如何確定回答的 AI 就是你付費的模型？Anthropic 推 FlashProve 以密碼學驗明「真身」
使用者問 AI 時，如何確定回答的真是自己選擇的模型？Anthropic 2 日發表研究文章，公開名為 FlashProve 的開源原型系統，以密碼學「可證明推論」（provable inference）技術，讓使用者就算看不到模型權重也能驗證回覆確實出自特定模型。
Anthropic 指出，使用者目前無從確認回應是否來自業者宣稱的模型，路由服務可能為了節省成本偷換成較便宜的模型，攻擊者也可能竄改輸出內容，光憑回答品質無法判斷。FlashProve 方法是模型供應商先發表權重「承諾」（commitment），相當於模型的指紋，可鎖定一組確定權重，卻不洩露權重本身；之後每則回覆都附上證明，任何持有承諾、提示詞與回覆的人都能檢驗。TechCrunch 比喻為信件的數位簽章，即使冒名者是開發並經營模型的業者本身，也無法造假。
系統核心是零知識簡潔論證（zkSNARK），與 Starknet 等以太坊第二層網路採用的技術同類，並具備抗量子攻擊特性。Anthropic 以 4 位元量化的 Llama 4 Maverick（4 千億參數混合專家模型）測試，單張 H100 GPU 每秒可產生約 110 個 token 證明，每個 1,024 token 請求的證明檔約 19MB；驗證端只需 CPU，以 24 執行緒約 17 秒即可完成。相較之下，同樣證明此模型的 VerInf 需耗時 14.3 小時處理 1,000 個 token，證明檔高達 93.6GB。不過，FlashProve 證明成本仍是一般 vLLM 推論 GPU 時間的 70~95 倍。
Anthropic 表示，系統大部分最佳化工作由 Claude 完成，團隊再以形式驗證語言 Lean 證明完整性、可靠性與零知識性質。團隊成員來自 Anthropic、瑞士洛桑聯邦理工學院（EPFL）、麻省理工學院（MIT）、StarkWare 與 Succinct。
應用場景方面，Anthropic 認為這項技術可協助監管機關確認業者只提供核准的模型、偵測推論伺服器遭入侵或模型遭偷換，也能證明軟體確實經過尖端資安模型掃描。Anthropic 原先在尖端安全藍圖訂下今年 9 月 30 日前完成可證明推論原型的目標，官方表示已透過另一個簽署推論流量的專案達成，FlashProve 則以不同方法追求同目標。
FlashProve 仍有明顯限制：上下文長度僅支援 1,024 個 token，只涵蓋整數運算與貪婪解碼，模型架構無法隱藏，也未處理旁路攻擊；日常使用的高效能 C++ 驗證器同樣未經形式驗證。Anthropic 強調這是階段性研究成果，程式、Lean 證明與文件皆以 Apache 2.0 授權釋出於 GitHub，希望外界接手檢驗並改進。
Anthropic is working on a system to prove AI models' identity
Anthropic Open-Sources Zero-Knowledge Proof System FlashProve
Anthropic Opens FlashProve to Prove Replies Match Model Weights
Anthropic Develops FlashProve System to Verify AI Model Identities
Anthropic's FlashProve Cryptographically Proves Which AI Model Answered You
Anthropic Releases FlashProve to Verify AI Model Outputs Without Revealing Weights
（首圖來源：Anthropic）