怎么证明 API 没有偷偷换模型？Anthropic 开源 FlashProve 原型

2026-11-02，Anthropic Frontier Red Team 发布研究文 *Progress on provable inference for large language models*，并开源面向可验证推理（provable inference）的 zkSNARK 研究原型 FlashProve。它要解决的问题一句话能说清、单靠文本却很难解：当 API 返回一串 token 时，通常没有密码学手段核对这些 token 是否真的来自服务商声称在跑的那一组权重——而不是更便宜的替身、被篡改的流，或冒充付费型号的另一套模型。FlashProve 的答案是三步闭环：Commit → Prove → Verify。

相关阅读：Anthropic 用 Claude 对 123 个开源库做了形式化验证、Anthropic：未发布 Claude 研究模型发现关键真实软件漏洞、Anthropic 研究：专家用 Claude Code 时判断常被 Agent 带着走、同一个开源模型，换家 API 为什么速度和账单都变了？。上述篇目分属开源库形式化验证、网络安全研究模型、Agent 判断、推理供应商差异等邻近线，不是 FlashProve 零知识推理证明同题。

为什么「回答看起来不错」算不上证明

输出质量只是很弱的身份信号。更便宜的模型、量化替身、甚至改写 token 流的攻击者，仍能写出通顺的文字。发布前后做测评的独立评估方、经第三方网关买推理的客户、盯服务器是否被入侵的运维，面对的是同一缺口：本地重跑所谓前沿权重通常做不到（权重保密、算力账单也扛不住），只信服务商口头承诺又无法发现偷换。

可验证推理瞄准的是一条更窄、可核对的主张：在算力有限且拿不到权重的前提下，仍能验证某次回复是否由事先承诺过的模型产生。FlashProve 用 zkSNARK 实现这条主张——一份零知识（除陈述已蕴含的内容外不泄露权重）且简洁（验证远比重跑模型便宜）的短证书。

Commit → Prove → Verify

研究文与 GitHub README 对齐的公开叙事分三步：

1. Commit（离线）。 服务商发布短 commitment ID，把某一组权重钉死。权重本身保密；之后的证明都对照这枚指纹校验。
2. Prove（在线，GPU）。 针对提示与回复 token，证明方生成证明文件，主张：*所承诺模型在求值时产生这些输出 token*。
3. Verify（CPU）。 持有承诺、提示与回复的任一方可用 cp_verify 等验证器接受或拒绝该主张——不需要权重，验证本身也不需要 GPU。

完全性：诚实证明会被接受。可靠性（soundness）：在密码学假设下，为假陈述伪造有效证明实质上不可行。零知识：证明本身不泄露权重、中间激活，也不泄露各层触发了哪些 MoE expert。简洁性：审计方不必重放 400B 级前向，只需在 CPU 上检查兆字节量级的证明。

证明了什么——以及没证明什么

被证明的陈述是推理路径上的模型身份：在该提示上，所承诺权重在协议计算下产生恰好这些 token。这不是「回答事实正确／安全／合规」的证书。诚实模型仍可能幻觉；若某个「错误模型」竟与所承诺计算一致，那是可靠性失败，不是「事实」失败。

实务边界包括：

• 整数版模型＋贪婪解码。 证明针对公开权重的精确整数版，并主张每个被检查的 token 是该模型的贪婪选择。浮点服务路径或采样解码可能在某处偏离，从而不再精确匹配被证明的计算。
• 隐藏权重；不隐藏架构。 FlashProve 隐藏权重。架构隐藏不是本系统目标（研究文写明留给未来）。设计假定 Mixture-of-Experts，并利用 MoE 稀疏性降低证明方开销。
• 上下文上限：1,024 token。 更长窗口超出当前原型。
• 事后（post-hoc），非 in-line。 证明对已完成文本事后批量生成（偏 prefill 风格），不是跟着每个在线 token 按 in-line 延迟同步出证。

Lean 在随机预言机模型下形式化顶层 Completeness／Soundness／Zero knowledge。发行物含可执行的较慢 Lean 验证器（与形式化陈述绑定），以及日常用的快速 C++ 验证器。研究文明写：论文与快速代码由 Lean 协议导出，但不保证 Lean、论文与快速可执行代码三者完全一致。证明耗时等侧信道不在范围。

