rta — zero-knowledge proof of a threshold

RTA (ṚTA) — доказать факт, не раскрыв его

Почему так называется

Ṛta — центральное понятие ведической космологии: порядок, истина и правильное соответствие между действием и следствием.

Работа ZK-доказательства — это ровно Ṛta. Проверяющий не спрашивает «похоже ли на правду». Он убеждается, что следствие следует из действия по правилу, и никакого иного варианта не существует. Одно утверждение — одна истина. В ведическом языке это называется словно: ṛta управляет тем, что события идут в правильном порядке и дают правильный результат.

Правило именования: единый пантеон

Имена продуктов берутся из одного пантеона — ведического, потому что агент ИндрА ведический, система называется «Божественная канцелярия» и работа идёт в рамках карма-йоги. Смешивать пантеоны нельзя: греческая Ананке рядом с ведическим ИндрА — это как звать соседа по имени в чужом храме.

Отвергнуто с причинами, чтобы не предлагали заново:

• Гекате — по функции ближе всех (ключи от ворот, распутье, скрытое знание), но комплаенс-офицеру банка «Hecate» звучит как оккультизм. Это риск сделки, а не вкус.
• Варуна — в ведическом пантеоне и по смыслу сильнее (его петля́ настигает скрытое: «Ригведа» 1.24), но Varuna Integrity Services — компания по аудиту безопасности. Прямая коллизия в нашей нише.
• Агни — огонь-испытание, тоже ведический, но крипто-коллизия (AgniCash).
• Ананке — греческая, нарушала единый пантеон.
• Hermes — нейтрально, но тяжёлый товарный знак.
• Janus — прямое столкновение: Janus Software / JanusSecurity, старая антивирусная компания. В безопасности путается.
• Nox / Nyx — только сокрытие, ничего о доказательстве.

Честная цена выбора: ṛta на слух читается как «ритах», непривычно. Объяснять придётся нам, а не рынку. Смягчает то, что имя нейтральное — ни оккультизма, ни религиозной нагрузки.

rta занят в npm. Для продукта, распространяемого через GitHub, это не помеха; при выходе в реестры — область @mrpkk/rta.

Первый работающий модуль: настоящее ZK-доказательство Groth16, собранное локально, без бюджета, без внешней церемонии и без платных сервисов.

Что уже работает

Схема доказывает одно утверждение: «возраст >= 18» — и не раскрывает ни возраст, ни дату рождения.

Итог испытаний: 12 ok, 0 FAIL (node build/test.js).

Почему «доказать нельзя» важнее «доказать можно»

Проверяющий видит только 723 байта и одно слово «верно». Он не может отличить 18 от 100 — публичные данные пусты. И он не может получить доказательство для 17 лет: ограничение невыполнимо, свидетельство не собирается, а значит ложь опровержима, а не просто недоказуема.

Как это устроено

Возраст раскладывается на 8 бит, и разность возраст − 18 тоже раскладывается на 8 бит. Из равенства сумма(биты разности) = возраст − 18 следует, что разность неотрицательна: отрицательное число в двоичной записи из 8 неотрицательных бит не помещается.

accAge  === age;            // возраст = сумма своих битов
accAge - 18 === accDiff;   // разность = сумма своих битов

Схема: circuits/age.circom. Сборка всех артефактов: build/setup.sh.

⚠️ Чего этот стенд НЕ делает

Что уже сделано и раньше здесь стояло неверно (исправлено 09.10.2026):

• Нет приёма оплаты — приём оплаты есть. Подпись платежа проверяется локально через код attest, и только затем идёт расчёт у facilitator. Ответ без success: true считается провалом: доказательство не выдаётся.
• Только предикат «возраст ≥ 18» — пять пороговых схем: balance_1000, balance_100000, stake_10000, account_age_180, tx_count_50. Фантомный age-18 убран: он был объявлен в /v1/predicates, но не был собираем.
• Нет защиты от повтора — nonce гасится при первом предъявлении, повтор даёт 409. Граница честная: хранилище в памяти, перезапуск его обнуляет.

