Anthropic开源FlashProve：17秒验明模型真身，还能抓调包

智东西11月4日消息，今天凌晨Anthropic把大模型可证明推理系统FlashProve开源了，详细技术报告在11月2日发布。有了这套系统，服务商能给模型回答生成密码学证明；用户不用拿模型权重，也不用自己跑大模型，在CPU上就能核验输出是否出自指定模型的计算结果。

调用模型API这事一直像开盲盒：提示词发出去，用户只能看到生成的Token，没法确认背后干活的是不是自己选的那个模型。FlashProve要堵的就是这个口子——往大了说能抓“模型掉包”，往小了说能验“回答篡改”，监管机构也能借它监测服务商和企业用AI是否合规。

模型刚发出来，X上的外网网友就火速贡献了梗图。

▲X上网友评论：FlashProve揭开面具，旗舰模型竟是廉价模型（图源：X）

Anthropic公布的测试结果显示，FlashProve已经在Meta发布的4000亿参数模型Llama 4 Maverick上跑通：用单张H100 GPU生成证明，单个请求的证明文件约19MB，用户端拿24线程CPU核验大约17秒，不需要GPU。

开源系统VerInf此前也给Llama 4 Maverick生成过证明。按其公布的结果，在单台DGX Spark上，为1000个Token的前向计算生成证明要约14.3小时，证明文件达93.6GB，核验用20个CPU核心，耗时约17.7小时。

两项测试的硬件和证明任务设置并不一样，但各自公布的结果摆在一起看，FlashProve的证明文件更小，用户端核验也快得多。

不过FlashProve眼下还是个研究原型，得服务方配合才能用，生成证明消耗的GPU时间约为普通推理的70—95倍。也有网友犯嘀咕：这么贵的账，谁愿意付？

▲X上网友的评论（图源：X）

FlashProve的技术底子是零知识简洁非交互式知识论证（zkSNARK）。它能让用户在不额外泄露模型权重信息的前提下，用较小的文件和较低的开销，独立核验推理过程对不对。

▲证明系统的完备性、可靠性、简洁性与零知识性（图源：Anthropic）

这次Anthropic一并公开了技术报告、协议规范、证明生成器、C++与Lean两种验证器，还有用Lean写的形式化证明。其中代码、Lean证明和文档都以Apache 2.0许可证开源。

据Anthropic透露，Claude也参与了推理所用zkSNARK技术的优化。FlashProve此次开源，是想展示可证明推理技术当下走到了哪一步，方便其他研究者复现和改进。

▲FlashProve开源主页（图源：Github）

一、单张H100可批量生成24份证明，耗时不到四分钟

开源地址：
https://github.com/anthropics/FlashProve

FlashProve跑起来分两步：离线准备和在线证明。模型服务方先备好权重承诺、生成证明，用户再用验证器核验。

技术报告介绍，离线阶段服务方先对模型权重编码，生成密码学承诺。这份承诺相当于给一组权重建了个“指纹”，后面的证明都跟它绑定，核验时就能确认对的是同一组权重。

▲FlashProve离线准备流程（图源：Anthropic）

到了在线阶段，服务方按输入和待检查的输出，把模型推理中的计算轨迹记下来，矩阵乘法、取整、非线性运算都在里面，然后生成证明，说明这些运算用的就是承诺里的权重，并且按指定规则得出了相应输出。

用户手里有权重承诺、输入、输出和对应证明，就能通过验证器检查输出是不是这组权重算出来的。这份密码学证明同时具备零知识性（Zero knowledge）和简洁性（Succinctness）：前者让证明不额外泄露权重、中间计算值和专家选择等信息，后者让客户端以远低于自己跑模型的计算开销完成核验。模型架构本身不隐藏。

▲FlashProve在线证明与核验流程（图源：Anthropic）

在Llama 4 Maverick测试中，离线准备花了约39分钟，服务方保存约2.15GB文件。客户端头一回要下载权重承诺、离线证明和一个链接证明，共6.24MB。这些准备工作能复用，之后每个请求只需再下载证明文件。

降低证明开销这件事，FlashProve主要从模型结构、显存使用和批处理三方面下手。

至于批量能力，单张H100可批量生成24份证明，耗时不到四分钟。

Llama 4 Maverick走的是混合专家（MoE）路线，每个MoE层从128个路由专家里挑1个来跑，另外还配1个共享专家。这样一来，每个Token实际激活的参数约为4000亿总参数中的170亿。FlashProve的做法是只把真正跑起来的专家和路由选择写进计算轨迹，证明的工作量就跟着激活参数规模走；同时它还会核对路由器有没有选对专家。

▲FlashProve利用MoE稀疏激活减少证明计算，同时检查路由选择，并隐藏实际运行的专家（图源：Anthropic）

模型层和计算轨迹被系统分段处理：约232GB权重先放在主机内存里，再一段段送进GPU。按公告披露的说法，一块80GB显存的GPU加上约290GB主机内存，就能把系统跑起来。

