17秒驗明AI“真身”！Anthropic開源可證明推理系統，能抓模型調包

編譯 | 孫小雯 編輯 | 程茜 11月4日消息，今天凌晨，Anthropic開源大模型可證明推理系統FlashProve，詳細技術報告於11月2日發佈。服務商可通過該系統為模型回答生成密碼學證明，用戶無需獲取模型權重或自行運行大模型，就能在CPU上核驗輸出是否符合指定模型的計算結果。模型調用API的機制類似黑箱，發送提示詞後，用戶僅能查看生成的Token，但無法驗證為自己提供服務的是否為所選模型。此次開源的FlashProve旨在解決這一問題，上可抓“模型掉包”，下可驗“回答篡改”，還可為監管機構提供監測服務商和企業AI使用合規性的渠道。該模型一經發出，X上的外網網友就火速貢獻梗圖。

▲X上網友評論：FlashProve揭開面具，旗艦模型竟是廉價模型（圖源：X） 根據Anthropic公佈的測試結果，FlashProve已在Meta發佈的4000億參數模型Llama 4 Maverick上完成測試，使用單張H100 GPU生成證明，單個請求的證明文件約19MB，用戶端使用24線程CPU核驗約需17秒，無需GPU。此前，開源系統VerInf也曾為Llama 4 Maverick生成證明。據其公佈的測試結果，在單臺DGX Spark上，為1000個Token的前向計算生成證明約需14.3小時，證明文件達93.6GB，使用20個CPU核心核驗約需17.7小時。

雖然兩項測試的硬件與證明任務設置不同，但從各自公佈的結果來看，FlashProve的證明文件更小，用戶端核驗耗時也大幅縮短。不過，FlashProve目前仍是需要服務方配合的研究原型，生成證明的GPU時間開銷約為普通推理的70—95倍。也有網友疑慮：誰會願意為此高昂價格付費？▲X上網友的評論（圖源：X） FlashProve的核心技術是零知識簡潔非交互式知識論證（zkSNARK），即在不額外洩露模型權重信息的情況下，用戶可以用較小文件、較低開銷，獨立核驗推理過程的正確性。

▲證明系統的完備性、可靠性、簡潔性與零知識性（圖源：Anthropic） Anthropic此次同步公開了技術報告、協議規範、證明生成器、C++與Lean兩種驗證器以及用Lean編寫的形式化證明。其中，代碼、Lean證明和文檔均以Apache 2.0許可證開源。Anthropic透露，Claude也參與了用於推理的zkSNARK技術優化。此次FlashProve的開源旨在展示當前可證明推理技術的階段性進展，供其他研究者復現和改進。▲FlashProve開源主頁（圖源：Github） 開源地址： https://github.

com/anthropics/FlashProve 一、單張H100可批量生成24份證明，耗時不到四分鐘 FlashProve的運行分為離線準備和在線證明兩個階段，由模型服務方準備權重承諾、生成證明，再由用戶通過驗證器核驗。據技術報告介紹，離線階段，服務方先對模型權重進行編碼，生成密碼學承諾。密碼學承諾相當於為一組權重建立“指紋”，後續證明均與這份承諾綁定，確保核驗對應同一組權重。

▲FlashProve離線準備流程（圖源：Anthropic） 在線階段，服務方根據輸入和待檢查輸出，記錄模型推理中的計算軌跡，包括矩陣乘法、取整、非線性運算等，再生成證明，說明這些運算使用了承諾中的權重，並按指定規則得到了相應輸出。用戶持有權重承諾、輸入、輸出及對應證明，就可以通過驗證器檢查輸出是否符合這組權重的計算結果。這份密碼學證明同時具有零知識性（Zero knowledge）和簡潔性（Succinctness）：前者使證明不額外洩露權重、中間計算值和專家選擇等信息，後者讓客戶端以遠低於自行運行模型的計算開銷完成核驗。模型架構本身不隱藏。

▲FlashProve在線證明與核驗流程（圖源：Anthropic） 在Llama 4 Maverick測試中，離線準備耗時約39分鐘，服務方保存約2.15GB文件。客戶端首次下載權重承諾、離線證明及一個鏈接證明，共6.24MB。這些準備工作可以複用，之後再為每個請求下載證明文件。在降低證明開銷方面，FlashProve主要從模型結構、顯存使用和批處理三方面進行優化。Llama 4 Maverick採用混合專家（MoE）架構，每個MoE層從128個路由專家中選擇1個運行，另有1個共享專家。因此，每個Token約激活4000億參數中的170億。

FlashProve只在計算軌跡中記錄實際運行的專家及其選擇，使相應證明工作量隨激活參數規模變化，同時核驗路由器是否選對專家。▲FlashProve利用MoE稀疏激活減少證明計算，同時檢查路由選擇，並隱藏實際運行的專家（圖源：Anthropic） 系統還將模型層和計算軌跡分段處理，約232GB權重保存在主機內存中，再逐段加載至GPU。按公告披露，一張80GB顯存的GPU配合約290GB主機內存，即可運行系統。在批處理方面，FlashProve一批最多可處理64個客戶端請求。各請求的部分證明步驟在GPU上併發執行，整批請求共享用於核驗權重承諾的查詢數據，減少重複工作。

