Anthropic开源FlashProve：回答出自哪个模型，普通CPU十几秒可验真
要点
Anthropic于11月2日发布研究博客并开源一套名为FlashProve的密码学验证系统，用于确认一段AI回答是否真的出自某个指定模型；代码、技术文档与形式化数学证明以Apache 2.0许可证公开在GitHub上，仓库版本为0.16.0。财联社11月4日报道了这一进展。值…
Anthropic于11月2日发布研究博客并开源一套名为FlashProve的密码学验证系统，用于确认一段AI回答是否真的出自某个指定模型；代码、技术文档与形式化数学证明以Apache 2.0许可证公开在GitHub上，仓库版本为0.16.0。财联社11月4日报道了这一进展。值得注意的是，官方仓库同时注明，这是一项不再维护、也不接受外部贡献的研究制品，发布的目的在于让外界检查、采用并改进。
系统的工作流程分三步。模型提供方先离线生成并公开一个针对模型权重的密码学承诺——相当于给这组权重按下一枚长约6.5MB的”指纹”，一份承诺约可支撑1600万次请求的校验；此后每次服务，提供方的GPU为回答附带生成一份零知识证明（zkSNARK）；用户拿到承诺、输入、回答与证明文件后，在普通CPU上运行验证程序cp_verify，十几秒即可判定真伪，全程不需要权重，也不会泄露权重。完整性、可靠性、零知识、简洁性四项安全性质均已用Lean证明助手写成机器可检验的数学定理，按仓库给出的上界，伪造者骗过验证的概率约为q/2^124加2^-101。需要强调，它证明的是回答的来源，而非回答内容本身是否正确。
团队在Meta的Llama 4 Maverick——一个4000亿参数的混合专家模型，每个token实际激活约170亿参数——上完成了全尺寸验证：单张H100上证明生成速度约每秒110个token，每1024-token请求的证明文件约18.78MB，24线程CPU验证一份证明约17秒。横向对比更能说明量级：此前唯一证明过同款模型的VerInf系统，处理1000个token需要14.3小时，证明文件达93.6GB，验证耗时接近一天；未开源的商业系统Attestable则在310亿参数级密集模型上报告过每秒53至77个token的成绩。
4000亿参数的模型之所以能”塞进”一张80GB显存的显卡，靠的是一组层层卸力的工程设计：证明计算量只与实际激活的约170亿参数挂钩，而非全部4000亿；4-bit量化后约232GB的权重被放在主机内存中，逐段流式送入GPU处理；专家路由选择经零知识编码隐藏，验证方对全部专家做加权求和，既省下算力，又防止外界从”哪些专家被激活”反推权重。这条技术路线与区块链二层网络使用的zkSNARK同源，通过哈希函数编译，官方称具备后量子安全属性。
官方在博客里同时给出了相当克制的边界声明：证明开销仍是原生推理的70至95倍，全量实时验证在商业上尚不可行；当前只支持1024个token的上下文，远小于前沿模型数十万级的窗口；实验仅覆盖整数权重与贪心解码，浮点运算和随机采样下输出的偏离未被证明覆盖；Lean形式化协议、论文与快速C++验证器三者之间的一致性还需审计；模型架构本身未被隐藏，证明生成时间等侧信道风险也留待后续处理。换言之，这项成果解决的是模型身份与推理完整性问题，指定模型产生的幻觉输出照样可以通过验证。
把发布放回时间线看，这项工作对应着Anthropic安全路线图中的公开目标——”推理可验证”原型原定于2026年9月30日前完成，此次开源相当于交卷。另一个值得留意的细节是，随附的协议规范由Claude撰写，仓库README开篇即为AI代理运行而设计操作规程，人类研究者的角色收缩到审定顶层安全性质，其余推导交由形式化验证内核逐行核验。随着模型调用链路越来越依赖第三方转发与聚合，这种”不泄露权重也能验明正身”的密码学凭证，可能逐步成为审计、安全评估等高价值场景验收模型服务时的基础设施。
