1. 从「聚合价格」到「模型结论」：信任被转移到了哪里

要理解 AI 预言机带来的新问题，先要看清传统预言机的信任模型。一个典型的价格预言机，做的是把多个交易所或链上市场的价格采集回来、按某种规则（如取中位数、加权平均）聚合成一个数值，再写上链。这个过程的关键特征是「可复算」——任何研究者只要拿到相同的原始报价和聚合规则，就能自己算一遍，验证喂价合约给出的数字是否合理。信任在这里主要落在「数据源是否被操纵」和「聚合逻辑是否透明」上，而这两点都是可以在链上或公开市场数据里追查的。

AI 预言机改变的正是这个「可复算」的前提。它处理的往往不是已经数值化的价格，而是模糊的、非结构化的输入：一段新闻文本的真伪、一场体育赛事的最终结果、一张卫星图像里油罐的库存判读、一份链下合同是否被履行。模型把这些输入「理解」成一个链上可消费的结论——是或否、赔付或不赔付、某个数值。问题在于，这个结论不再来自一个人人可复算的公式，而来自一次特定模型、特定权重、特定输入下的推理。信任于是从「数据与公式」整体转移到了一个新的对象上：这个模型本身、它的训练数据、它的推理环境，以及运行它的那一方是否诚实。核验 AI 预言机，第一步就是意识到这层转移——你要评估的不再只是「数据对不对」，而是「这个生产结论的模型和运行它的人，凭什么值得信赖」。

  • 传统预言机的核心特征是「可复算」：拿到相同报价与聚合规则，任何人都能独立验证喂价结果。
  • AI 预言机处理非结构化输入，用模型推理生成结论，打破了「人人可复算」的前提。
  • 信任从「数据与公式」转移到「模型本身、训练数据、推理环境与运行方是否诚实」，这是核验的起点。

2. 不可复现性：模型推理为什么难以被独立复算

传统预言机之所以可核验，是因为它的每一步都可以被重放；AI 预言机最棘手的地方，恰恰在于它的结论天然难以被独立复现。这种不可复现性来自几个叠加的层面。首先是模型本身的不透明——如果模型权重不公开，外部研究者根本无法在同样的输入上重跑一遍，只能被动接受输出；即便权重公开，大模型的推理也常常受浮点运算顺序、硬件差异、采样温度、随机种子等因素影响，同样的输入未必得到逐位一致的输出。其次是输入的不可留痕——模型判断依赖的原始素材（那段文本、那张图像）如果没有被完整、防篡改地记录下来，事后就无从核对「它当时到底看到了什么」。

这带来一个和传统预言机截然不同的核验困境：当一个 AI 预言机给出了一个有争议的结论，你想复核时会发现，几乎没有抓手。你不知道它用的是哪个版本的模型，不知道输入是否被预处理或裁剪过，也无法保证自己重跑能得到相同结果。于是「核验」很容易退化成「信任运行方的自证」——它说模型是这么判断的，你只能信。研究者面对 AI 预言机时应当把不可复现性当成一个显式的风险维度来追问：模型版本是否被固定并公开哈希？关键输入是否被完整存证（例如把输入的哈希上链）？是否存在一种机制，让第三方至少能在事后验证「输入-模型-输出」这条链条没有被中途替换？如果这些都没有，那么这个预言机的「客观」二字，本质上是建立在对运行方的无条件信任之上的。

  • 不可复现性来自多层：模型权重不公开、推理受硬件与随机性影响、输入素材未被防篡改留痕。
  • 结果是核验退化为「信任运行方自证」——它说模型这样判断，外部难以独立反驳。
  • 核验方向：模型版本是否固定并公开哈希、关键输入是否上链存证、能否事后验证「输入-模型-输出」未被替换。

