NotesNotes要点

• Argo encodes invalid Groth16 proofs so a decoder can derive and reveal a secret.
• Security relies on DDH in one source group of a bilinear pairing.
• Invalidity Argo is selectively secure; validity Argo is adaptively secure.
• Argo MAC or Duty-Free Bits can build a Groth16 invalidity garbled circuit.
• With BitVM, it enables a permissionless optimistic Groth16 verifier on Bitcoin.
• For BN254, encoding is about 21 kB, over 1000x smaller end-to-end than Yao-based approaches.

• Argo将无效Groth16证明编码，使解码者可导出并公开秘密
• 安全性基于双线性配对单源群中的DDH假设
• 无效性Argo满足选择性安全，有效性Argo满足自适应安全
• 可用Argo MAC或Duty-Free Bits构造Groth16无效性乱码电路
• 结合BitVM可实现比特币上无需许可的乐观Groth16验证器
• BN254下编码约21 kB，端到端规模比Yao方案小三个数量级

• Argoは無効なGroth16証明を符号化し、復号者が秘密を導出・公開できるようにする。
• 安全性は双線形ペアリングの単一ソース群におけるDDH仮定に基づく。
• 無効性Argoは選択的安全、有効性Argoは適応的安全を満たす。
• Argo MACやDuty-Free BitsでGroth16無効性のガーブルド回路を構成できる。
• BitVMと組み合わせ、Bitcoin上の許可不要な楽観的Groth16検証器を実現する。
• BN254では符号化約21kBで、Yaoベースより端到端で3桁以上小さい。