Anthropics FlashProve verwandelt Modellidentität in eine überprüfbare Berechnung

Nachrichtenübersicht

Anthropic hat FlashProve am 2. November 2026 als Open-Source-Forschungsprototyp veröffentlicht, mit dem sich nachweisen lässt, dass ein bestimmtes Modell eine bestimmte KI-Antwort erzeugt hat. Das Projekt zielt auf ein wachsendes Verifizierungsproblem ab: Kunden und Prüfer können in der Regel allein anhand des Textes nicht erkennen, ob ein Anbieter tatsächlich das von ihm benannte Modell ausgeliefert hat. Anthropics Benchmark deutet darauf hin, dass sich kryptografische Verifizierung inzwischen auf ein sehr großes Modell anwenden lässt, doch wegen des erheblichen Beweis-Overheads und der Einschränkungen des Prototyps bleibt der Einsatz in der Praxis eine offene Frage.

Was FlashProve nachweisen soll

Das System verwendet ein zkSNARK, also ein prägnantes, nicht-interaktives Wissensargument mit Zero-Knowledge-Eigenschaft. In einem ersten Offline-Schritt veröffentlicht ein Anbieter ein kompaktes Commitment – einen kryptografischen Fingerabdruck – zu einer bestimmten Menge von Modellgewichten, während er diese Gewichte geheim hält. Für eine Inferenzanfrage kann er anschließend einen Beweis erzeugen, der belegt, dass das festgeschriebene Modell die gelieferten Ausgabe-Tokens für den übergebenen Prompt erzeugt hat. Ein Verifizierer kann diese Behauptung prüfen, ohne die Gewichte zu besitzen oder das Modell erneut auszuführen.

Das ist eher eine signierte Quittung für eine Berechnung als ein Mittel, um zu beurteilen, ob eine Antwort korrekt oder nützlich ist. Ein gültiger Beweis würde die Antwort an festgeschriebene Gewichte und eine bestimmte Berechnung binden. Er würde nicht belegen, dass die Antwort wahr ist, dass sich das Modell sicher verhalten hat oder dass die Modellwahl des Anbieters angemessen war. Der Ansatz ist softwarebasiert und verlässt sich nicht auf vertrauenswürdige Hardware.

Benchmark und technische Kompromisse

Anthropic hat FlashProve mit Llama 4 Maverick getestet, einem Mixture-of-Experts-Modell mit 400 Milliarden Parametern, und dabei öffentlich verfügbare 4-Bit-Gewichte verwendet. Auf einem Server mit einer NVIDIA H100 GPU und 24 CPU-Kernen verarbeitete der Prover einen Batch von 24 Anfragen mit etwa 110 Tokens pro Sekunde; jeder Beweis war rund 18,78 MB groß. Die Verifizierung lief auf einer CPU und dauerte 17 Sekunden mit 24 Threads bzw. 21 Sekunden mit einem Thread. Anthropic vergleicht dies mit vLLM bei derselben Arbeitslast und berichtet, dass der Beweisprozess pro GPU rund 72-mal länger dauerte und bei der höchsten getesteten Last auf etwa das 94-Fache anstieg. Es handelt sich um vom Unternehmen selbst gemeldete Prototyp-Messungen, nicht um eine externe Prüfung oder den Benchmark eines produktiv eingesetzten Dienstes.

Das System weist Anfragen erst nach Erstellung der Antwort nach, nicht bereits während der Generierung. Das erlaubt einen einfacheren Beweisdurchlauf, verursacht aber zusätzliche Verzögerung und Rechenaufwand: Der Anbieter muss die fertige Antwort erneut berechnen oder nachverarbeiten, um ein Zertifikat zu erstellen. Die aktuelle Demonstration umfasst Kontexte bis zu 1.024 Tokens und verwendet ein auf Ganzzahlen quantisiertes Modell mit Greedy-Decoding. Gesampelte oder Gleitkomma-Ausgaben werden nicht automatisch zertifiziert, wenn sie von der exakten Berechnung abweichen, die bewiesen wird.

Warum Modellprovenienz wichtig ist

Anthropic beschreibt mehrere mögliche Anwendungsfälle: Kunden könnten prüfen, ob ein Router eines Drittanbieters tatsächlich das von ihnen ausgewählte Modell ausgeliefert hat; Evaluatoren könnten verifizieren, dass Modelltests die vorgesehene Version verwendet haben; und Organisationen könnten belegen, dass ein bestimmtes Modell Code oder eine andere folgenreiche Aufgabe geprüft hat. Derselbe Mechanismus könnte dabei helfen, Zusagen darüber zu überwachen, welche Modelle ein Anbieter einsetzt. Er könnte auch dazu beitragen, den Austausch von Modellen leichter erkennbar zu machen – ganz gleich, ob er durch Bereitstellungskosten, Behauptungen in Evaluationen oder einen kompromittierten Inferenz-Dienst motiviert ist.