3. 单一模型喂价：新的单点操纵面

本站此前讨论预言机操纵时，反复强调过一个原则：单一数据源就是单点故障。AI 预言机把这个问题带到了一个新的维度——如果链上一系列合约都依赖同一个模型、同一个运行方给出的结论，那么这个模型就成了一个高度集中的操纵面，而且它的操纵方式比传统喂价更隐蔽。传统喂价被操纵，往往需要在真实市场上砸出价格（例如闪电贷拉盘），这在链上会留下痕迹；而模型结论的操纵，可能发生在你看不见的地方：训练阶段被投喂带偏见的数据、推理阶段被喂进精心构造的对抗性输入（adversarial input）让模型误判、或者运行方直接在输出环节做手脚而对外声称「模型就是这么判断的」。

更值得警惕的是激励错配。如果一个 AI 预言机的运行方，同时在它所喂价的市场里持有头寸，那么它就有动机在关键时刻让模型「恰好」给出对自己有利的结论——而由于第 2 节所说的不可复现性，这种操纵极难被外部证明。核验者需要把「谁在运行这个模型、他们有没有利益冲突、有多少独立主体在提供同类结论」当作核心问题。一个健康的设计，不应该让单一模型的单次输出直接决定大额资金的清算或赔付；至少应当有多个独立模型或独立运行方交叉、有异常结论的挑战期、有在结果分歧时的回退逻辑。如果整个系统的「事实」都由一个黑盒模型说了算，那么无论它平时多准，它都是一个随时可能被利用的单点。

  • 依赖单一模型/单一运行方的 AI 预言机，是一个比传统喂价更隐蔽的单点操纵面。
  • 操纵可发生在训练（投喂偏见数据）、推理（对抗性输入）或输出（运行方直接做手脚）等看不见的环节。
  • 最危险的是激励错配：运行方在所喂价市场持仓时，有动机让模型「恰好」给出对己有利的结论。

4. 多源交叉与争议解决：谁在给模型的结论「兜底」

既然单一模型不可信，那么合理的方向就是不让任何单一结论成为终局。这在传统预言机里对应「多源聚合」，在 AI 预言机里则要复杂一些，因为模型的结论往往是离散的判断（是/否、赔/不赔），不像价格那样可以简单取中位数。这里值得核验的是系统有没有一套清晰的争议解决机制：当多个模型或多个运行方给出的结论不一致时，系统怎么办？是简单多数决，还是引入人工仲裁、乐观挑战期（optimistic challenge），或者回退到一个更保守的默认结论？本站在讨论预测市场裁定时提到过类似的「提议-挑战-终局裁决」结构——AI 预言机同样需要回答「终局裁决权到底落在谁手里」这个问题。

一个设计良好的系统，通常会把 AI 模型定位成「高效的初步判断者」而非「不可推翻的终审法官」：模型先给出结论，但保留一个挑战窗口，任何人都可以在窗口内质押挑战，触发更高成本、更透明的复核流程（例如去中心化的人工投票或多模型重裁）。这样即便单个模型出错或被操纵，也有一层经济和程序上的兜底。核验者应当追问：这个 AI 预言机的结论是「即时终局」还是「可被挑战」？挑战的成本和路径是否对普通参与者可行，还是高到形同虚设？争议最终由谁裁定，这个裁定者本身是否又是一个新的中心化单点？把这些问题问清楚，才能判断这个系统究竟是「多了一层 AI 加速」，还是「用 AI 的黑盒替换掉了原本可核验的流程」。

  • 合理方向是不让任何单一结论终局；但模型结论多为离散判断，无法像价格那样简单取中位数。
  • 关键在争议解决机制：结论不一致时靠多数决、人工仲裁、乐观挑战期还是保守回退。
  • 健康设计把模型当「初步判断者」而非「终审法官」，保留可行的挑战窗口作为经济与程序兜底。

5. 可信执行环境（TEE）：它能证明什么，不能证明什么

面对模型的不可复现性，业界常见的一种技术回应是可信执行环境（TEE，Trusted Execution Environment）——把模型放进一个硬件级的「保险箱」里运行，由芯片产生一份远程证明（remote attestation），声称「这段代码确实在未被篡改的环境里、用指定的输入跑出了这个输出」。这是一个有价值的工具，但它的能力边界经常被夸大，核验者必须分清它能证明什么、不能证明什么。

