怎麼證明 API 沒有偷偷換模型？Anthropic 開源 FlashProve 原型

2026-11-02，Anthropic Frontier Red Team 發布研究文 *Progress on provable inference for large language models*，並開源面向可驗證推理（provable inference）的 zkSNARK 研究原型 FlashProve。它要解決的問題一句話能說清、單靠文本卻很難解：當 API 返回一串 token 時，通常沒有密碼學手段覈對這些 token 是否真的來自服務商聲稱在跑的那一組權重——而不是更便宜的替身、被篡改的流，或冒充付費型號的另一套模型。FlashProve 的答案是三步閉環：Commit → Prove → Verify。

相關閱讀：Anthropic 用 Claude 對 123 個開源庫做了形式化驗證、Anthropic：未發布 Claude 研究模型發現關鍵真實軟體漏洞、Anthropic 研究：專家用 Claude Code 時判斷常被 Agent 帶著走、同一個開源模型，換家 API 為什麼速度和帳單都變了？。上述篇目分屬開源庫形式化驗證、網絡安全研究模型、Agent 判斷、推理供應商差異等鄰近線，不是 FlashProve 零知識推理證明同題。

為什麼「回答看起來不錯」算不上證明

輸出質量只是很弱的身份信號。更便宜的模型、量化替身、甚至改寫 token 流的攻擊者，仍能寫出通順的文字。發布前後做測評的獨立評估方、經第三方網關買推理的客戶、盯服務器是否被入侵的運維，面對的是同一缺口：本地重跑所謂前沿權重通常做不到（權重保密、算力帳單也扛不住），只信服務商口頭承諾又無法發現偷換。

可驗證推理瞄準的是一條更窄、可覈對的主張：在算力有限且拿不到權重的前提下，仍能驗證某次回覆是否由事先承諾過的模型產生。FlashProve 用 zkSNARK 實現這條主張——一份零知識（除陳述已蘊含的內容外不泄露權重）且簡潔（驗證遠比重跑模型便宜）的短證書。

Commit → Prove → Verify

研究文與 GitHub README 對齊的公開敘事分三步：

1. Commit（離線）。 服務商發布短 commitment ID，把某一組權重釘死。權重本身保密；之後的證明都對照這枚指紋校驗。
2. Prove（在線，GPU）。 針對提示與回覆 token，證明方生成證明文件，主張：*所承諾模型在求值時產生這些輸出 token*。
3. Verify（CPU）。 持有承諾、提示與回覆的任一方可用 cp_verify 等驗證器接受或拒絕該主張——不需要權重，驗證本身也不需要 GPU。

完全性：誠實證明會被接受。可靠性（soundness）：在密碼學假設下，爲假陳述僞造有效證明實質上不可行。零知識：證明本身不泄露權重、中間激活，也不泄露各層觸發了哪些 MoE expert。簡潔性：審計方不必重放 400B 級前向，只需在 CPU 上檢查兆字節量級的證明。

證明了什麼——以及沒證明什麼

被證明的陳述是推理路徑上的模型身份：在該提示上，所承諾權重在協議計算下產生恰好這些 token。這不是「回答事實正確／安全／合規」的證書。誠實模型仍可能幻覺；若某個「錯誤模型」竟與所承諾計算一致，那是可靠性失敗，不是「事實」失敗。

實務邊界包括：

• 整數版模型＋貪婪解碼。 證明針對公開權重的精確整數版，並主張每個被檢查的 token 是該模型的貪婪選擇。浮點服務路徑或採樣解碼可能在某處偏離，從而不再精確匹配被證明的計算。
• 隱藏權重；不隱藏架構。 FlashProve 隱藏權重。架構隱藏不是本系統目標（研究文寫明留給未來）。設計假定 Mixture-of-Experts，並利用 MoE 稀疏性降低證明方開銷。
• 上下文上限：1,024 token。 更長窗口超出當前原型。
• 事後（post-hoc），非 in-line。 證明對已完成文本事後批量生成（偏 prefill 風格），並不必然與每個在線 token 以 in-line 延遲目標並跑。

Lean 在隨機預言機模型下形式化頂層 Completeness／Soundness／Zero knowledge。發行物含可執行的較慢 Lean 驗證器（與形式化陳述綁定），以及日常用的快速 C++ 驗證器。研究文明寫：論文與快速代碼由 Lean 協議導出，但不保證 Lean、論文與快速可執行代碼三者完全一致。證明耗時等側信道不在範圍。

