Anthropic推FlashProve：中转站偷换模型还能瞒住吗
就像发邮件加上数字签名一样
你花钱调用的那个 AI，当真就是商家承诺的那一个吗？
比方说，某家第三方平台对外宣称接入了旗舰模型，实际后台换成了更便宜的小模型或者旧版本，光凭回答的语气和成色，普通人很难分辨；再比如同一道题，官方渠道能解出来，走中转站却卡住了。
对国内不少通过第三方 API、聚合平台或者中转服务调用模型的人来说，这差不多是躲不开的麻烦。
一个看着简单的模型请求，中间要穿过「用户—中转站—上游服务商—模型」好几道环节。哪一环不透明，我们就没法确认自己买到的究竟是不是标价对应的那个模型。
Anthropic 近日公布了一项研究，想把这种只能靠口碑、截图和主观感受来吵的问题，变成能用数学验证的问题。
这套叫 FlashProve 的开源研究原型，能为模型推理生成密码学证明。它想让服务商为模型算出的结果附上一份密码学证明，用户既不用拿到模型权重，也不必自己再跑一遍大模型，就能完成核验。
不公开模型，也能证明「你就是你」
只有用模型厂商官方的应用，或者从官网调用 API 对话，我们才能确认用的是哪个模型。大多数 API 调用里，我们提交问题，服务器返回回答，模型实际上跑在远程机器上，后台究竟算了些什么，我们无从得知。
斯坦福大学的研究项目《Model Equality Testing》就测过 2024 年四款 Llama 模型的 31 个商业 API 端点，结果其中 11 个端点的输出分布，和 Meta 发布权重的参考分布对不上，存在统计差异。
同一个模型名字，未必对应同一种表现。哪怕服务页面上挂的都是 Opus 5.5，也没法保证用户拿到的是完全相同的模型。
有时候我们想靠几个问题来鉴别模型，就像最近内测 Opus 5.5 那样，有网友说问他 2026 年 5 月 Karpathy 去了哪里，要是模型答不出他去了 Anthropic，那就说明没被测到。
可拿这类问题去鉴别模型，还会撞上模型厂商自己的路由问题，往往很难直接定位原因。碰巧答错、参数不同、上下文没传完整，和后台换了模型，最后都可能表现成一句「怎么变笨了」、「这不是我想要的模型吧」。
FlashProve 的核心，是一种叫 zkSNARK 的零知识简洁证明技术。
第一步，模型服务商为权重生成一个「承诺」，它像一组密码学指纹，能唯一锁定特定权重，又不会把权重本身公开。
接着，服务商针对给定的输入和待检查的输出生成一份证明，用来核验这些输出是否符合事先约定的模型计算。用户拿到模型承诺、提示词、回答和证明文件，就能在自己的电脑上检查：这套被锁定的权重处理这段输入时，是不是确实会产生这些输出。
一旦中转站偷偷换了另一套模型，或者有人改动了输出，证明就没法再和原来的模型承诺对上。
这里用到的零知识证明同样关键，它的目的是让验证者在确认计算结果的同时，拿不到模型权重、中间计算值，也看不到 MoE 模型在各层调用了哪些专家。
这也解释了它为什么比「让 AI 自报家门」靠谱：回答里写了哪个模型名字，不再算身份证明，真正被检查的是输出与指定权重之间的计算关系。
一台笔记本就能核验
以前，为大模型生成零知识证明最大的拦路虎是成本，证明过程可能比普通推理慢上几个数量级，证明文件也可能大得离谱。
Anthropic 拿公开 4-bit 权重的 Llama 4 Maverick 做了实验。这是个 4000 亿参数的混合专家模型，每个 token 实际激活约 170 亿参数。按 Anthropic 公布的数据：
- 单张 H100 生成证明的吞吐量约为 110 tokens/秒；
- 每个 1,024-token 请求的证明约为 19 MB；
- 验证不需要 GPU，在 24 线程 CPU 上约需 17 秒，单线程约需 21 秒；
- 模型权重的初始承诺只生成一次，约耗时 39 分钟。
需要说明的是，110 tokens/秒指的是证明生成速度，跟用户聊天时模型输出的快慢不是一回事。证明本身依然很贵：按 Anthropic 给出的对比条件，它消耗的 GPU 时间大约是普通 vLLM 推理的 70～95 倍。
就算还谈不上免费，这套方案至少把一种过去贵到近乎无法承受的验证手段，推到了开始有实际想象空间的地步。
但解释不了「降智」
对中转站用户来说，这项技术最直接的吸引力自然是识别模型有没有被替换。不过有个关键前提：我们得事先知道正品模型的承诺长什么样。
假如中转站给出的是一份有效证明，可它只证明回答出自它自己挑的模型 B，用户又没法确认模型 B 就是自己买的模型 A，那这份证明依然回答不了身份问题。
真正管用的用法，是让模型厂商、可信机构或公开透明的登记系统来发布模型承诺，用户验证时固定比对这份预期指纹。有了这个前提，FlashProve 才能从「某次计算确实发生过」变成「我们买的那次计算确实发生过」。
社交媒体上，网友对这项技术说得最多的还是：「如果这能最终终结那些 他们是不是悄悄削弱了模型 的帖子，那就太好了。」
说到底，我们最想要的结果就是「你们别再吵了，把证明拿出来就行」。
可即便权重身份已经确认，「降智」还有别的可能。
模型权重没变，不代表服务一点没变。系统提示词、安全策略、上下文截断、检索内容、量化方式和解码参数，哪一项都可能影响最终体验。想把这些问题查清楚，就得明确每项条件是否也在核验范围内。一份只绑定权重的证明，回答不了所有产品层面的疑问。
Kimi 团队介绍 Kimi Vendor Verifier 时提到，K2 Thinking 发布后，社区反馈了不少跑分异常的情况。他们调查后确认，其中相当一部分是解码参数用错了。随后团队在 Thinking 模式下对相关参数做了约束，并检查思考内容有没有被正确传回。
要让商家拿证明，还得先有人愿意出
虽然离消费级普及还有距离，这项技术指出的方向已经够重要了。
Anthropic 这次把代码、技术报告和 Lean 形式化证明一并公开。技术博客里说，Claude 参与了系统构建和优化，协议文档和部分代码也由 AI 生成。
落到中转服务上，实际接入还得上游配合。模型厂商或持有权重的运营方要先建起可信的模型承诺、生成证明，中转平台再把这些内容交给用户。
但服务商将来要是能持续拿出这类证明，我们再投诉「你是不是换了模型」，就有希望拿到一份自己能查的答复。
对模型厂商来说，它还能帮忙发现被入侵的推理服务器，确认实际跑起来的权重有没有经过授权。
对评测机构和监管方来说，它可能用来确认送测的模型和正式提供服务的模型是不是同一个，或者查服务商有没有用未经批准的模型。
当然，这些应用都还差几样东西：更低的证明成本、更长的上下文支持、覆盖真实推理配置，以及一套可信的模型承诺发布机制。
FlashProve 不会马上让网上那些「他们是不是悄悄削弱了模型」的帖子消失。就算将来权重可以验证，人们照样能继续争系统提示词、解码策略和产品设计有没有变。
但至少，模型有没有被掉包这件事，我们有机会从过去靠几个问题去猜、凭感觉去争，变成拿出一份证明直接验证。
毕竟，花钱买了指定模型的服务，确认自己收到的就是它，本来就不该靠猜。