TEE 能证明的是「执行完整性」：在理想情况下，它能让你相信运行方没有偷偷替换模型、没有篡改推理过程、输出确实来自声称的那段代码和那份输入。但它证明不了「输入本身是对的」——如果喂给模型的原始数据（那张图、那段文本）一开始就是伪造或被挑选过的，TEE 会忠实地把一个错误输入的推理结果封装成「可信」输出，垃圾进、垃圾出。它也证明不了「模型的判断是正确的」——模型可能在 TEE 里一丝不苟地跑出了一个错误或被对抗性样本误导的结论，而证明只保证了「它确实这么跑了」，不保证「它跑对了」。此外，TEE 本身也依赖硬件厂商的信任根，历史上侧信道攻击也屡有出现。所以务实的态度是：把 TEE 的远程证明当作「执行没被动手脚」的证据，而不是「结论可信」的证据；它解决的是第 2 节里「输入-模型-输出未被替换」的一部分，但完全不能替代第 3、4 节所说的多源交叉与争议解决。真正稳健的系统，往往是 TEE、多源交叉、可挑战裁决三者叠加，而不是指望任何单一技术一劳永逸。

  • TEE 能证明「执行完整性」：模型与推理过程未被篡改、输出确来自指定代码与输入。
  • TEE 证明不了「输入是真的」也证明不了「判断是对的」——垃圾进、垃圾出仍会被封装成「可信」输出。
  • 务实定位：TEE 是「执行没被动手脚」的证据，需与多源交叉、可挑战裁决叠加，而非单一技术包打天下。

6. 核验清单与小结

把前面五节收敛成一套可复用的核验清单，面对任何一个声称「用 AI 把链下事实搬上链」的预言机或数据服务，都可以逐项过一遍：其一，信任落点在哪——这个结论来自可复算的公式，还是某个模型的推理？如果是后者，模型版本是否固定并公开哈希？其二，可复现性如何——关键输入是否被完整存证（如输入哈希上链），第三方能否事后验证「输入-模型-输出」这条链没有被替换？其三，是否单点——是否依赖单一模型或单一运行方，运行方在所喂价的市场里有没有利益冲突？其四，有没有兜底——多个独立结论不一致时如何裁定，是否存在成本可行的挑战窗口与保守回退逻辑？其五，技术证明的边界是否被诚实标注——如果用了 TEE，它证明的是执行完整性，运行方有没有把它包装成「结论可信」来误导用户？

需要反复强调的是：AI 预言机让「把复杂的链下事实变成链上结论」这件事变得高效，但效率的代价是可核验性的下降——原本人人可复算的流程，被换成了一个需要信任模型和运行方的黑盒。这不必然是坏事，但研究者的职责是把这层信任显式地摆到台面上，而不是被「AI 更客观」「硬件级可信」这类措辞轻轻带过。最务实的原则是：越是重大、不可逆的链上动作（大额清算、最终赔付、结果裁定），越不应该由单一模型的单次输出直接决定，而应有多源、可挑战、有回退的结构兜底。本文通篇讨论的是抽象的机制类别与核验方法，不点名、不评价任何真实存在的产品或协议，全文不构成任何形式的投资建议。作为「AI×链上」系列的第二篇，下一篇我们计划把镜头进一步推进到链上模型的可信执行与验证——当我们不仅想知道「模型跑了」，还想在链上低成本地证明「模型跑对了」时，零知识机器学习（zkML）这类方向又带来了哪些新的可能与新的坑。

  • 核验清单五问：信任落点、可复现性、是否单点、争议兜底、技术证明边界是否被诚实标注。
  • 务实原则：越是重大不可逆的链上动作，越不应由单一模型单次输出直接决定。
  • 全文为机制类别与方法论讨论，不点名任何真实产品，不构成投资建议；系列下一篇将转向 zkML 与链上模型可信执行。