Anthropic推出FlashProve：模型没换，能拿出密码学证据吗？

你花钱调用的那个 AI，真是商家嘴上承诺的那款模型吗？

打个比方，某个第三方平台对外说接入了旗舰模型，实际后台悄悄换成了更便宜的小模型、老模型，光凭回答的语气和成色，普通人很难分辨；再比如同一道题，官方渠道能解出来，走中转站却卡住了。

对不少国内用户来说，通过第三方 API、聚合平台或者中转服务调模型，这类疑问几乎躲不开。

一次看似简单的模型请求，链路上要穿过「用户—中转站—上游服务商—模型」好几个环节。哪一环不透明，用户就说不清自己买到的到底是不是标价对应的那款模型。

Anthropic 近日公开了一项研究，想做的事就是：把过去只能靠口碑、截图和体感吵来吵去的问题，变成能用数学手段验证的问题。

这套开源研究原型叫 FlashProve，能为模型推理生成密码学证明。它的思路是让服务商就模型的计算结果给出密码学证明，用户既不用拿到模型权重，也不必自己重跑一遍大模型，就能完成核验。

不公开模型，也能证明「你就是你」

想确认自己用的到底是哪个模型，通常只有两条路：用模型厂商官方的应用，或者从官网调 API 对话。可大多数 API 调用里，我们只是提交问题、服务器返回回答，模型实际上跑在远程机器上，后台做了哪些计算，用户无从得知。

斯坦福大学的研究项目《Model Equality Testing》就做过测试：2024 年四款 Llama 模型的 31 个商业 API 端点中，有 11 个端点的输出分布与 Meta 发布权重的参考分布存在统计差异。

同一个模型名字，未必对应同一种表现。服务页面上挂的都是 Opus 5.5，也无法保证用户拿到的是完全相同的模型。

有人想靠几个问题来鉴别模型。就像最近内测 Opus 5.5 时，有网友说可以问它 2026 年 5 月 Karpathy 去了哪里，如果答不出他去了 Anthropic，那就是没测到。

问题是，模型厂商自己也会做路由，靠这类问题鉴别往往很难直接定位原因。碰巧答错、参数不同、上下文没传完整，和后台换了模型，最后都可能表现成一句「怎么变笨了」、「这不是我想要的模型吧」。

FlashProve 的核心，是一项名为 zkSNARK 的零知识简洁证明技术。

第一步，模型服务商为权重生成一个「承诺」。它像一组密码学指纹，能唯一锁定特定权重，同时又不公开权重本身。

接着，服务商针对给定输入和待检查的输出生成一份证明，用来核验这些输出是否符合事先约定的模型计算。用户拿到模型承诺、提示词、回答和证明文件后，在自己的电脑上就能检查：这套被锁定的权重处理这段输入时，是否确实会产生这些输出。

假如中转站偷偷换了一套模型，或者有人改动了输出，证明就无法与原来的模型承诺对上。

零知识在这里同样关键。它的目的是让验证者在确认计算结果的同时，不会因此拿到模型权重、中间计算值，也不会知道 MoE 模型在各层调用了哪些专家。

这也说明了它为什么比「让 AI 自报家门」靠谱：回答里写了什么模型名字，不再算身份证明，真正被检查的是输出与指定权重之间的计算关系。

一台笔记本就能核验

以往给大模型生成零知识证明，最大的拦路虎是成本。证明过程可能比普通推理慢上几个数量级，证明文件也可能大得惊人。

Anthropic 的实验对象是公开 4-bit 权重的 Llama 4 Maverick。这是一个 4000 亿参数的混合专家模型，每个 token 实际激活约 170 亿参数。Anthropic 公布的数据如下：

• 单张 H100 生成证明的吞吐量约为 110 tokens/秒；

• 每个 1,024-token 请求的证明约为 19 MB；

• 验证环节不需要 GPU，24 线程 CPU 上约需 17 秒，单线程约需 21 秒；

• 模型权重的初始承诺只生成一次，大约要花 39 分钟。

需要说明的是，110 tokens/秒指的是证明生成速度，跟用户聊天时模型吐字的速度不是一回事。证明本身依然很贵——按 Anthropic 给出的对比条件，它消耗的 GPU 时间大约是普通 vLLM 推理的 70～95 倍。

代价仍不算低，但这套方案把一种过去几乎无法承受的验证手段，推到了开始具备实际想象空间的地步。

但解释不了「降智」

对中转站用户来说，这项技术最直接的吸引力自然是识别模型替换。可这里有个关键前提：我们得提前知道正品模型的承诺长什么样。假如中转站给出的有效证明只能说明回答来自它自己挑的模型 B，用户又没法确认模型 B 就是自己买的模型 A，那这份证明照样解决不了身份问题。

更有效的用法，是让模型厂商、可信机构或公开透明的登记系统来发布模型承诺，用户验证时固定比对这份预期指纹。有了这个前提，FlashProve 才能从「某次计算确实发生过」变成「我们买的那次计算确实发生过」。

社交媒体上，网友对这项技术的评论更多是：「如果这能最终终结那些 他们是不是悄悄削弱了模型 的帖子，那就太好了。」

说到底，大家最想要的结果无非是：「你们不要再吵了，把证明拿出来就好了。」

可即便权重身份确认了，「降智」还有别的可能。权重没变，不等于服务一点没变。系统提示词、安全策略、上下文截断、检索内容、量化方式、解码参数，每一项都可能影响最终体验。要排查这些，得先弄清楚每项条件是否也被核验覆盖。一份绑定权重的证明，回答不了所有产品层面的问题。

Kimi 团队介绍 Kimi Vendor Verifier 时说过，K2 Thinking 发布后他们收到社区关于跑分异常的反馈，调查确认其中相当一部分案例是解码参数用错了。之后团队在 Thinking 模式里约束了相关参数，并检查思考内容有没有被正确传回。

要让商家拿证明，还得先有人愿意出

离消费级普及还有距离，但这项技术指出的方向已经够重要了。Anthropic 这次把代码、技术报告和 Lean 形式化证明一并公开。技术博客里说，Claude 参与了系统构建和优化，协议文档和部分代码也由 AI 生成。

中转服务要实际接入，还离不开上游配合。模型厂商或持有权重的运营方得建立可信的模型承诺、生成证明，中转平台再把相关内容交给用户。不过，要是服务商将来能持续提供这类证明，我们投诉「你是不是换了模型」，就有机会拿到一份能自己检查的答复。

对模型厂商来说，它还能帮忙发现被入侵的推理服务器，确认实际跑的权重有没有经过授权。对评测机构和监管方来说，它可能用来确认接受测试的模型和正式提供服务的模型是否一致，或者检查服务商有没有用未经批准的模型。

当然，这些应用都还缺几样东西：更低的证明成本、更长的上下文支持、对真实推理配置的覆盖，以及一套可信的模型承诺发布机制。

FlashProve 不会马上终结网上那些「他们是不是悄悄削弱了模型」的帖子。就算将来权重能验证，人们照样可以继续争论系统提示词、解码策略和产品设计有没有变。

但至少在模型有没有被掉包这件事上，我们有机会从过去靠几个问题猜测、凭感觉争论，变成拿出一份证明直接验证。毕竟，我们花钱买的是指定模型的服务，确认自己收到的确实是它，本来就不该是一件靠猜的事。