Anthropic 开源 FlashProve：给 AI 回答附一张可验证的"小票"

作者：陈一帆

Anthropic 11 月 2 日开源研究原型 FlashProve，用零知识证明让你不碰模型权重，也能核对回答是否真出自厂商承诺的那个模型。思路像"验小票防外卖被掉包"，但目前只是原型，成本高、普通用户还用不上。

11 月 2 日，Anthropic 发布开源研究原型 FlashProve（Apache 2.0 授权）。它给模型回复附上一份密码学证明，任何人不必接触模型权重，就能核对"回答你的确实是厂商承诺运行的那套模型"。针对的是 API 链路里两种常见暗箱：服务方悄悄换成更便宜的模型，或中间环节被调包，而文字看起来照样通顺。目前它只是研究原型，没有接入任何产品。

这个问题平时几乎没法自己查。你通过网关买"A 店旗舰模型"，回话可能来自"B 店平价复刻"，你看不出，因为两种回答都通顺。FlashProve 的思路像点外卖怕被掉包，就让商家随餐附一张真能验的小票：店家先公开一个"承诺 ID"，把它锁定到某一版配方（权重），配方本身仍然保密；每条回复附带一份证明；任何人拿普通电脑跑验证器，几秒就能确认这盘菜确实出自那间厨房，不用进后厨看配方。对应官方三步——Commit（承诺）、Prove（证明）、Verify（验证）。

技术上，它用的是一类零知识证明：证明"这段计算算对了"，却不透露权重和中间步骤。协议的安全性用 Lean 4 做了形式化证明，伪造被漏过的概率压到 2^-101 量级。

官方演示跑的是 Llama 4 Maverick：4000 亿参数的混合专家模型，每个 token 约激活 170 亿参数，4-bit 量化，单张 H100、1,024 token 上下文。生成证明约 110 token/秒（24 条一批的 prefill 口径），单份证明平均 18.8 MB，普通 CPU 单线程验证约 21 秒。代价也写明：比常规 vLLM 服务慢约 71–93 倍。官方性能文档也照例列出"没做到"的地方——测试记录不在仓库里，整数版模型与 16-bit 版在 6.81% 的位置上首选 token 不同，也就是证明的那套模型和实际服务的并不完全是一回事。

它和 AI 水印不是一回事。水印在文字里留痕迹，回答"这段字像不像某模型写的"；可验证推理只针对单笔交易，回答"这次输出是否真由承诺的权重算出来"——范围更窄，也更硬。

小票只证明"菜出自这家厨房"，不证明"菜好吃"。目前只覆盖贪心解码下的整数版模型，真实服务常用的采样和浮点输出会出现偏差；上下文限 1,024 token；Agent 全链路、侧信道、硬件是否被挪去偷偷训练，都不在证明范围内；快速的 C++ 实现也没有被证明与 Lean 协议一致。仓库自己标注"研究工件，不维护、不接受贡献"。

实际先用上的大概不是普通用户，而是企业采购和审计：按批抽验证明，比只信厂商日志硬得多。现在算"已实现"的，是代码、协议规范和形式化证明全部开源、可复现；还算"期待"的，是成本降下来、上下文变长、有厂商真把它接进产品。对普通用户来说，眼下能用上的门槛仍在——你既没有一张 H100，也难找到愿意出证明的服务方。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Anthropic Builds a Way to Prove Which AI Model Answered You
• [S2] https://hn.algolia.com/api/v1/search?query=FlashProve&tags=story
• [S3] https://raw.githubusercontent.com/anthropics/FlashProve/main/README.md
• [S4] https://raw.githubusercontent.com/anthropics/FlashProve/main/guide/performance.md
• [S5] Anthropic FlashProve explained: how a zero-knowledge proof shows which model wrote a reply, what it costs at…
• 配图 1：来源：TechBooky（图片署名见原文） · 图片出处
• 配图 2：来源：AI News Report（图片署名见原文） · 图片出处