不交出权重，也能验出这段回复出自哪个模型：Anthropic 开源 FlashProve

作者：陈一帆

Anthropic 本周二发布研究文章并开源原型 FlashProve：服务商为每条回复附一份约 19MB 的密码学证明，普通 CPU 十几秒即可验证回复是否出自其承诺的那套权重。它证明的是「哪个模型写的」，不是「内容是否真实」；目前仍是研究原型，生成证明的开销约为普通推理的 70-95 倍。

Anthropic 本周二发布研究文章，同时开源了一个叫 FlashProve 的原型：AI 服务商可以给每条回复附上一份密码学证明，用户在自己电脑上用普通 CPU 花十几秒，就能验出这段文字确实出自被承诺的那套模型权重，而权重全程不公开 。代码按 Apache 2.0 发布，仓库同时写明，这是研究产物，不维护、不接受贡献 。

这件事有点像验钞：你不必见到印钞机，也能验出这张钞票是不是它印的。

三步：承诺、出证、验证

服务商先公开一份约 6.5MB 的「指纹」，也就是对模型权重的承诺，把模型钉死在一组参数上；这一步离线跑一次约 39 分钟，结果可用约 1600 万次请求 。之后每条回复都附带一份约 19MB 的证明文件，验证者拿「承诺 + 提问 + 回复」在自己的 CPU 上核对，通过就是承诺的那个模型写的，不通过就说明回应不是来自这个模型 。

密码学层面，证明不泄露权重、中间计算结果，也不泄露每层激活了哪些专家，但模型架构本身不隐藏 。它用的是 zkSNARK；官方说这和 Starknet、Mantle 这类以太坊 L2 用的是同一族哈希类证明技术 。

它证明的是「谁写的」，不是「写得对不对」

这个界限得分清：FlashProve 证明「哪个模型产出了这些 token」，不证明内容是否真实。就像验钞机确认这是真钞，不代表钞票上那行字可信。

真实的需求也确实存在：第三方路由服务为了省成本偷偷换成便宜模型，攻击者篡改 token 流，独立评估者想确认「被测的就是被部署的」，这些情况下只看输出内容判断并不可靠 。

实测数字与代价

以下都是 Anthropic 的自报口径。测试模型是 Llama 4 Maverick（4000 亿参数的混合专家模型，每个 token 激活约 170 亿参数），4-bit 量化、1024 token 上下文：单张 H100 每秒约能生成 110 个 token 的证明，单条证明 18.78MB，在 24 线程 CPU 上验证约 17 秒、单线程约 21 秒 。

代价也写得明白：生成证明消耗的 GPU 时间约为 vLLM 普通推理的 70-95 倍 。The New Stack 补充了一个使用体验上的问题；证明是在请求完成后批量生成的，并非一边输出一边验 。但这条路已经算快了：此前的 VerInf 给 1000 个 token 出证明要 14.3 小时，证明文件 93.6GB，验证接近一天 。

现在能跑，还不是能上线

仓库自己的说明比较谨慎：只支持 1024 token 上下文，用整数运算和贪心解码，离生产模型常见的浮点计算加采样还有一段距离；C++ 验证器和 GPU 证明器没有做形式化验证，只有协议层面的可靠性在 Lean 4 里证过 。功能也没接进 Claude API 。

还有个细节值得记一笔：官方说系统里不少优化出自 Claude，连协议说明文档也是 Claude 写的，仓库说明更是直接写给「coding agent」看 。

关于目标，有个容易误读的地方：Anthropic 曾在安全路线图里定下「2026 年 9 月 30 日前做出可证明推理原型」，官方说那个目标已由另一个输出签名方案先行达成，FlashProve 是同目标的另一条技术路径 。

X 上 @krinza 是最早把这件事讲开的人之一，重点落在「与 Starknet 同族的证明」和「CPU 秒级验证」这两点上，随后被广泛转述，数字和官方一致 。

值得记录的是从论文走到一个能克隆下来跑的开源仓库这一步。至于哪天你的每条回复都自带防伪码，暂时还看不到时间表。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] saw @krinza post about anthropic’s flashprove and went to check the source. anthropic open sourced a prototype called fl · Bryan Quartz
• [S2] Progress on provable inference for large language models
• [S3] GitHub - anthropics/FlashProve: A research prototype for zero-knowledge proofs of AI inference. Not maintained.
• [S4] Anthropic found a way to prove which AI model answered you — but there’s a costly catch
• [S5] The Decoder
• [S6] Krinza (@krinza) on X
• 配图 1：来源：www.anthropic.com（图片署名见原文） · 图片出处
• 配图 2：来源：www.anthropic.com（图片署名见原文） · 图片出处
• 配图 3：来源：GitHub（图片署名见原文） · 图片出处
• 配图 4：来源：The New Stack（图片署名见原文） · 图片出处