文章核心观点 - Anthropic 发文宣称大型语言模型的可验证推理取得新进展并开源 FlashProve 系统 该系统基于零知识密码学证明技术让模型提供商能在不公开模型权重的情况下证明某个回答确实由指定模型生成 [1] - 该技术旨在解决 AI 服务中用户无法确认返回回答究竟来自哪个模型的信任问题 例如第三方服务商可能为降低成本将高性能模型替换为更便宜的模型 推理服务器也可能遭攻击导致模型权重或输出 Token 被篡改 [4] - 技术核心思路是服务商先通过密码学方式为一组确定的模型权重生成承诺 相当于给模型版本建立加密指纹 之后每次请求可附上零知识证明 zkSNARK 证明回答确由此前承诺的模型根据对应输入生成 [4] - 用户无需获得模型权重也无需重新运行模型 即可通过模型承诺 输入 回答和证明文件独立验证模型身份 证明过程不泄露模型权重 但证明的是回答来源而非回答内容是否正确 [5] 技术测试与性能数据 - 该技术已在总参数量达 400B 的混合专家模型上进行测试 单张 NVIDIA H100 GPU 每秒可生成约 110 个 Token 对应的推理证明 每 1024 Token 请求的证明文件约为 19 MB [2] - Anthropic 选择 Meta 的 Llama 4 Maverick 进行测试 该模型拥有 4000 亿参数 每个 Token 实际激活约 170 亿参数 [6] - 在单张 NVIDIA H100 GPU 上 FlashProve 证明生成吞吐量达约 110 Token/s 每份证明文件约 18.78 MB 验证端不需 GPU 使用 24 线程 CPU 验证一份证明约需 17 秒 [8] - 当前测试采用 1024 Token 的请求窗口 每份证明实际检查其中一个输出 Token [8] - 效率提升与 FlashProve 针对 MoE 架构的优化有关 证明计算主要围绕实际激活的专家展开而非每次处理全部参数 同时系统采用批量事后证明 在推理完成后再统一生成证明以降低重复计算开销 [8] - 生成证明所需 GPU 时间约为普通 vLLM 推理的 70—95 倍 [8] - 目前系统主要支持 1024 Token 的上下文窗口 并针对整数模型和 Greedy Decoding 进行验证 尚不能直接覆盖所有模型和推理方式 [8] 开源与形式化验证 - 过去零知识机器学习研究大多集中在规模较小的模型上 FlashProve 进一步将可验证推理推进到大型语言模型场景 [3] - Anthropic 已开源 FlashProve 的证明生成器 C++ 和 Lean 验证器 以及相关技术文档和形式化证明 [3] - Anthropic 使用 Lean 形式化验证语言对协议的完整性 可靠性和零知识等核心安全性质进行机器可检查的证明 并将代码 协议说明和相关证明以 Apache 2.0 许可证开源 [9] - 形式化验证并不意味着所有实际运行的代码都获得同等保证 快速 C++ 验证器与形式化协议之间仍需进一步审计 [9] 应用场景与行业需求 - 不少用户通过第三方 API 中转站或模型聚合平台调用不同厂商的模型 这类服务降低调用门槛但带来信息不对称 用户能选择模型名称却未必能独立确认后台实际运行的模型 [10] - 在多层转发调用链路中 服务商理论上可能出于成本考虑将原本应交给高性能模型处理的请求转发给调用价格更低的模型 用户即使发现回答质量变化也难以判断是模型随机性 服务状态变化还是实际调用模型发生改变 [10] - 在缺少独立验证手段的情况下 用户很难仅凭返回结果确认究竟调用了什么模型 [11] - 若模型服务商提前公布特定版本的权重承诺 服务返回回答时可提供相应密码学证明 用户不必完全依赖服务商口头承诺 而可通过验证证明确认请求是否确由指定权重的模型完成 [11] - 随着合规监管 模型供应链安全以及高价值场景如医疗诊断 金融决策 法律分析对模型身份确认要求不断提高 不可篡改的模型身份证从纯学术设想步入工程实操阶段 [13] - 