文章核心观点 - Anthropic 开源 FlashProve 系统，基于零知识密码学证明技术实现大型语言模型的可验证推理，让模型提供商能在不公开模型权重的情况下证明某个回答确实由指定模型生成 [1] - 该技术旨在解决 AI 服务中的信任问题，使用户无需依赖服务商口头承诺即可独立验证模型身份 [2][7] - FlashProve 将零知识机器学习从规模较小的模型推进到大型语言模型场景，并在 400B 参数混合专家模型上完成测试 [3][9] 行业信任痛点 - 用户调用 AI 服务时无法确认返回回答究竟来自哪个模型，第三方服务商可能为降低成本将高性能模型替换为更便宜的模型 [2][7] - 推理服务器可能遭到攻击，导致模型权重或输出 Token 被篡改 [7] - 安全评估研究人员若无法确认测试对象与实际部署模型一致，评估结果将失去可靠性 [7] - 第三方 API 中转站或模型聚合平台降低了调用门槛，但带来信息不对称，用户能选择模型名称却未必能独立确认后台实际运行的模型 [12] - 在多层转发调用链路中，服务商理论上可能将高性能模型请求转发给调用价格更低的模型，用户难以判断回答质量变化是模型随机性、服务状态变化还是实际调用模型发生改变 [12][13] 技术原理 - 模型服务商先通过密码学方式为一组确定的模型权重生成承诺（Commitment），相当于给模型版本建立加密指纹 [7] - 用户每次发起请求，服务商可附上一份零知识证明（zkSNARK），证明回答确实由此前承诺的模型根据对应输入生成 [7] - 用户无需获得模型权重或重新运行模型，即可通过模型承诺、输入、回答和证明文件独立验证模型身份 [7] - 证明过程不泄露模型权重，但可确认输出是否来自指定模型；证明的是回答来源而非回答内容是否正确 [7] 性能测试数据 - 测试对象为 Meta 的 Llama 4 Maverick，拥有 4000 亿参数（400B）的 MoE 模型，每个 Token 实际激活约 170 亿参数 [9] - 单张 NVIDIA H100 GPU 上证明生成吞吐量达到约 110 Token/s，每份证明文件约 18.78 MB [9] - 每 1024 Token 请求的证明文件约为 19 MB [2] - 验证端不需要 GPU，使用 24 线程 CPU 验证一份证明约需 17 秒 [9] - 当前测试采用 1024 Token 的请求窗口，每份证明实际检查其中一个输出 Token [9] 效率优化手段 - 证明计算主要围绕实际激活的专家展开，而非每次处理模型全部参数，与 FlashProve 针对 MoE 架构的优化有关 [9] - 系统采用批量事后证明，在推理完成后再统一生成证明，降低重复计算带来的开销 [9] 开源内容 - Anthropic 已开源 FlashProve 的证明生成器、C++ 和 Lean 验证器，以及相关技术文档和形式化证明 [4] - 代码、协议说明和相关证明以 Apache 2.0 许可证开源 [10] - 使用 Lean 形式化验证语言对协议的完整性、可靠性和零知识等核心安全性质进行了机器可检查的证明 [10] 当前局限与工程约束 - 生成证明所需的 GPU 时间约为普通 vLLM 推理的 70—95 倍，若每个请求都实时生成证明，服务成本将明显增加 [10][16] - 目前主要支持 1024 Token 的上下文窗口，针对整数模型和 Greedy Decoding 进行验证，尚不能直接覆盖所有模型和推理方式 [10] - 对浮点计算、随机采样等其他推理方式还需进一步扩展 [16] - 长上下文、大规模 Agent 工作流和复杂多轮交互场景下如何高效生成和验证证明仍是待解决问题 [16] - 形式化验证并不意味着所有实际运行代码都获得同等保证，快速 C++ 验证器与形式化协议之间仍需进一步审计 [10] - FlashProve 证明的是回答来自指定模型，并不证明回答本身正确，若指定模型产生幻觉仍可能成功验证该回答 [16] 行业应用前景 - FlashProve 的开源为 AI 产业链可信治理带来新可能 [17] - 随着合规监管、模型供应链安全以及医疗诊断、金融决策、法律分析等高价值场景对模型身份确认要求不断提高，不可篡改的模型身份证正从纯学术设想步入工程实操阶段 [17] - 未来模型服务商交付给用户的内容可能不再只有回答和 Token，还会多出一份证明回答由指定模型生成的密码学凭证 [18]