Anthropic 开源 FlashProve，用密码学方式验证 AI 模型身份

Anthropic 在 11 月 2 日发布了 FlashProve，这是一套用于「可证明推理」的研究系统和开源代码库，它能在生成 AI 模型输出的同时，生成一份密码学证明，让一个独立验证方能够确认某个具体回复确实来自一个事先承诺好的特定模型——而完全不需要接触那个模型的权重。这套系统针对的，是商业 AI 领域里一个安静却重大的漏洞：目前没有任何机制能阻止一家服务商悄悄地把一个更便宜或更弱的模型换上去，却仍宣称提供的是一个前沿系统，而客户仅凭 API 调用，根本无法察觉这种偷换。

FlashProve 的证明，工作方式类似于密码学意义上的邮件签名——验证方不需要发送方的私钥，也能确认真实性。这个类比还可以再往下延伸：一家服务商提前发布一份密码学承诺（某个具体模型的一份精简指纹），然后为每一次请求生成一份随附的证明。任何持有这份承诺文件的人，都可以验证这次响应确实是由那个确切的模型产出的——只需要一个 CPU，不需要接触原始权重。

零知识证明，如何扩展到一个 4000 亿参数的模型

把零知识证明用在现代 AI 上，核心的挑战在于计算规模。标准的稠密 Transformer，每个词元都会激活全部参数；要对一次 4000 亿参数的前向传播，用密码学方式做证明，所需的算力会大到不现实。FlashProve 绕开了这个问题，把目标选定为 Llama 4 Maverick，一个混合专家（MoE）模型，在这个模型里，4000 亿参数中只有约 170 亿，会通过学到的路由机制在每个词元上被激活。这套证明系统只需要验证沿着这条激活专家路径的计算，这让问题的规模，比总参数量所暗示的要小大约 20 倍，根据Anthropic 发布的研究所述。

底层构造是一种交互式神谕证明（IOP）——一种信息论意义上的对象——再被编译成一个 zkSNARK，使用的是抗碰撞哈希函数，而不是大多数区块链零知识系统所用的椭圆曲线假设。这个选择带来了后量子安全性：即便面对未来的量子计算机，这些密码学保证依然成立——这是像英特尔 SGX 这类基于硬件的证明方案所不具备的特性。Anthropic 还额外用Lean 形式化证明助手，对这套系统最顶层的安全性质——完备性、可靠性和零知识性——做了机器核验。

部署分两个阶段。离线承诺阶段——只需运行一次——大约耗时 39 分钟，每次模型部署会生成一份约 6.2 MB 的承诺文件，可用于之后大约 1600 万次请求。在线证明阶段是事后运行的：推理完成之后，FlashProve 会重新生成这次计算，在单块英伟达 H100 上，以每秒 110 个词元的速度，为每 1024 个词元的一个批次产出一份 18.78 MB 的证明。验证方只需要那份约 6.2 MB 的承诺文件和标准的 CPU 核心——Anthropic 的测试显示，用 24 线程验证耗时 17 秒，单线程耗时 21 秒。

每秒 110 个词元：这个进步，是相对一个很低的起点来衡量的

这些性能数字需要一些背景信息。FlashProve 每秒 110 个词元的速度，相比此前同等规模的学术尝试，是一次非凡的进步：此前在 Llama 4 Maverick 上做可证明推理的最先进方案是 VerInf，速度大约只有每秒 0.02 个词元，产生的证明达 93.6 GB——验证单次请求几乎要花上一整天。FlashProve 在证明生成速度上大约快了 5500 倍，证明大小缩小了大约 5000 倍，这些数字记录在FlashProve 公开的基准测试里。

但和生产级推理相比，差距又是另一个量级。在同样的硬件上，标准的 vLLM 吞吐量能达到每秒数千个词元；而 FlashProve 每个批次需要多出 72 到 94 倍的 GPU 算力。按目前的额外开销计算，把 FlashProve 集成进一个生产级 API，推理成本大致也会乘上同样的倍数，这让它作为一项标准功能在经济上并不现实。Anthropic 明确表示，目前没有计划在自己实验室或任何其他地方部署 FlashProve。

Attestable，以及这个尚处萌芽阶段的 AI 证明市场

在这个领域里，Anthropic 并不是唯一的参与者。Attestable 是一家 AI 证明初创公司，在 2026 年 8 月由 TLV Partners 和 Altimeter Capital 领投，完成了2000 万美元的种子轮融资，这家公司在 alpha 测试阶段，宣称在单块 H100 上对 Gemma 4 31B（一个比 Maverick 更小的模型）达到每秒 53 到 77 个词元。Attestable 没有公开自己的证明系统设计。这种不透明让独立评估无法进行：一个密码学构造无法被审计的商业证明产品，不管原始速度有多快，它所提供的信任保证，都比一套公开、开源的系统更弱。FlashProve 以 Apache 2.0 协议发布，直接给这个新兴市场施加了压力，迫使它也公开自己的方法。

更广泛的竞争格局里，还包括 DeepProve，一个学术系统，在单块 GPU 上达到每秒 2.9 个词元，分布式部署下达到每秒 31 个词元——不过测试的是比 Maverick 更小的模型。基于可信执行环境（TEE）的硬件方案，额外开销更低，但需要信任硬件厂商的供应链，无法提供后量子安全性，而且已经被记录过存在侧信道漏洞。

FlashProve 目前还做不到的事

重大的限制依然存在。目前的实现硬性限制每份证明最多 1024 个词元——只是生产级 AI API 所支持上下文窗口的一个零头。目前只支持贪婪（argmax）解码；而大多数已部署系统使用的基于采样的生成方式，目前还无法被证明。这份承诺暴露的是模型结构的细节，而不是完全隐藏它：一家服务商可以在不披露权重的情况下验证输出，但无法向审视这份承诺的人完全隐藏架构。针对证明生成过程的侧信道攻击，目前还没有被解决。而且每次请求 18.78 MB，虽然比 93.6 GB 小得多，仍然比一次标准 API 响应大出好几个数量级——把这个数字描述为「精简」，是需要加以限定的。

一个指向监管基础设施的研究原型

FlashProve 最重大的应用，可能不在于消费者信任，而在于监管合规。Anthropic 的这篇文章里明确把「不需要直接访问模型即可进行的第三方独立安全评估」列为一个主要用例——这正好对应着《欧盟 AI 法案》下正在成形的审计要求，以及对美国 AI 安全研究所做出的自愿承诺。如果可证明推理技术成熟起来，监管机构可以要求各实验室为所有已部署的模型公开密码学承诺，让第三方能够验证，是哪个模型处理了受监管的数据、生成了合规文件，或参与了受出口管制或算力监测协议约束的活动。这种「承诺加证明」的范式，提供了一条通向有意义的模型可问责性的路径，而不需要暴露专有权重——这是一种监管机构和各实验室都有动机去支持的结构。

Anthropic 通过一个独立的、基于硬件的签名项目，在 2026 年 9 月满足了自己「前沿安全路线图」里关于可证明推理原型的截止日期。FlashProve 是密码学层面的补充：速度更慢、还没有达到生产级可用，但可审计、具备后量子安全性，并且被设计成可以由更广泛的研究社区继续改进。这个社区能以多快的速度，弥合剩下的性能差距——从每秒 110 个词元，走到接近生产可用的水平——将决定密码学意义上的模型身份验证，会成为 AI 基础设施的一项标准功能，还是停留在一个有抱负、但仍属研究方向的设想上。