未来模型服务商交付给用户的或许不再只有回答和 Token 还会多出一份能证明这确实是指定模型生成的密码学凭证 [13] 当前局限与工程约束 - FlashProve 目前仍是一个研究原型 存在若干工程与理论约束 [12] - 证明成本依然较高 虽然比前代系统快几个数量级 但生成证明所需 GPU 时间仍比普通推理 vLLM 高出约 72 至 94 倍 意味着若每个请求都需实时生成证明 服务成本将明显增加 [12] - 目前支持的计算形式有限 当前实验针对整数运算版本的模型和 Greedy Decoding 贪婪解码 对于浮点计算 随机采样等其他推理方式还需进一步扩展 [12] - 上下文长度有限 目前实验展示的是最多 1024 Token 的上下文证明规模 对于长上下文 大规模 Agent 工作流和复杂多轮交互 如何高效生成和验证证明仍是需要解决的问题 [12] - FlashProve 证明的是回答确实来自指定模型 并不证明回答本身正确 若指定模型产生幻觉 FlashProve 仍可能成功验证该回答 其解决的是模型身份和推理完整性问题 而非模型能力和事实准确性问题 [13]

核心观点 - Anthropic联合零知识证明领域学者开源密码学验真系统FlashProve，通过数学证明机制终结大模型API供应链中偷换模型、掺水降智的灰色操作，让开发者无需信任中心化机构即可验证每个Token是否由目标模型生成 [4][5] - 该系统所有代码、Lean证明、技术文档均以Apache 2.0协议开源，核心开发主力为Claude自身 [4][23] 行业痛点与背景 - 大模型API供应链长期存在挂羊头卖狗肉的暗箱操作，开发者支付顶配旗舰费用却可能获得缩水小模型服务，且无权重、无机房，后台被偷梁换柱也只能干瞪眼 [1][2][3] - 模型自报家门本身由后台生成，算力负载与采样配置的微小波动也会改变回答，用户难以获得钉死服务商的铁证 [5] - 更高级模型可能顶替获批弱模型上岗并伪装成弱模型躲避监控，形成安全隐患 [6] - 传统验真需获取权重自行重跑，但前沿模型权重是各家命根子，普通用户无力承担4000亿参数模型的机房成本 [7] FlashProve三步验真流程 - 第一步离线按手印：模型上线前服务商在单张H100上花约39分钟用零知识编码为权重生成唯一承诺ID并向全网公开，该ID如同权重数字DNA指纹，改一个参数即对不上，外界无法从指纹反推权重 [9] - 第二步在线开证明：每处理完一次对话请求，服务商GPU顺手生成约19MB密码学证明，证实输出确由按过手印的模型算出 [10] - 第三步客户端验真伪：用户或审计机构在普通CPU上运行验证程序cp_verify，17秒即可获得真或假判决，全程不需权重也不需GPU [11] 底层密码学引擎 - 底层引擎为zkSNARK零知识简洁非交互式知识论证，验证者随机抽查几处即以极高概率抓到破绽 [12][13] - 每个请求背后需跑约2000个sumcheck子协议将推理拆成可抽查形式 [14] - 安全性仅依赖哈希函数BLAKE2，不靠椭圆曲线等代数结构，被认为能扛住未来量子计算机攻击，该路线已在Starknet等以太坊二层网络久经实战 [15] 工程突破与性能表现 - 测试对象为Meta的Llama 4 Maverick，4000亿参数混合专家MoE模型，每个Token实际激活约170亿参数 [16] - 证明器工作量只与170亿真正干活参数成正比，省去95%以上无效陪跑；系统用零知识编码将路由选择藏进指示向量，验证器对所有专家加权求和，既省算力又保密内部运转路径 [17] - 模型4-bit量化后权重达232GB，单张H100显存仅80GB，团队将权重放主机内存分段送入GPU，流式读取逐段完成计算与证明，单张80GB显卡成功处理232GB权重 [18][20][21] - 单张H100实现5500倍加速 [16] AI自主工程范式 - 仓库中C++代码仅占1.4%，Python占1.3%，CUDA占0.9%，高达95.2%代码（足足398MB）全部用Lean 