官方 Maverick 示例（自報；未複測）

研究文與 README 以 Llama 4 Maverick——400B 參數 MoE（每 token 約 17B 參數激活）——及公開 4-bit 權重轉換作爲大模型演示。下列數字均爲 Anthropic 公佈的測量。吞吐、證明體積、驗證時延與相對 vLLM 倍數，我們未在 DigIntoAI 硬體上複測。

GitHub README 同樣寫：全尺寸 Maverick、單 H100、批 24 時約 110 tok/s。README 路徑表把僅驗證（普通 Linux、低內存）與需要 GPU 棧、主機內存約 280–330 GB、約 232 GB 的 4-bit 下載盤、CUDA 的完整 Maverick 證明分開——不是「人人筆記本都能出證」。玩具／小模型路徑面向 agent 與 CI，不能替代上表 Maverick 數字。

研究原型定位，不是 Claude API 開關

FlashProve 倉庫描述爲：*A research prototype for zero-knowledge proofs of AI inference. Not maintained.* README 頂欄寫明 Version 0.16.0、a research artifact: not maintained, not accepting contributions、Apache 2.0。GitHub API 與 Apache-2.0、archived=false、描述 “Not maintained” 一致。倉庫 created_at 爲 2026-10-30T19:29:59Z ＝ 北京時間 2026-10-31 03:29:59；pushed_at 爲 2026-10-30T21:00:23Z ＝ 北京時間 2026-10-31 05:00:23——公開倉時鐘早於研究文 Published Nov 2, 2026。

本次發行不是「Claude API 已向所有會話開放終端用戶驗證」。代碼、Lean 證明與文檔在 Apache 2.0 下發布，並明確研究原型定位與一長串限制。

在 Frontier Safety／RSP 側，Anthropic 曾設 2026-09-30 前做出推理流量驗證原型的公開目標。研究文寫：該目標已由另一個獨立但相關項目達成——對推理流量簽名並在可信服務器上重算推理。FlashProve 用不同方法追求同類目標——密碼學 zkSNARK 證明，而非那條簽名＋重算路線。腳註稱自 2026-10-19 的 RSP 更新起，目標名改爲 「inference verification」，比單獨的「provable inference」更寬。

運維對照清單

1. 時間。 研究文 Published Nov 2, 2026；團隊 Frontier Red Team。倉創建 北京時間 2026-10-31 03:29:59（UTC 2026-10-30T19:29:59Z）。
2. 閉環。 離線 Commit → GPU Prove → CPU Verify（cp_verify）。陳述：所承諾權重產生這些 token。
3. 邊界。 證明身份／推理過程——不證明事實正確。
4. 解碼。 整數＋貪婪；浮點或採樣可能不一致。
5. 隱私。 隱藏權重；不隱藏架構；面向 MoE。
6. 窗口／時機。 上限 1,024 token；post-hoc 批處理，非 in-line。
7. 信任拆分。 Lean 定理＋較慢 Lean 驗證器 vs 無三方形式一致保證的快速 C++ 驗證器。
8. 數字。 約 110 tok/s、約 19 MB、驗證約 17–21 秒、相對 vLLM 約 70–95×＝官方自報；我們未複測。
9. 硬體。 僅驗證可較輕；完整 Maverick 出證需 H100 級 GPU 與大主機內存——不是人人可跑。
10. 定位。 Apache 2.0；v0.16.0；not maintained／not accepting contributions；不是已上線的 Claude API 驗證產品。RSP 簽名＋重算軌道相關但獨立。

小結

FlashProve 是 Anthropic Frontier Red Team 開源的 zkSNARK 研究原型：在不公開權重的前提下，證明 API 回覆來自所承諾權重。有用心智模型是 Commit → Prove → Verify，邊界很硬：貪婪整數語義、1024 token 窗、事後出證、架構仍可見、研究成果物的維護姿態。官方 Maverick 吞吐與開銷寫在研究頁與 README 上，屬服務商自測——我們未複測。對關心路由或失陷主機是否偷換模型的團隊而言，密碼學主張回答的是跑的是哪組權重，不是 token 是否屬實。現場筆記可通過頁腳站長聯繫方式反饋。