Anthropic开源FlashProve：给大模型办防伪身份证

Anthropic 发文宣布在大型语言模型可验证推理方面取得新进展，并开源了名为 FlashProve 的系统。该系统基于零知识密码学证明技术，使模型提供商能在不公开模型权重的情况下，证明某个回答确实由指定模型生成。

当前，用户调用 AI 服务时通常只能相信服务商承诺，难以从技术上独立验证实际使用的模型。例如，第三方服务商可能为降低成本，将用户指定的高性能模型替换为更便宜的模型；推理服务器也可能遭攻击，导致模型权重或输出被篡改。对于进行安全评估的研究人员而言，若无法确认测试对象与实际部署模型一致，评估结果也将失去可靠性。

FlashProve 的核心思路是：服务商先通过密码学方式为一组确定的模型权重生成承诺，相当于给模型版本建立加密指纹；用户每次请求时，服务商可附上零知识证明，证明回答确由此前承诺的模型根据对应输入生成。用户无需获得模型权重或重新运行模型，即可通过模型承诺、输入、回答和证明文件独立验证模型身份。该证明不泄露模型权重，但证明的是回答来源，而非回答内容是否正确。

测试方面，Anthropic 选择 Meta 的 Llama 4 Maverick 进行验证，该模型总参数达 4000 亿，每个 Token 实际激活约 170 亿参数。在单张 NVIDIA H100 GPU 上，FlashProve 证明生成吞吐量约 110 Token/s，每 1024 Token 请求的证明文件约 19 MB；验证端无需 GPU，使用 24 线程 CPU 验证一份证明约需 17 秒。该效率提升得益于针对 MoE 架构的优化：证明计算主要围绕实际激活的专家展开，并采用批量事后证明，在推理完成后统一生成证明，降低重复计算开销。

不过，证明仍需额外成本。生成证明所需 GPU 时间约为普通 vLLM 推理的 70—95 倍。目前系统主要支持 1024 Token 上下文窗口，并针对整数模型和 Greedy Decoding 进行验证，尚不能直接覆盖所有模型和推理方式。Anthropic 还使用 Lean 形式化验证语言对协议完整性、可靠性和零知识等核心安全性质进行了机器可检查的证明，并以 Apache 2.0 许可证开源代码、协议说明和相关证明。但形式化验证并不意味着所有实际运行代码都获得同等保证，快速 C++ 验证器与形式化协议之间仍需进一步审计。

Anthropic 明确指出，FlashProve 目前仍是研究原型，存在若干工程与理论约束：证明成本依然较高；支持的计算形式有限，当前针对整数运算版本模型和 Greedy Decoding，浮点计算、随机采样等仍需扩展；上下文长度有限，长上下文、大规模 Agent 工作流和复杂多轮交互的高效证明生成与验证仍是待解问题。此外，FlashProve 证明的是回答确实来自指定模型，并不证明回答本身正确，它解决的是模型身份和推理完整性问题，而非模型能力和事实准确性问题。

尽管如此，FlashProve 的开源为 AI 产业链可信治理带来新的可能。随着合规监管、模型供应链安全及医疗诊断、金融决策、法律分析等高价值场景对模型身份确认的要求不断提高，“不可篡改的模型身份证”正从学术设想步入工程实操阶段。