4数学证明语言写成 [22] - 从114页密码学论文、23页技术报告到C++与CUDA底层代码再到近400MB Lean形式化证明，几乎全部出自Claude之手；项目每次测试、运行、对比、推算和代码审校也全由AI包揽 [23][24] - 人类科学家只与AI敲定最顶层6条安全定义，省去审核上亿行中间推导的苦功，Lean 4编译器内核逐行核对每一步数学推导 [25][26] - 仓库README开篇写明专为Agent运行而建，附现成提示词与AGENTS.md规范 [29] 三条顶层安全定理 - 完备性：服务商老实按承诺权重跑模型，证明一定能通过核验，被误伤拒绝概率不到万亿分之一 [28] - 知识可靠性：服务商拿假模型冒充或偷改一个Token，造假蒙混过关概率不到2的100次方分之一，数学上等同于不可能 [28] - 零知识：客户端无论核验多少次，证明文件都不会泄露半点模型权重 [28] 行业范式意义 - FlashProve带来AI造系统、Lean保真伪的全新工程范式，人类定下公理边界，AI穷尽推理迷宫，数学给出终极审判 [31] - 面对近400MB证明代码、114页公式推导的密码学工程，碳基大脑阅读极限已被击穿，人类只死守6条顶层定理定义权，让AI攀登工程与数学绝壁，形式化验证器做铁面守门人 [31]

文章核心观点 - Anthropic 开源 FlashProve 系统，基于零知识密码学证明技术实现大型语言模型的可验证推理，让模型提供商能在不公开模型权重的情况下证明某个回答确实由指定模型生成 [1] - 该技术旨在解决 AI 服务中的信任问题，使用户无需依赖服务商口头承诺即可独立验证模型身份 [2][7] - FlashProve 将零知识机器学习从规模较小的模型推进到大型语言模型场景，并在 400B 参数混合专家模型上完成测试 [3][9] 行业信任痛点 - 用户调用 AI 服务时无法确认返回回答究竟来自哪个模型，第三方服务商可能为降低成本将高性能模型替换为更便宜的模型 [2][7] - 推理服务器可能遭到攻击，导致模型权重或输出 Token 被篡改 [7] - 安全评估研究人员若无法确认测试对象与实际部署模型一致，评估结果将失去可靠性 [7] - 第三方 API 中转站或模型聚合平台降低了调用门槛，但带来信息不对称，用户能选择模型名称却未必能独立确认后台实际运行的模型 [12] - 在多层转发调用链路中，服务商理论上可能将高性能模型请求转发给调用价格更低的模型，用户难以判断回答质量变化是模型随机性、服务状态变化还是实际调用模型发生改变 [12][13] 技术原理 - 模型服务商先通过密码学方式为一组确定的模型权重生成承诺（Commitment），相当于给模型版本建立加密指纹 [7] - 用户每次发起请求，服务商可附上一份零知识证明（zkSNARK），证明回答确实由此前承诺的模型根据对应输入生成 [7] - 用户无需获得模型权重或重新运行模型，即可通过模型承诺、输入、回答和证明文件独立验证模型身份 [7] - 证明过程不泄露模型权重，但可确认输出是否来自指定模型；证明的是回答来源而非回答内容是否正确 [7] 性能测试数据 - 测试对象为 Meta 的 Llama 4 Maverick，拥有 4000 亿参数（400B）的 MoE 模型，每个 Token 实际激活约 170 亿参数 [9] - 单张 NVIDIA H100 GPU 上证明生成吞吐量达到约 110 Token/s，每份证明文件约 18.78 MB [9] - 每 1024 Token 请求的证明文件约为 19 MB [2] - 验证端不需要 GPU，使用 24 线程 CPU 验证一份证明约需 17 秒 [9] - 当前测试采用 1024 Token 的请求窗口，每份证明实际检查其中一个输出 Token [9] 效率优化手段 - 证明计算主要围绕实际激活的专家展开，而非每次处理模型全部参数，与 FlashProve 针对 MoE 