批处理上，FlashProve一批最多接64个客户端请求。不同请求的部分证明步骤在GPU上并发执行，整批请求共用核验权重承诺所需的查询数据，重复劳动因此减少。

技术报告披露了测试细节：团队在单张H100加24个CPU核心上测批处理，权重用的是第三方公开的4比特版本，并转成整数模型。每个请求带1024个Token的窗口，主测试每份证明只查紧随提示词之后的那一个输出Token，确认它正是已承诺模型在该位置得分最高的选择，安全强度目标定在128位。

一个一个处理请求时，出一份证明要花约58秒；一批24个请求一起跑，总耗时约223秒。若按请求窗口里的全部Token来算，证明生成的处理吞吐从每秒17.6个Token升到110个Token。

团队也测了逐个检查回复中每个Token的情形，证明生成耗时没有测出差异。只统计该测试里被检查的回复Token，吞吐约为每秒39.1个Token。

二、模型被“掉包”、输出遭篡改，四类情形怎么分别验？

Anthropic在公告里点出模型服务中几类不好核实的情况。比如开发者说用前沿模型查过软件漏洞，可聊天记录证明不了实际调用的是哪款模型；推理服务器一旦被入侵，攻击者还能把恶意内容掺进正常回答里。

按Anthropic的设想，FlashProve能借助密码学证明帮忙确认几件事：模型有没有被“掉包”、回答有没有被篡改、服务商用的是不是通过安全审批的模型，以及企业有没有执行申报的推理任务。

第三方API客户和独立评测者可以拿它核对实际使用的模型，监管机构则能检查服务商是否遵守模型使用要求。有些政策提案要求企业把硬件用于推理、而不是拿去训练更强的模型，监管机构也可以要求企业提交某段时间的推理证明，以此辅助管控AI发展节奏。不过这些证明只说明相关推理确实发生过，企业同时训练其他模型这种情况，它排除不了。

反过来，模型没取得指定结果时，服务方也能证明相应尝试确实做过。Anthropic在公告中举例：代码发布前，服务方可以出具“未取得指定结果的证明”，比如证明某款模型针对指定补丁试了至少100万Token，还是没发现漏洞。

三、证明耗时仍是普通推理数十倍，三方面限制待解

要把这套核验方式用到实际服务里，FlashProve还卡在证明生成开销、验证范围和安全实现这三方面。

限制一：生成证明开销高，事后核验有延迟

直接跑模型和生成密码学证明，后者更吃算力。技术报告显示，团队在8张H100上用vLLM跑同一模型的8位浮点（8-bit floating point，FP8）版本做对照。

折算到每张GPU，FlashProve为24个请求生成证明所耗的GPU时间，约为vLLM处理同样请求时预填充（Prefill）阶段GPU时间的72倍；测试的最高负载下，这个数字约为94倍。

为了不让用户干等证明，FlashProve走事后证明（Post-hoc proving）的路子：先把回答返回，再由独立硬件依据完整记录重新计算、生成证明。

问题是事后核验有延迟，用户可能在发现篡改之前就收到了恶意回答；而那些已经通过回答泄露出去的信息，也收不回来。

▲FlashProve采用事后方案，先返回回答，再生成证明，核验结果存在延迟（图源：Anthropic）

限制二：上下文最长1024个Token，计算方式差异影响核验

FlashProve眼下支持的上下文最长1024个Token，可前沿模型的窗口通常有数十万乃至数百万Token，长对话这类场景它还覆盖不了。

另外，FlashProve验证的是整数模型（Integer model）在指定位置挑出得分最高Token的结果。实际服务若用浮点推理（Floating-point inference）或采样解码（Sampled decoding），输出可能不一样。所以发现输出对不上时，还得分辨究竟是计算方式差异，还是回答被篡改。

▲浮点模型回答“煮7分钟”，整数模型选择“煮8分钟”（图源：Anthropic）

限制三在于，实际代码与批量处理这两块的安全性，眼下都还没有被完整证明。技术报告的说法是，高性能可执行代码拿到的形式化安全保证，还达不到Lean协议那一档。

原因不难理解：现有证明是冲着Lean描述的协议去的，而真正跑在GPU和CPU上的代码由AI据此生成，两边是否等价，目前没人证明过。

另一处缺口在批量处理。多个请求一起处理时的零知识性，形式化证明尚未完成；已经做完的证明只覆盖逐个请求的情形，还没有推广到多请求共同处理的场景。

▲Lean协议、形式化证明与可执行代码的关系（图源：Anthropic）

结语：FlashProve补齐推理核验，有望增强企业客户信任

盯上模型身份核验的不止一家。2月3日，美国AI隐私服务商Tinfoil介绍了Modelwrap方案，靠安全硬件加权重承诺来核验模型身份；8月，以色列AI安全公司Attestable公开了面向大模型的零知识推理证明方案，公布的测试结果已覆盖Gemma 4 31B。

Anthropic做这项研究，背后有自己的安全账要算。该公司在安全路线图里提过，要确认模型输出对应的是指定权重，从而压低攻击者入侵后改模型的风险。这次把FlashProve开源，就是想用纯软件的密码学方案来解这道题。

对企业客户而言，付费调用的模型有没有被掉包、评测时的版本和实际服务是否一致，都直接牵动采购和使用决策。后续若能压低证明开销、接进实际服务，客户和评测者就多了一种独立核验的手段。对服务可靠性和审计要求高的那批客户来说，这也有望成为Anthropic争取订单的一个优势。