IPA 系证明与递归：Bulletproofs、Halo、Nova/Folding

maocred@gmail.com (Halois) — Tue, 09 Dec 2025 08:00:00 +0800

Reading: recursion through the IPA lens.

这一篇最容易写错的方式，是把 Bulletproofs、Halo、Nova 分成三段协议摘要。那样会丢掉真正重要的主线：inner-product machinery 为什么天然会把系统推向 recursion；以及“可递归的对象”到底在不同系统里发生了什么变化。

若只从结果看：

Bulletproofs 给出对数级压缩证明
Halo 给出递归验证路线
Nova 给出 folding / IVC

这三句都不假，但还是太散。更有用的看法是：它们都在处理“证明对象如何被继续压缩”这个问题，只是压缩的对象不同。

在这条线上：

Bulletproofs 压缩的是高维 relation 本身
Halo 累积的是 verification obligations
Nova 折叠的是 instance / witness state

所以这一篇的主角不是 chronology，而是对象变化：从证明一个 instance claim，到维护一个 accumulator，再到维护一个可继续折叠的证明状态。¹ ² ³

多项式承诺的统一看法：KZG、IPA、FRI

maocred@gmail.com (Halois) — Fri, 05 Dec 2025 08:00:00 +0800

Reading: one article, three schemes, one interface.

前一篇已经把 computation 变成了多项式对象：QAP 里有 $A_{\mathbf{w}}, B_{\mathbf{w}}, C_{\mathbf{w}}, H, Z$，AIR 里有 trace polynomials 与 composition polynomial。到了这里，问题不再是“如何把程序写成多项式”，而是“如何承诺这些多项式，并在不泄露全部系数的前提下证明某些点值或低度性声明”。

如果把 KZG、IPA、FRI 分别介绍，很容易写成三段协议百科。更有用的视角是：三者都在回答同一个问题，只是 machinery 不一样。这个问题可以先压成最小形式：

我已经对一个多项式 $f(X)$ 做了承诺。现在我要证明在点 $z$ 上，它的取值确实是 $y = f(z)$，或者至少证明它来自某个低度多项式家族。

在这个统一接口下：

KZG 把 opening 变成 pairing verification equation
IPA 把 opening 变成 coefficient vector 和 evaluation vector 的 inner-product proof
FRI 把 low-degree claim 变成 repeated folding and query consistency checks

所以这一篇的重点不是“哪个更好”，而是它们各自把 evaluation proof 压成了什么对象，又因此带来了什么 setup、proof size 和 verifier cost。¹ ² ³

Ipa on As it was

IPA 系证明与递归：Bulletproofs、Halo、Nova/Folding

多项式承诺的统一看法：KZG、IPA、FRI