Anthropic 的 FlashProve 将模型身份转化为可验证计算
新闻摘要
Anthropic 于 2026 年 11 月 2 日发布了 FlashProve，这是一个开源研究原型，用于证明某个特定模型生成了给定的 AI 响应。该项目针对一个日益突出的验证难题：客户和审计人员通常无法仅凭文本判断服务提供商是否真的用其声称的模型提供了服务。Anthropic 的基准测试表明，密码学验证如今已能应用于超大规模模型，不过巨大的证明开销和原型自身的局限，使得实际部署问题仍悬而未决。
FlashProve 旨在证明什么
该系统采用零知识简洁非交互式知识论证，即 zkSNARK。在最初的离线步骤中，服务提供商会针对一组特定的模型权重发布一份紧凑的承诺——即一个密码学指纹——同时对这些权重保密。随后，针对一次推理请求，它可以生成一个证明，断言已承诺的模型针对给定提示词生成了所提供的输出 token。验证者无需持有权重或重新运行模型，即可核验这一声明。
这更像是一张针对计算的签名回执，而不是判断答案正确与否或是否有用的手段。一个有效的证明会将响应与已承诺的权重以及一次特定计算绑定在一起，但它并不能确立答案是真实的、模型的行为是安全的，也不能确立提供商的模型选择是恰当的。该方法基于软件实现，不依赖可信硬件。
基准测试与工程权衡
Anthropic 使用公开可得的 4 位权重，在 Llama 4 Maverick（一个拥有 4000 亿参数的混合专家模型）上测试了 FlashProve。在一台配备一块 NVIDIA H100 GPU 和 24 个 CPU 核心的服务器上，证明器以约每秒 110 个 token 的速度处理了一批 24 个请求；每个证明约为 18.78 MB。验证在 CPU 上进行，24 线程耗时 17 秒，单线程耗时 21 秒。Anthropic 将其与 vLLM 处理相同工作负载的情况进行了对比，并报告称，就每块 GPU 而言，证明所需的时间约为 vLLM 的 72 倍，在最高测试负载下升至约 94 倍。这些是该公司自行报告的原型测量数据，并非第三方审计，也不是已部署服务的基准测试。
该系统在响应完成之后才对请求进行证明，而不是在生成过程中同步进行。这使得证明环节更加简单，但带来了额外的延迟和计算量：提供商必须重新计算或处理已完成的响应，才能生成证书。当前的演示最长支持 1024 个 token 的上下文，并使用一个采用贪婪解码的量化整数模型。如果采样输出或浮点输出与被证明的精确计算存在偏差，系统并不会自动为其提供认证。
模型溯源为何重要
Anthropic 描述了几种可能的用途：客户可以核查第三方路由服务是否真的用他们选择的模型提供了服务；评估者可以验证模型测试是否使用了预期版本；组织机构则可以为“某个特定模型审查了代码或完成了其他影响重大的任务”之类的说法提供佐证。同一机制还有助于监督提供商关于其运行哪些模型的承诺。它还能让模型替换行为更容易被察觉，无论这种替换是出于服务成本、评测声明，还是源于推理服务遭到入侵。
这些只是设想的用途，并非当前向客户提供的保证。只有当模型承诺被公开发布并被信任为参照标准，且证明器、验证器及周边服务正确集成时，证明才具有意义。指纹可以锁定一组权重，但它本身并不构成对这些权重的公开背书或安全评估。
发布内容包括什么——以及哪些问题仍待解决
Anthropic 于 11 月 2 日发布的研究文章包括一份技术报告、协议规范、可执行证明器、C++ 验证器、Lean 验证器，以及针对顶层安全属性的可机器检验的 Lean 陈述。该公司表示，代码、证明和文档均在 Apache 2.0 许可证下发布。GitHub 仓库将 FlashProve 标注为研究原型，并声明该项目不予维护。Anthropic 将这项工作定位为阶段性进展，并邀请外部研究人员加以审视和改进；该公司表示，目前没有在 Anthropic 或其他实验室部署该系统的计划。
这篇研究文章还列出了若干重要局限。证明会隐藏模型权重，但不会隐藏架构。形式化保证仅适用于特定的数学陈述，而 Anthropic 指出，审计人员仍需核查这些陈述是否与他们的预期声明相符，以及可执行代码是否正确实现了形式化协议。快速的 C++ 验证器并不具备与 Lean 验证器同等的形式化保证。其他尚未解决的问题包括：可能通过时序泄露信息、向更长上下文扩展，以及将支持范围拓展到测试所用的混合专家模型和精确解码设置之外。
交叉核对与意义
TechCrunch 于 2026 年 11 月 3 日发布的报道将 FlashProve 描述为一个用于证明输出由哪个模型生成的系统，并强调了提供商在用户不知情的情况下更换模型的潜在风险。Anthropic 的主研究文章及其已发布的技术材料支持这一核心描述，同时补充了一个关键限定：这是一个公开的研究原型，其开销可测量且相当可观，并非一项可投入运营的身份功能。该仓库和报告为独立的技术审查提供了起点，但已发布的性能声明和安全假设仍需在真实部署环境中接受外部评估。
更广泛的启示在于，AI 溯源可以被表述为一个可验证计算问题。密码学证明可以让用户核验一个范围有限的声明——“这些 token 是在这些已承诺的权重和这次计算下生成的”——而无需暴露专有权重。这可以作为模型卡、服务日志和独立评估的补充，但无法取代它们。接下来的里程碑包括：实际集成、更低的证明成本、对更长上下文的支持，以及对安全模型和具体实现的独立审查。
来源
本文由 AIBARS 编辑部在 AI 辅助下整理。AI 可能出错，重要信息请以原始来源为准。发现错误？请发邮件至 [email protected]。