技术与协议a16z Crypto00:48
如何证明软件正确运行——在手机上或GPU上，在后量子世界中
How to prove software ran correctly — on a phone or GPU, in a post-quantum world
Jolt后量子版本主打手机与GPU可验证，性能能否兑现仍需实测数据
判断
正在为链上验证成本选 zkVM 的团队，可以把「后量子」从路线图挪进当期评估：若费用大头是证明体积，Lattice Jolt 已在体积与速度上同时给出报价，前提是自己复现一遍。
依据
a16z crypto 的 Markos Georghiades、Justin Thaler、Andrew Tretyakov 与 Michael Zhu 在9月10日发布 Lattice Jolt，把 Jolt 里唯一依赖椭圆曲线的组件 Dory（多项式承诺方案，负责把多项式压成短承诺）换成基于格假设 Module-SIS 的 Akita。机制是：椭圆曲线把证明运算锁在 256 位域上，格密码在 128 位域就能达到同等安全，而 prover 的开销主要花在域元素相乘，位宽减半使每次乘法快数倍。同一台笔记本上，Dory 时期约 700,000 cycles/s，优化后过 1 million，Lattice Jolt 超 2 million；MacBook 配 Metal（苹果在自研 GPU 上跑代码的框架）超 10 million，仅 CPU 也超 2 million。证明体积降到 100 KB 以下，其他后量子 zkVM 在 200 KB 到 600 KB 以上，prover 内存从约 300 bytes/cycle 降到 200。
- Dory 版 Jolt（笔记本 CPU）约 700,000 cycles/s
- 曲线版 Jolt（优化后）超 1 million cycles/s
- Lattice Jolt（MacBook CPU）超 2 million cycles/s
- Lattice Jolt + Metal超 10 million cycles/s
没写清 材料没给手机端的实测读数——「百万级 RISC-V cycles 可在手机上证明」是能力陈述，10 million 那一档是 MacBook 配 Metal 的数字，两者不能互相顶替。
下一步 等随附论文（companion paper）发布，看是否附上手机端 cycles/s 的实测数字。