架构的优化有关 [9] - 系统采用批量事后证明，在推理完成后再统一生成证明，降低重复计算带来的开销 [9] 开源内容 - Anthropic 已开源 FlashProve 的证明生成器、C++ 和 Lean 验证器，以及相关技术文档和形式化证明 [4] - 代码、协议说明和相关证明以 Apache 2.0 许可证开源 [10] - 使用 Lean 形式化验证语言对协议的完整性、可靠性和零知识等核心安全性质进行了机器可检查的证明 [10] 当前局限与工程约束 - 生成证明所需的 GPU 时间约为普通 vLLM 推理的 70—95 倍，若每个请求都实时生成证明，服务成本将明显增加 [10][16] - 目前主要支持 1024 Token 的上下文窗口，针对整数模型和 Greedy Decoding 进行验证，尚不能直接覆盖所有模型和推理方式 [10] - 对浮点计算、随机采样等其他推理方式还需进一步扩展 [16] - 长上下文、大规模 Agent 工作流和复杂多轮交互场景下如何高效生成和验证证明仍是待解决问题 [16] - 形式化验证并不意味着所有实际运行代码都获得同等保证，快速 C++ 验证器与形式化协议之间仍需进一步审计 [10] - FlashProve 证明的是回答来自指定模型，并不证明回答本身正确，若指定模型产生幻觉仍可能成功验证该回答 [16] 行业应用前景 - FlashProve 的开源为 AI 产业链可信治理带来新可能 [17] - 随着合规监管、模型供应链安全以及医疗诊断、金融决策、法律分析等高价值场景对模型身份确认要求不断提高，不可篡改的模型身份证正从纯学术设想步入工程实操阶段 [17] - 未来模型服务商交付给用户的内容可能不再只有回答和 Token，还会多出一份证明回答由指定模型生成的密码学凭证 [18]

文章核心观点 - Anthropic于周二发布博客文章，宣布正在开发一个名为FlashProve的开源系统，用于验证特定输出由哪个AI模型生成 [1] - 该系统旨在提供“可验证推理”，即一种密码学证明（本质上是数学保证），证明给定输出来自特定模型，让用户确认所收到的答案确实来自其认为正在使用的模型 [1] - 系统类似于密码学电子邮件签名，可抵御试图将某一模型伪装成另一模型的冒充者，即使冒充者是构建和运行该模型的实验室本身也不例外 [2] - 研究人员特别指出，该系统可用于防止AI公司秘密替换为更便宜的模型以削减成本，或替换为更昂贵的模型以夸大性能结果 [2] 系统应用场景 - FlashProve可用于验证第三方关于特定任务由先进模型完成的声明 [3] - 研究人员举例：开发者可能声称其软件库已由前沿网络安全模型扫描漏洞，或公司可能声称其商业计划已获得适当模型的批准，用户如何验证这些声明 [3] 技术实现机制 - 系统要求AI实验室发布其每个已发布模型的“指纹”，该指纹后续可与特定输出匹配并进行密码学验证 [3] - 关键在于指纹不会泄露模型权重，即定义模型行为方式的内部数字，Anthropic和OpenAI等闭源模型厂商对此保密 [3] - 这意味着实验室可以在不放弃其最有价值资产的情况下发布指纹，使系统也能适用于商业模型 [3] - 系统设计为轻量级，验证可在本地设备上执行 [3] 开源发布与研究进展 - 作为公告的一部分，研究人员发布了详细的技术规范和系统各组成部分的可运行代码，以开源许可证在GitHub上公开可用 [4] - 该系统研究仍在进行中，目前没有在Anthropic或任何其他实验室部署的计划 [4] - 研究人员在公告文章中解释，该研究文章旨在分享中间进展而非完整的研究议程，分享的明确目标是让其他人查看已完成的工作、采纳并改进 [5]

文章核心观点 - Anthropic推出名为FlashProve的新工具，该工具的核心功能是让开发者能够验证某一条回复是否确实来自特定的AI模型 [1] 产品功能总结 - FlashProve面向开发者群体，提供回复来源验证能力，可确认某一回复是否由指定AI模型生成 [1]