Про powers of tau (аудит 17.10.2026). Прежняя формулировка «сгенерированы с детерминированной энтропией» была неточной и исправлена. Начальный ptau секрета не содержит вовсе: snarkjs powersoftau new пишет единичные элементы (tau=1). В каждый вклад snarkjs подмешивает 64 байта crypto.randomFillSync поверх строки энтропии, и эти байты нигде не записываются — восстановить трапдоор из артефактов или журнала нельзя. Настоящее ограничение одно: участник был один, и он физически мог сохранить случайность при генерации; проверяется это людьми, не кодом. Для стенда достаточно, для продакшна нужна церемония с участием независимых сторон.

Как собрать с нуля

export PATH="$HOME/.cargo/bin:$PATH"
bash build/setup.sh      # схема -> ключи (2-3 минуты)
node build/test.js       # испытания ZK
node build/test-replay.mjs   # защита от повтора
node build/test-predicates.mjs  # пороговые предикаты
python3 -m pytest tests/ -q    # HTTP-слой и платёж

HTTP-сервис

rta/http_api.py — сервер на localhost.

Проверка идёт до дорогой верификации: без действующего nonce повторное предъявление отбрасывается с 409, иначе клиент платил бы за каждый повтор. Неверное доказательство токен не гасит — право прийти с настоящим есть.

python3 -m rta.http_api          # или: python3 -c "from rta.http_api import serve; serve()"

Испытаний 31, все зелёные. Бьют по настоящему сокету: маршрутизация, коды ответов и заголовки существуют только по сети.

⚠️ Известная проблема среды, не кода

Проверка Groth16 должна идти миллисекунды, а на этой машине идёт минутами при почти нулевом процессорном времени — процесс не считает, а ждёт. Причина: свободно ~445 МБ из 15,5 ГБ, snarkjs упирается в пул воркеров. Под strace тот же вывод укладывается в 90 секунд.

Свой верификатор на чистом Python написан и отвергнут: уравнение не сошлось, тест билинейности не проходит. Лежит в experimental/groth16_verify_UNPROVEN.py с пометкой НЕ ДОВЕРЯТЬ. Сервер, который молча отвергает верное доказательство, хуже сервера без проверки.

Требуется circom 2.2.3 (собран из исходников через cargo) и snarkjs. npm-пакет circom@0.5.46 непригоден: его парсер теряет переводы строк и не собирает ни одну схему. Проверено 07.10.2026.

Проверено первыми руками, а не по документации

• circom из npm — сломан (парсер).
• circom из исходников через cargo — работает, 2.2.3.
• CLI snarkjs groth16 fullprove — сломан, читает zkey как JSON. Используется API snarkjs.groth16.fullProve напрямую.
• Требуется powersoftau prepare phase2 перед groth16 setup.

Каждая из этих ошибок стоила времени и ни одна не видна в документации.

ИССЛЕДОВАНИЕ-RTA-стенд-2026

Скриншоты

Последняя картинка сделана намеренно. Продукт о доверии, который прячет свои ограничения, перестаёт быть доверенным: достаточно одного покупателя, которому продали обещание без оговорок, чтобы репутация была потеряна.

Call it from your agent

ṚTA has no MCP endpoint yet — it is an HTTP service with x402 payments per call:

curl -X POST https://rta.lat/v1/verify \
  -H 'Content-Type: application/json' \
  -d '{"circuit": "balance_threshold", "public_inputs": {"balance": "1200"}, "threshold": "1000"}'

The verifier learns that the threshold is met and never learns the balance. An MCP wrapper is the next step (tracked in PROGRESS).

MCP server (Model Context Protocol)

ṚTA is an MCP server: it speaks the Model Context Protocol over Streamable HTTP (JSON-RPC 2.0) and exposes threshold proofs as MCP tools.

• MCP tools:
  • list_predicates — which thresholds can be proven (free, no payment);
  • verify_proof — verify a Groth16 proof that a hidden value reached a threshold; paid per call over x402, like the HTTP endpoint.
• MCP resources / prompts: none exposed yet — resources/list and prompts/list answer with empty lists rather than an error, so directory scanners do not mark the server as broken.
• Transport: Streamable HTTP at https://rta.lat/mcp. The verifier learns the threshold is met and never learns the value.

Connect an MCP client

{
  "mcpServers": {
    "rta": { "url": "https://rta.lat/mcp" }
  }
}