技術報告顯示，研究團隊在單張H100及24個CPU核心上測試了批處理效果，使用第三方公開的4比特權重，並將其轉換為整數模型。每個請求包含1024個Token的窗口，主測試每份證明只檢查緊隨提示詞之後的一個輸出Token，確認它是已承諾模型在該位置得分最高的選擇。測試以128位安全強度為目標。逐個處理請求時，生成一份證明約需58秒；每批處理24個請求時，總耗時約223秒。按請求窗口中的全部Token統計，證明生成的處理吞吐由每秒17.6個Token提高至110個Token。研究團隊還測試了檢查回復中每個Token的情況，證明生成耗時未出現可測差異。

若只統計該測試中被檢查的回覆Token，吞吐約為每秒39.1個Token。二、防止模型被“掉包”、輸出遭篡改，四類情形分別怎麼驗？Anthropic在公告中提出，模型服務中有幾類難以核實的情況。例如，開發者聲稱用前沿模型檢查過軟件漏洞，但聊天記錄不足以證明實際調用的是哪款模型；推理服務器遭到入侵後，攻擊者還可能將惡意內容混入正常回答。Anthropic設想，FlashProve可通過密碼學證明，輔助確認模型有沒有被“掉包”、回答有沒有被篡改、服務商是否使用通過安全審批的模型，以及企業是否執行了申報的推理任務。

第三方API客戶和獨立評測者可以據此核對實際使用的模型，監管機構則可檢查服務商是否遵守模型使用要求。對於要求企業將硬件用於推理、而非訓練更強模型的政策提案，監管機構還可要求企業提交某段時間的推理證明，輔助管控AI發展節奏。但這些證明只能說明相關推理確實發生，不能排除企業同時訓練其他模型。此外，模型未能取得指定結果時，服務方也可以證明相應嘗試確實發生過。Anthropic在公告中舉例設想，代碼發佈前，服務方可以提供“未取得指定結果的證明”：例如證明某款模型針對指定補丁嘗試了至少100萬Token，仍未發現漏洞。

三、證明耗時仍為普通推理數十倍，三方面限制尚待解決 要將上述核驗方式用於實際服務，FlashProve還面臨證明生成開銷、驗證範圍和安全實現三方面限制。限制一：生成證明開銷高，事後核驗存在延遲 相比直接運行模型，生成密碼學證明需要更多算力。技術報告顯示，研究團隊在8張H100上，通過vLLM運行同一模型的8位浮點（8-bit floating point，FP8）版本進行對照。按每張GPU折算，FlashProve為24個請求生成證明的GPU時間開銷約為vLLM處理相同請求的預填充（Prefill）階段所用GPU時間的72倍；在測試的最高負載下約為94倍。

為避免用戶等待證明生成，FlashProve採用事後證明（Post-hoc proving）方式，先返回回答，再由獨立硬件根據完整記錄重新計算、生成證明。但事後核驗存在延遲，用戶可能在發現篡改前就收到惡意回答；已經通過回答洩露的信息，也無法撤回。▲FlashProve採用事後方案，先返回回答，再生成證明，核驗結果存在延遲（圖源：Anthropic） 限制二：上下文最長1024個Token，計算方式差異影響核驗 FlashProve目前支持的上下文最長為1024個Token，而前沿模型的窗口通常達到數十萬乃至數百萬Token，長對話等場景仍難以覆蓋。

此外，FlashProve驗證的是整數模型（Integer model）在指定位置選擇得分最高Token的結果。實際服務採用浮點推理（Floating-point inference）或採樣解碼（Sampled decoding）時，可能產生不同輸出。因此，發現輸出不一致時，還需區分計算方式差異與回答篡改。▲浮點模型回答“煮7分鐘”，整數模型選擇“煮8分鐘”（圖源：Anthropic） 限制三：實際代碼和批量處理的安全性尚未得到完整證明 技術報告顯示，高性能可執行代碼尚未獲得與Lean協議同等的形式化安全保證。

因為現有證明針對Lean描述的協議，而實際運行的GPU和CPU代碼由AI據此生成，兩者的等價性尚未得到證明。此外，批量處理請求時的零知識性（Zero knowledge）尚未完成形式化證明（Formal proof）。目前，已完成的相關證明只覆蓋逐個請求處理的情形，尚未擴展至多個請求共同處理的情況。▲Lean協議、形式化證明與可執行代碼的關係（圖源：Anthropic） 結語：FlashProve補齊推理核驗，有望增強企業客戶信任 模型身份核驗已吸引多家公司入局。今年2月3日，美國AI隱私服務商Tinfoil介紹了Modelwrap方案，通過安全硬件與權重承諾核驗模型身份。

今年8月，以色列AI安全公司Attestable公開了面向大模型的零知識推理證明方案，目前公佈的測試結果已覆蓋Gemma 4 31B。Anthropic推進這項研究，也有自身的安全考慮。該公司此前在安全路線圖中提出，要確認模型輸出對應的是指定權重，降低攻擊者入侵後修改模型的風險。此次開源FlashProve，就是嘗試通過純軟件的密碼學方案解決這一問題。對企業客戶來說，付費調用的模型有沒有被替換、評測時的版本和實際服務是否一致，都會影響採購和使用決策。如果後續能降低證明開銷、接入實際服務，FlashProve就能讓客戶和評測者多一種獨立核驗的手段。

這也有望成為Anthropic爭取企業客戶的一項優勢，尤其是對服務可靠性和審計有較高要求的客戶。來源：Anthropic