Anthropic于11月4日凌晨开源了大模型可证明推理系统FlashProve，详细技术报告在11月2日发布。该系统允许模型服务商为每次回答生成密码学证明，用户无需获取模型权重或自行运行大模型，就能在CPU上核验输出是否确实由指定模型计算得出。这相当于给黑箱式的API调用装上了一面“照妖镜”，既能发现服务商是否暗中调换了模型，也能验证回答在传输过程中是否被篡改。

模型API的调用机制长期不透明：用户发送提示词后只能看到生成的Token，却无法确认背后运行的究竟是哪款模型。Anthropic在公告中列举了几类难以核实的情形，例如开发者声称用前沿模型检查过软件漏洞，但聊天记录不足以证明实际调用的是哪款模型；推理服务器遭入侵后，攻击者还可能将恶意内容混入正常回答。FlashProve试图通过密码学证明来辅助确认模型有没有被“掉包”、回答有没有被篡改、服务商是否使用了通过安全审批的模型，以及企业是否执行了申报的推理任务。监管机构也可借此检查服务商是否遵守模型使用要求。

根据Anthropic公布的测试结果，FlashProve已在Meta发布的4000亿参数模型Llama 4 Maverick上完成测试。使用单张H100 GPU生成证明，单个请求的证明文件约19MB，用户端使用24线程CPU核验约需17秒，全程无需GPU。作为对比，此前开源系统VerInf也曾为Llama 4 Maverick生成证明，但其公布的结果显示，在单台DGX Spark上为1000个Token的前向计算生成证明约需14.3小时，证明文件达93.6GB，使用20个CPU核心核验约需17.7小时。尽管两项测试的硬件与证明任务设置不同，但从各自公布的数据看，FlashProve的证明文件更小，用户端核验耗时也大幅缩短。

FlashProve的核心技术是零知识简洁非交互式知识论证（zkSNARK），即在不额外泄露模型权重信息的情况下，用户可以用较小文件、较低开销独立核验推理过程的正确性。系统运行分为离线准备和在线证明两个阶段：离线阶段，服务方先对模型权重进行编码，生成密码学承诺，相当于为权重建立“指纹”；在线阶段，服务方根据输入和待检查输出，记录模型推理中的计算轨迹，包括矩阵乘法、取整、非线性运算等，再生成证明，说明这些运算使用了承诺中的权重，并按指定规则得到了相应输出。用户持有权重承诺、输入、输出及对应证明，即可通过验证器检查输出是否符合这组权重的计算结果。

在Llama 4 Maverick测试中，离线准备耗时约39分钟，服务方保存约2.15GB文件。客户端首次下载权重承诺、离线证明及一个链接证明，共6.24MB。这些准备工作可以复用，之后每个请求只需下载对应的证明文件。为降低证明开销，FlashProve从模型结构、显存使用和批处理三方面进行了优化。Llama 4 Maverick采用混合专家（MoE）架构，每个MoE层从128个路由专家中选择1个运行，另有1个共享专家，因此每个Token约激活4000亿参数中的170亿。FlashProve只在计算轨迹中记录实际运行的专家及其选择，使证明工作量随激活参数规模变化，同时核验路由器是否选对专家。系统还将模型层和计算轨迹分段处理，约232GB权重保存在主机内存中，再逐段加载至GPU。按公告披露，一张80GB显存的GPU配合约290GB主机内存即可运行系统。批处理方面，FlashProve一批最多可处理64个客户端请求，各请求的部分证明步骤在GPU上并发执行，整批请求共享用于核验权重承诺的查询数据，减少重复工作。

技术报告显示，研究团队在单张H100及24个CPU核心上测试了批处理效果，使用第三方公开的4比特权重，并将其转换为整数模型。每个请求包含1024个Token的窗口，主测试每份证明只检查紧随提示词之后的一个输出Token，确认它是已承诺模型在该位置得分最高的选择，测试以128位安全强度为目标。逐个处理请求时，生成一份证明约需58秒；每批处理24个请求时，总耗时约223秒。按请求窗口中的全部Token统计，证明生成的处理吞吐由每秒17.6个Token提高至110个Token。研究团队还测试了检查回复中每个Token的情况，证明生成耗时未出现可测差异。

不过，FlashProve目前仍是需要服务方配合的研究原型。要将核验方式用于实际服务，还面临三方面限制。首先是生成证明的开销高。技术报告显示，研究团队在8张H100上通过vLLM运行同一模型的8位浮点版本进行对照，按每张GPU折算，FlashProve为24个请求生成证明的GPU时间开销约为vLLM处理相同请求预填充阶段所用GPU时间的72倍，在测试的最高负载下约为94倍。为避免用户等待证明生成，FlashProve采用事后证明方式，先返回回答，再由独立硬件根据完整记录重新计算并生成证明。但事后核验存在延迟，用户可能在发现篡改前就收到恶意回答，已经通过回答泄露的信息也无法撤回。

其次是验证范围有限。FlashProve目前支持的上下文最长为1024个Token，而前沿模型的窗口通常达到数十万乃至数百万Token，长对话等场景仍难以覆盖。此外，FlashProve验证的是整数模型在指定位置选择得分最高Token的结果，实际服务采用浮点推理或采样解码时可能产生不同输出，发现输出不一致时还需区分计算方式差异与回答篡改。

第三是安全实现尚未完整证明。高性能可执行代码尚未获得与Lean协议同等的形式化安全保证，因为现有证明针对Lean描述的协议，而实际运行的GPU和CPU代码由AI据此生成，两者的等价性尚未得到证明。此外，批量处理请求时的零知识性尚未完成形式化证明，目前已完成的相关证明只覆盖逐个请求处理的情形。

模型身份核验已吸引多家公司入局。今年2月3日，美国AI隐私服务商Tinfoil介绍了Modelwrap方案，通过安全硬件与权重承诺核验模型身份。今年8月，以色列AI安全公司Attestable公开了面向大模型的零知识推理证明方案，目前公布的测试结果已覆盖Gemma 4 31B。Anthropic推进这项研究也有自身的安全考虑，该公司此前在安全路线图中提出，要确认模型输出对应的是指定权重，降低攻击者入侵后修改模型的风险。此次开源FlashProve，正是尝试通过纯软件的密码学方案解决这一问题。

对企业客户而言，付费调用的模型有没有被替换、评测时的版本和实际服务是否一致，都会影响采购和使用决策。如果后续能降低证明开销并接入实际服务，FlashProve就能让客户和评测者多一种独立核验的手段，这也有望成为Anthropic争取企业客户的一项优势，尤其是对服务可靠性和审计有较高要求的客户。