描用户虹膜。

本文将探讨这些问题，帮助读者思考是否应该接受这种新兴技术，以及基于社交图谱的人格证明或完全放弃人格证明是否是更好的选择。

人格证明的定义与价值

人格证明系统本质上创建了一个公钥列表，确保每个密钥都由唯一的人类控制。这种机制在解决反垃圾邮件和权力中心化问题方面具有重要价值，同时减少了对中心化机构的依赖并最大限度地保护隐私。如果没有有效的人格证明，去中心化治理将更容易被富有的行为者或敌对政府操控。

目前许多主流应用依靠政府支持的身份验证系统（如信用卡和护照），但这往往以牺牲隐私为代价，并且容易受到政府干预。人格证明项目通常内置”UBI代币”机制，每个注册用户定期获得固定数量的代币。除此之外，人格证明还可应用于空投分发、优惠销售条件、DAO投票、信誉系统构建、二次投票机制以及防范社交媒体机器人攻击等多个场景。

早期人格证明尝试

人格证明主要分为基于社交图谱和生物识别两种形式。基于社交图谱的系统依赖担保机制：如果多个已验证用户确认某人的身份，则该人很可能也是真实的。生物识别系统则通过验证身体或行为特征来区分人类和机器人。

Proof of Humanity要求用户上传视频并缴纳押金，现有用户可为其担保，经过质疑期后由去中心化法院裁决真实性。BrightID通过视频通话”验证派对”实现互验，更高级别验证需要其他用户担保。Idena则在特定时间点进行验证码游戏，用户既创建也验证验证码。Circles则通过现有用户担保新用户，不追求全球可验证ID，而是构建信任关系图。

Worldcoin的运作机制

Worldcoin用户在手机应用生成密钥对后，需亲自前往Orb设备进行虹膜扫描。Orb通过复杂硬件和机器学习验证两点：用户是真实人类；其虹膜与系统内任何记录都不匹配。验证通过后，Orb会签署虹膜扫描的专用哈希值上传至数据库（目前中心化，未来计划去中心化）。系统不存储完整虹膜扫描，仅保存用于唯一性检查的哈希值。此后用户即拥有”World ID”，可通过ZK-SNARK证明自己是唯一人类，而无需透露具体密钥信息。

构建Worldcoin的主要挑战

Worldcoin面临四大主要风险：隐私问题（虹膜扫描注册表可能泄露信息）、可访问性问题（Orb设备普及度）、中心化风险（依赖硬件制造商）以及安全性问题（设备被黑或伪造）。这些问题需要区分：Worldcoin特定选择的问题、生物识别人格证明固有问题和一般人格证明共性问题。

在隐私保护方面，Worldcoin相比其他方案已有显著改进。零知识证明技术允许用户验证身份而不暴露具体密钥。虹膜哈希仅存储少量数据，虽然对手仍可能通过强制扫描确认注册状态，但泄露的医疗信息远少于现有海量数据收集系统。未来可通过改进虹膜哈希算法或采用多方计算系统进一步增强隐私保护。

可访问性方面，专用硬件Orb的普及是一大挑战。撒哈拉以南非洲智能手机普及率预计2030年将达87%，但Orb设备数量仍有限。相比之下，基于社交图谱的系统存在更严重的可访问性问题，除非新用户已认识系统内成员，否则难以加入。

中心化问题表现为三个层面：顶层治理风险、专用硬件特有风险以及专有算法风险。Worldcoin计划通过开源Orb设计、鼓励多方制造并逐步过渡到DAO治理来缓解这些问题。但分布式制造机制仍面临不良制造商风险和政府限制风险，需要通过定期审计和设备区分等机制来应对。

人格证明的普遍安全问题

除Worldcoin特有挑战外，人格证明系统普遍面临：3D打印虚拟人欺骗、ID买卖、手机被黑以及政府强制等问题。对于虚拟人问题，面对面扫描比视频验证更难伪造，但随着技术进步，专用硬件也可能被欺骗。ID买卖问题可通过允许重新注册机制缓解，UBI代币也提供了保持注册的动力。

防止政府强制行为更具挑战性，但可通过要求注册时说出特定短语、锁定密钥在受信任硬件中等技术手段增加滥用难度。对于ID出租问题（如出售选票），MACI系统可防止可信出售，但若攻击者控制注册密钥则无效。解决方案包括在MPC中运行整个应用或采用去中心化注册仪式。

生物识别与社交图谱验证比较

基于社交图谱的验证支持者认为其优势在于：不依赖专用硬件、避免军备竞赛、更隐私友好、兼容匿名性以及提供更细致的评分而非二元判断。这些优势确实存在，但社交图谱方法也有其局限性：启动困难（新用户需认识现有成员）、隐私风险（暴露社交关系）、不平等（社交强者可获得更多ID）以及可能滑向中心化风险。

在假名兼容性方面，理论上人格证明可支持多账户系统，甚至采用二次成本公式。但悲观者认为任何身份系统最终都可能被权力机构滥用，完全匿名可能是唯一选择。作者则倾向于折中方案，在协议层面内置隐私保护机制。

结论与展望

不存在完美的人格证明方案，当前主要有三种范式，各有优缺点。理想情况下应将它们结合使用：生物识别技术适合大规模安全验证，基于社交图谱的系统长期可能更稳健。所有项目团队都可能犯错，商业利益与社区需求间存在张力，因此需要保持警惕，推动开源、第三方审计和多方制衡。

将可靠的人格证明系统推广至加密社区之外面临重大挑战，可能需要多年时间才能找到可行方案。虽然各种实现方式都有风险，但缺乏人格证明的世界可能更易被中心化身份解决方案、金钱或封闭小团体主导。期待看到各类人格证明技术的进一步发展，希望不同方法最终能融合成连贯的整体。