Anthropic 开源 FlashProve：用密码学证明这条回复真是某个模型写的

作者：陈一帆

Anthropic 公开研究原型 FlashProve，基于 zkSNARK，让任何人都能在普通 CPU 上验证一条回复确实来自某个已承诺的模型，同时不泄露权重。它在 Llama 4 Maverick 上单张 H100 约 110 tokens/s 出证明，验证约 17 秒，代价是约 70–95 倍的推理算力开销；代码与 Lean 证明以 Apache 2.0 开源，定位是研究产物而非线上服务。

11 月 3 日，Anthropic 公开了一项研究进展：一套叫 FlashProve 的原型系统，能让开发者验证某条回复确实由某个指定模型生成，而验证过程不需要接触模型权重。代码、Lean 形式化证明、协议说明和技术报告一起以 Apache 2.0 开源。官方给出的实测对象是 Meta 的 Llama 4 Maverick（4000 亿参数 MoE，每个 token 约 170 亿参数参与计算），单张 H100 出证明的速度约 110 tokens/s。

它解决的是一个很日常的不放心

场景并不复杂：你在一个 API 聚合平台选了 A 模型，中间隔着一层路由服务；路由为了省钱换成便宜的 B 模型，输出看着还行，你无从判断。或者服务器被入侵，返回的 token 流被人动过手脚。Anthropic 的说法是，只看输出质量判断不出来，哪怕回答看起来很漂亮。

FlashProve 走的是「可验证推理」（官方从 10 月起改称 inference verification）：让模型方先承诺、再证明、别人再验证。

• 承诺：模型方发布一个很短的权重指纹，绑死某一套权重，但权重本身不公开。Maverick 上这一步约 39 分钟，客户端下载约 6.5 MB，一份承诺大约够 1600 万次请求，之后要重新生成。
• 证明：每条回复配一份证明，内容是「承诺的那套权重在这个提示下，恰好会产生这些 token」。单份约 18.78 MB。
• 验证：任何人拿着承诺、提示词和回复，在普通 CPU 上验，不需要 GPU，24 线程约 17 秒，单线程约 21 秒。

底层的密码学工具是 zkSNARK，和 Starknet 这类区块链二层网络用的是同一类构造；官方称哈希构建带来后量子性质，并把完整性、可靠性、零知识三条性质在 Lean 4 里形式化证明：作弊方蒙混过关的概率约为 q/2^124 + 2^-101。

代价：证明比推理贵两个数量级

这是最需要看清的数字。相对 vLLM（同样模型、FP8、8 张 H100）处理同一批 24 条请求，FlashProve 单 GPU 的证明耗时约为 72 倍（多次运行 66–77 倍），vLLM 跑到测试最高负载时约 94 倍；官方摘要口径写作 70–95 倍。

和此前开源方案比：同样跑 Maverick 的 VerInf 约 14.3 小时出 1000 token 的证明，吞吐差着数千倍，但两者硬件不同，官方也说明不是同条件对比；Attestable 在稠密 31B 模型上速度接近，但没有开源代码。

用途与边界

官方列了四类场景：独立评估者确认「被测的模型就是服务客户的模型」；防服务器被入侵后篡改输出；证明某段文本确实出自某模型（比如「这版代码被前沿安全模型扫过」）；监管侧核验算力确实在跑推理、只服务获批模型。

边界也很明确：证明只说明「出自谁」，不说明内容对不对；只覆盖整数化模型的贪心解码输出，采样和浮点计算结果可能对不上；上下文上限 1024 token；隐藏权重但不隐藏架构；当前假设 MoE 结构；侧信道攻击不在本次范围；C++ 快速验证器没有形式化保证，Lean 声明仍需人工审计。另外，Anthropic 没有说会把 FlashProve 用在 Claude 上——它先前承诺 9 月 30 日前做出可验证推理原型，是用另一套「签名加可信服务器重算」的方案达成的，FlashProve 是同一目标的另一条路。

我的看法是：仓库自述「研究产物，不维护、不接受贡献」，说明它不是今天就能打开开关的产品。但把「要重跑一遍模型才能验」变成「普通 CPU 十几秒验一份证明」，这个落差是具体的。真正的分水岭在于，它是给每条回复都配证明，还是只做抽查——这个策略问题，比密码学本身更决定它能不能落地。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] New Anthropic research: progress on provable inference for large language models. Here, we introduce FlashProve. Buildin · Anthropic
• [S2] Progress on provable inference for large language models
• [S3] GitHub - anthropics/FlashProve: A research prototype for zero-knowledge proofs of AI inference. Not maintained.
• [S4] Anthropic Releases FlashProve: Cryptographic Proofs That a Reply Came From Committed Weights
• [S5] Anthropic FlashProve: open-source zero-knowledge proofs of which LLM wrote a reply
• 配图 1：来源：www.anthropic.com（图片署名见原文） · 图片出处
• 配图 2：来源：www.anthropic.com（图片署名见原文） · 图片出处
• 配图 3：来源：GitHub（图片署名见原文） · 图片出处
• 配图 4：来源：Data Studios ‧Exafin（图片署名见原文） · 图片出处