定理

GKR 主循环 对每一层 $i$，相邻层之间满足一条 "布线恒等式"： $\widetilde{W}_i(z) = \sum_{u,v\in\{0,1\}^{k_{i+1}}} \Big(\widetilde{\mathrm{add}}_i(z,u,v)\big(\widetilde{W}_{i+1}(u)+\widetilde{W}_{i+1}(v)\big) + \widetilde{\mathrm{mult}}_i(z,u,v)\,\widetilde{W}_{i+1}(u)\widetilde{W}_{i+1}(v)\Big),$ 其中 $\widetilde{\mathrm{add}}_i,\widetilde{\mathrm{mult}}_i$ 是描述布线（哪个门连哪两个门）的"布线谓词"多项式。

• 对该求和跑一次 sumcheck：把"验证第 $i$ 层在随机点 $z$ 的值"归约为"验证第 $i+1$ 层在两个随机点 $u,v$ 的值"。 :::

🔎 逐层下推：验证者从输出层（它能直接看到声称的输出）开始，用 sumcheck 把对第 $i$ 层的信任，转化为对更靠近输入的第 $i+1$ 层在某随机点取值的信任；一层层推到输入层，验证者对输入有完整访问，可自行单点求值 $\widetilde{W}_d$ 完成最终核对。每层一次 sumcheck，可靠性由 Schwartz–Zippel 累积控制。

（两点 $u,v$ 通常用一条直线 + "reduce-to-one-point"技巧合并成单点，避免点数指数膨胀。）

3. 复杂度与意义

• 验证者：$O(d\cdot\mathrm{polylog}\,|C|)$ —— 与电路深度 $d$、对数规模成正比，远小于 $|C|$。
• 证明者：$O(|C|)$（精心实现可做到线性）。
• 轮数：$O(d\cdot\log|C|)$。
• 信息论安全：无需任何密码假设（可用 Fiat–Shamir 去交互后再变成密码假设下的非交互论证）。

完备性：诚实证明者必通过。 可靠性：错误结果通过概率 $\le O(d\cdot\deg/|\mathbb{F}|)$，大域下可忽略。