Anthropic 被传在做 FlashProve：给 AI 回复附一张「出厂溯源码」，但目前只有两条推文

作者：陈一帆

11 月 5 日，X 上两条帖子称 Anthropic 在探索 FlashProve，用绑定特定模型的密码学证明验证回复出自哪个模型而不公开权重，并提到原型存在上下文短、成本高的限制。截至 11 月 7 日，arXiv 精确检索无相关论文，Anthropic 官网新闻与研究页摘要中也未见该名称，两条转述彼此还不一致。

陈一帆

11 月 5 日，X 上先后出现两条帖子，说 Anthropic 在探索一个叫 FlashProve 的方法：给模型的回复生成一份绑定特定模型的密码学证明，验证方能确认这段回答出自哪个模型，同时不需要看到私有权重 。两条帖子相隔约 3 分钟，其中一条明确点名 Anthropic，并补充说原型有上下文窗口短、成本高的限制 ；另一条只说 FlashProve 能给 AI 带来密码学验证，全程没提 Anthropic，也没提限制 。

这东西要解决的问题很日常

换个场景就明白了。外包团队交付一批代码，说是「用 Claude 写的」；某个客服机器人回复你，页面上写着「本回答由某某模型生成」。今天你判断真假，基本靠合同、靠信任，或者靠对语言风格的直觉。FlashProve 这类思路想做的，是让回复自带一张可核验的凭据：不公开配方（权重），但能证明这份输出是哪个模型算出来的。防冒充、识别 API 套壳转卖、企业合规审计留痕，都是它理论上能落地的位置。

这个方向本身不新鲜，内容凭证（如 C2PA）、模型水印都在解决相近的问题，区别在于密码学证明想给出更强的保证，而不只是「看起来像」。所以值得留意，但也要留意到哪一步了。

发稿前的核实结果

截至 11 月 7 日，能确认的东西不多：

• arXiv 以精确短语检索「FlashProve」，返回 0 条结果 ；
• Anthropic 官网新闻页和研究页这次抓取到的页面摘要里，没有出现 FlashProve 字样 ，不过这属于摘要级检索，「没看到」不等于「不存在」；
• 两条帖子附带的短链没能展开，所谓原始论文或官方博客究竟是哪一篇，目前无法确认。

另外，两条转述并不一致：一条不提归属方 ，一条明确指向 Anthropic 。信息更具体的那条，读起来更像转述了某个未注明的原始来源，而不是第一手发布。所以现在的准确说法是「有人在传」，还不能写成「Anthropic 发布了」。

还缺什么

最关键的部分全空着。机制上用的是零知识证明、可信执行环境，还是某种模型指纹方案？验证方需要拿到什么材料、要不要联网、能不能离线复核？帖子里一个字没讲。「上下文短、成本高」也只是定性描述，没有窗口长度的数字，没有单次证明耗时或费用的量级。对一个主打「可验证」的方案来说，这些恰恰是最该先看到的部分。

对读者意味着什么

现阶段不必据此调整任何工具选型或安全策略，也没有可试用的东西。如果你确实担心模型输出被冒名，当下能用的还是老办法：API 密钥管理、调用日志、供应商侧的审计记录。

我的态度是：如果方向属实，「这个回答真是这个模型说的吗」会从信任问题变成验证问题，这是实打实的进步；但进步还没发生，眼下已实现的只有两条二手转述。等官方原文或论文出现，再看它相对水印和内容凭证多解决了什么、代价是什么，那时候才值得认真评估。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] 🔐 Can AI Prove Its Identity? FlashProve brings cryptographic verification to AI, making model outputs more transparent · 1950.ai
• [S2] Anthropic’s FlashProve explores a way to verify which AI model produced a response without revealing its private weights · Morteza Khedri
• [S3] arXiv Query: search_query=all:"FlashProve"&id_list=&start=0&max_results=10
• [S4] Newsroom
• [S5] Research
• 配图 1：来源：www.anthropic.com（图片署名见原文） · 图片出处
• 配图 2：来源：www.anthropic.com（图片署名见原文） · 图片出处