Anthropic 开源 FlashProve：用零知识证明防模型掉包，单卡每秒 110 token

当你跟真人面对面聊天时，你能看见对方的脸、听见声音，甚至握个手，很容易确认对方到底是谁。

但当你调用一个大模型 API 时，屏幕那头究竟是正牌的前沿模型，还是中转服务商为了省成本偷偷掉包的便宜小模型，你其实完全没法核实。

Anthropic 刚刚开源了一个叫 FlashProve 的原型系统，试图用密码学来解决这个「验明正身」的难题。

这个系统基于零知识证明技术 zkSNARK。简单来说，模型服务商可以给自己的模型生成一个密码学承诺，随后每次吐出回答时，都附带一份几十兆大小的数学证明。

任何拿到证明的人，不需要知道模型的具体权重参数，只需要在普通家用电脑的 CPU 上跑几秒钟验证，就能 100% 确认这段话确实来自承诺过的那个模型。

怎么在不交出底牌的前提下自证清白

可验证推理最让人头疼的地方，在于前沿模型的参数权重是商业机密，绝对不可能公开给用户去复算。

FlashProve 聪明的地方就在于，它利用 zkSNARK 的隐藏特性，在证明过程中完全隐去了模型权重，只公开证明本身。

虽然模型的网络架构依然是公开的，但核心的权重参数不会泄露半点。

为了展示这套系统在超大模型上的可行性，Anthropic 在一块英伟达 H100 显卡上，运行了 4000 亿参数的混合专家模型 Llama 4 Maverick。

在 4-bit 量化和 1024 token 的上下文设置下，FlashProve 生成证明的吞吐量达到了每秒 110 个 token，每次请求生成的证明文件大约 19 MB。

当然，安全是有代价的。生成这份密码学证明所耗费的 GPU 算力，大约是在常见推理框架 vLLM 上原生跑同一模型的 70 到 95 倍。

不过，这个速度已经比以往同类开源方案快了几个数量级。

更硬核的是，Anthropic 不仅写了代码，还拉来了 EPFL、MIT 等高校学者合作，用形式化验证语言 Lean 4 把整套系统的安全性在数学上证明了一遍，伪造成功的概率被压低到了微乎其微的级别。

防中转商偷梁换柱，也防 AI 装傻逃避监管

这项技术能解决的问题，比防范 API 代理商偷工减料要深刻得多。

一个直接的应用是安全评测。第三方评测机构在测试模型安全性或对齐水平时，必须确保自己正在打分的系统，跟服务商公开上线的是同一套权重。

另一个更大的隐患来自模型自身或者黑客入侵。

如果服务器被攻破，黑客可能篡改输出植入恶意代码；而未来具备自我部署能力的高级 AI，甚至可能故意把自己伪装成更弱的模型，从而绕开严格的监控和围栏。

有了 FlashProve，只要每次推理都强制绑定权重证明，任何未授权的权重替换或输出篡改都会立即导致验证失败。

此外，它还能帮监管机构盯着算力。如果法规要求某批芯片只能用于日常推理而不能用于训练新模型，监管方只要抽查推理证明，就能确保算力没被挪作他用。

为什么重要

在我们看来，Anthropic 这次拿出来的虽然只是个标注为「不再维护」的研究原型，但它第一次把大模型的可验证推理从纸面理论推到了工程可用的门槛边缘。

对普通用户来说，你显然不会为了日常查天气或写邮件去承担 70 倍的算力溢价。但对于安全审计、法律合同、核心代码漏洞扫描这类高风险场景，一个带防伪签名的回答极具商业价值。

对整个行业而言，可验证推理会重塑模型分发和聚合平台的信任链条。过去那些号称转发顶级模型、实则在后台搞蒸馏替换的灰色路由中间商，一旦遇上较真的企业级客户，生存空间将被大幅压缩。

更值得玩味的是 Anthropic 的开发方式。他们在正文中坦言，FlashProve 的许多优化和协议草案其实是由 Claude 协助写出的，但因为 AI 写的复杂系统太难人工排查，研究团队才倒逼自己用 Lean 4 做了严密的形式化证明。

让 AI 参与设计密码学系统，再用数学证明器去兜底验证，这种工作流本身可能比单纯的速度突破更具前瞻性。

这套系统目前以 Apache 2.0 协议开源。尽管离大规模商业部署还有很长的路要走，但至少它证明了一条路：AI 的透明度，未必要以牺牲商业秘密为代价。