官方 Maverick 示例（自报；未复测）

研究文与 README 以 Llama 4 Maverick——400B 参数 MoE（每 token 约 17B 参数激活）——及公开 4-bit 权重转换作为大模型演示。下列数字均为 Anthropic 公布的测量。吞吐、证明体积、验证时延与相对 vLLM 倍数，我们未在 DigIntoAI 硬件上复测。

GitHub README 同样写：全尺寸 Maverick、单 H100、批 24 时约 110 tok/s。README 路径表把仅验证（普通 Linux、低内存）与需要 GPU 栈、主机内存约 280–330 GB、约 232 GB 的 4-bit 下载盘、CUDA 的完整 Maverick 证明分开——不是「人人笔记本都能出证」。玩具／小模型路径面向 agent 与 CI，不能替代上表 Maverick 数字。

研究原型定位，不是 Claude API 开关

FlashProve 仓库描述为：*A research prototype for zero-knowledge proofs of AI inference. Not maintained.* README 顶栏写明 Version 0.16.0、a research artifact: not maintained, not accepting contributions、Apache 2.0。GitHub API 与 Apache-2.0、archived=false、描述 “Not maintained” 一致。仓库 created_at 为 2026-10-30T19:29:59Z ＝ 北京时间 2026-10-31 03:29:59；pushed_at 为 2026-10-30T21:00:23Z ＝ 北京时间 2026-10-31 05:00:23——公开仓时钟早于研究文 Published Nov 2, 2026。

本次发行不是「Claude API 已向所有会话开放终端用户验证」。代码、Lean 证明与文档在 Apache 2.0 下发布，并明确研究原型定位与一长串限制。

在 Frontier Safety／RSP 侧，Anthropic 曾设 2026-09-30 前做出推理流量验证原型的公开目标。研究文写：该目标已由另一个独立但相关项目达成——对推理流量签名并在可信服务器上重算推理。FlashProve 用不同方法追求同类目标——密码学 zkSNARK 证明，而非那条签名＋重算路线。脚注称自 2026-10-19 的 RSP 更新起，目标名改为 「inference verification」，比单独的「provable inference」更宽。

运维对照清单

1. 时间。 研究文 Published Nov 2, 2026；团队 Frontier Red Team。仓创建 北京时间 2026-10-31 03:29:59（UTC 2026-10-30T19:29:59Z）。
2. 闭环。 离线 Commit → GPU Prove → CPU Verify（cp_verify）。陈述：所承诺权重产生这些 token。
3. 边界。 证明身份／推理过程——不证明事实正确。
4. 解码。 整数＋贪婪；浮点或采样可能不一致。
5. 隐私。 隐藏权重；不隐藏架构；面向 MoE。
6. 窗口／时机。 上限 1,024 token；post-hoc 批处理，非 in-line。
7. 信任拆分。 Lean 定理＋较慢 Lean 验证器 vs 无三方形式一致保证的快速 C++ 验证器。
8. 数字。 约 110 tok/s、约 19 MB、验证约 17–21 秒、相对 vLLM 约 70–95×＝官方自报；我们未复测。
9. 硬件。 仅验证可较轻；完整 Maverick 出证需 H100 级 GPU 与大主机内存——不是人人可跑。
10. 定位。 Apache 2.0；v0.16.0；not maintained／not accepting contributions；不是已上线的 Claude API 验证产品。RSP 签名＋重算轨道相关但独立。

小结

FlashProve 是 Anthropic Frontier Red Team 开源的 zkSNARK 研究原型：在不公开权重的前提下，证明 API 回复来自所承诺权重。可以这样理解、也好记：Commit → Prove → Verify，边界很硬：贪婪整数语义、1024 token 窗、事后出证、架构仍可见、研究原型、明确不维护的定位。官方 Maverick 吞吐与开销写在研究页与 README 上，属服务商自测——我们未复测。对关心路由或失陷主机是否偷换模型的团队而言，密码学主张回答的是跑的是哪组权重，不是 token 是否属实。有补充／勘误可通过页脚站长联系方式反馈给我们。