Dies sind vorgeschlagene Anwendungsfälle, keine aktuellen Garantien für Kunden. Beweise haben nur Aussagekraft, wenn das Modell-Commitment veröffentlicht und als Referenz anerkannt ist und wenn Prover, Verifizierer und der umgebende Dienst korrekt integriert sind. Ein Fingerabdruck legt eine bestimmte Menge von Gewichten fest, ist für sich genommen aber weder eine öffentliche Befürwortung noch eine Sicherheitsbewertung dieser Gewichte.

Was die Veröffentlichung umfasst – und was offen bleibt

Anthropics Forschungsbeitrag vom 2. November umfasst einen technischen Bericht, eine Protokollspezifikation, einen ausführbaren Prover, einen C++-Verifizierer, einen Lean-Verifizierer sowie maschinenprüfbare Lean-Aussagen zu den Sicherheitseigenschaften auf oberster Ebene. Laut Unternehmen sind Code, Beweise und Dokumentation unter Apache 2.0 veröffentlicht. Das GitHub-Repository kennzeichnet FlashProve als Forschungsprototyp und gibt an, dass es nicht weiter gepflegt wird. Anthropic bezeichnet die Arbeit als Zwischenstand und lädt externe Forscher ein, sie zu prüfen und zu verbessern; Pläne, das System bei Anthropic oder einem anderen Labor einzusetzen, gebe es laut Unternehmen nicht.

Der Forschungsbeitrag nennt zudem wichtige Grenzen. Der Beweis verbirgt die Modellgewichte, nicht aber die Architektur. Die formalen Garantien gelten für spezifizierte mathematische Aussagen, und Anthropic weist darauf hin, dass Prüfer weiterhin klären müssen, ob diese Aussagen mit den beabsichtigten Behauptungen übereinstimmen und ob der ausführbare Code das formale Protokoll korrekt umsetzt. Der schnelle C++-Verifizierer trägt nicht dieselbe formale Garantie wie der Lean-Verifizierer. Weitere offene Punkte sind mögliche Informationslecks über das Zeitverhalten, die Skalierung auf längere Kontexte sowie die Ausweitung der Unterstützung über das getestete Mixture-of-Experts-Modell und die exakte Decoding-Konfiguration hinaus.

Gegenprüfung und Bedeutung

Der Bericht von TechCrunch vom 3. November 2026 beschreibt FlashProve als ein System, das nachweisen kann, welches Modell eine Ausgabe erzeugt hat, und hebt das mögliche Risiko hervor, dass Anbieter Modelle ohne Wissen der Nutzer austauschen. Anthropics ursprünglicher Forschungsbeitrag und die veröffentlichten technischen Materialien stützen diese Kernbeschreibung, ergänzen sie aber um eine entscheidende Einschränkung: Es handelt sich um einen offenen Forschungsprototyp mit messbarem, aber erheblichem Overhead, nicht um eine einsatzfähige Identitätsfunktion. Repository und Bericht bieten einen Ausgangspunkt für eine unabhängige technische Prüfung, doch die veröffentlichten Leistungsangaben und Sicherheitsannahmen müssen weiterhin in realistischen Einsatzszenarien extern evaluiert werden.

Der übergeordnete Erkenntnisgewinn besteht darin, dass sich KI-Provenienz als Problem der überprüfbaren Berechnung fassen lässt. Kryptografische Beweise könnten Nutzern ermöglichen, eine eng gefasste Aussage zu prüfen – „diese Tokens stammen unter dieser Berechnung von diesen festgeschriebenen Gewichten“ –, ohne proprietäre Gewichte offenzulegen. Das könnte Modellkarten, Service-Logs und unabhängige Evaluationen ergänzen, sie aber nicht ersetzen. Die nächsten Meilensteine sind die praktische Integration, niedrigere Beweiskosten, die Unterstützung längerer Kontexte sowie eine unabhängige Überprüfung von Sicherheitsmodell und Implementierung.

Quellen

• Anthropic: „Fortschritte bei nachweisbarer Inferenz für große Sprachmodelle“ (2. November 2026)
• FlashProve: Technischer Bericht (PDF)
• Anthropics FlashProve-Repository auf GitHub
• TechCrunch: „Anthropic arbeitet an einem System zum Nachweis der Identität von KI-Modellen“ (3. November 2026, 14:41 Uhr US-Westküstenzeit)