Skip to content
Blockchain Posts

protocol

zkAPI : l'Ethereum Foundation lance un paiement anonyme pour les API

Depuis le 1er octobre 2026, zkAPI permet de payer des API en ETH ou USDC sans que le fournisseur ne relie la requête au payeur. Preuve Groth16 sur BN254, nullifiers Poseidon.

par 4 min de lecture
protocolethereumresearchprivacy

L'Ethereum Foundation a lancé zkAPI sur mainnet le 1er octobre 2026, un protocole qui dissocie le paiement d'une API de l'identité du payeur, selon l'annonce officielle et le relais côté FR de Journal du Coin. Le travail est signé par l'équipe dAI de la fondation en collaboration avec l'Open Anonymity Project, mené par Vittorio Rivabella.

Ce que fait zkAPI

Chaque appel à une API — en particulier aux API d'IA (OpenAI, Anthropic, Google) — porte aujourd'hui des informations qui lient la requête à un compte, un moyen de paiement et un profil d'usage. zkAPI casse ce lien : le fournisseur voit le trafic et son contenu, mais pas quel compte paie.

Le flux tient en quatre étapes :

  1. Dépôt unique dans un vault Ethereum (ETH ou USDC) — un contrat sur mainnet, pas un compte d'entreprise.
  2. Génération d'une preuve zero-knowledge côté client, prouvant que le dépôt existe et dispose d'un solde valide, sans révéler l'adresse du dépositaire.
  3. Vérification de la preuve côté serveur, qui émet une clé d'API temporaire plafonnée vivant uniquement en mémoire sur l'appareil demandeur.
  4. Requêtes à l'API jusqu'à expiration de la clé ; la consommation réelle est ensuite débitée du solde privé via un nullifier.

Mécanique cryptographique

  • Système de preuve : Groth16 sur la courbe BN254.
  • Engagements : commitments Poseidon dans un arbre Merkle.
  • Protection double-dépense : nullifiers Poseidon, consommés à chaque débit.
  • Dépôt → preuve : l'arbre d'engagements se met à jour on-chain à chaque dépôt ; les preuves s'y réfèrent par racine.

Code sous le dépôt GitHub ethereum/zkapi, documentation technique publiée en parallèle de l'annonce.

Ce qui reste exposé

zkAPI protège la relation paiement ↔ identité. Elle ne cache pas :

  • L'adresse IP vue par le fournisseur d'API. L'utilisateur qui veut une anonymité réseau doit passer par Tor ou un VPN.
  • Le contenu du prompt envoyé à l'API. Les modèles d'IA voient toujours ce que l'utilisateur demande. La séparation est juridique et comptable, pas sémantique.
  • Les patterns d'usage par appareil. Si le fournisseur peut relier plusieurs requêtes au même browser fingerprint ou appareil, zkAPI ne l'empêche pas.

Les cas d'usage où zkAPI apporte vraiment une protection : les API dont le gros risque est la corrélation requête ↔ facturation (profilage, discrimination tarifaire, respect de la confidentialité fiscale ou médicale lorsque le client est un intermédiaire légitime du secteur).

Chiffres

- Mainnet                     : 2026-10-01
- Chaîne                       : Ethereum L1
- Équipe                       : Ethereum Foundation (dAI) + Open Anonymity Project
- Lead                         : Vittorio Rivabella
- Dépôt accepté                : ETH ou USDC
- Système de preuve            : Groth16, courbe BN254
- Commitments / nullifiers     : Poseidon
- Code                         : github.com/ethereum/zkapi
- Annonce                      : blog.ethereum.org/2026/10/01/zkapi

Que surveiller

  1. Fournisseurs d'API qui s'intègrent. Le protocole est utile dès qu'un fournisseur accepte la clé jetable émise après vérification de preuve. L'intégration avec les gros fournisseurs d'API d'IA, de données on-chain (Alchemy, Infura) ou de données de marché (CoinGecko Pro) est le marqueur d'adoption réel.
  2. Audits du vault. Le contrat ETH/USDC est une surface d'attaque directe : audit public, bounties, et pattern de retraits en cas d'incident côté EF à surveiller.
  3. Compatibilité avec les règles AML/KYC. Un vault anonyme qui redistribue des crédits d'API peut heurter les règles européennes du Travel Rule (TFR) et des opérations CASP sous MiCA. L'EF a signalé que le protocole n'est pas destiné à contourner le KYC d'un fournisseur centralisé mais à séparer couche paiement et couche identité : la ligne tenue vs. la ligne attaquée par les régulateurs reste à écrire.
  4. Prochains fournisseurs anonymes. Au-delà des API d'IA, le pattern s'applique aux API RPC, oracles payants, bases de données on-chain. Le prochain plug-in — RPC node ou oracle — dira si l'EF vise un standard de paiement, pas juste un démo.

Contexte

zkAPI s'inscrit dans la série de primitives de confidentialité livrées sur mainnet au second semestre 2026 — à côté du travail PSE historique sur Semaphore et des mix-nets type Nym. Elle attaque un angle que les stablecoins publics n'adressent pas directement : rendre la preuve de solvabilité indépendante du compte signataire. Le pattern se rapproche de ce que les ZK-rollups font pour la vie privée des soldes applicatifs — appliqué au paiement d'un service externe plutôt qu'à l'état d'un rollup.

Articles liés