Anthropic 的 FlashProve 能证明是哪个模型在回答，但有边界

Anthropic 发布了什么

FlashProve 依赖 zkSNARKs，一种零知识证明技术。提供方先公布模型权重的密码学指纹，之后在每次回答时附上一份紧凑的证明。这份证明表明，被承诺的那个模型生成了这段输出。验证方拿证明对照已公布的指纹做检查，全程不运行模型本身。证明不会泄露任何权重信息。这正是关键所在：Anthropic 和 OpenAI 这类闭源实验室把那些数字视为最值钱的资产。

Anthropic 随这项研究一同公布了技术文档、可执行代码和形式化验证材料。代码、Lean 证明和文档放在 GitHub 上，采用 Apache 2.0 许可证。

Heise 提到了 Anthropic 自己做的类比。人认出一个朋友，靠的是脸、声音或者握手。模型没有对应的辨识特征。一段有说服力的回答，并不能说明是哪个模型写的。同一家媒体还报道，Anthropic 自家的 Claude 模型贡献了关键优化。仓库把 FlashProve 标注为不再维护的研究原型。

性能数据

Anthropic 测得的证明生成速度约为每秒 110 个 token，跑在一块 Nvidia H100 GPU 上。所用模型是 Meta 的 Llama 4 Maverick，一个 400 十亿参数的模型。每份证明约 19 兆字节。Heise 给出的验证时间是 24 线程下 17 秒，单线程下 21 秒。同一家媒体还报道，在 H100 上为 24 个批量请求生成证明需要 223 秒。

证明生成的计算开销仍是普通推理的约 70 到 95 倍。这就是一个能跑的原型和一个能以聊天机器人速度作答的服务之间的差距。

更早的那套开源系统处理 1000 个 token 需要超过 14 小时，产出的证明有 93.6 GB，验证要花将近一整天。Heise 提醒，两组数字不能直接比较，硬件、方法和证明目标都不一样。

目前做不到的事

FlashProve 目前只能证明最长 1024 个 token 的上下文，远低于当下模型的上下文窗口。它隐藏了权重，但没有隐藏模型的基础架构。只有当模型挑出唯一最可能的下一个 token 时，证明才成立。聊天机器人在日常对话中使用的随机采样，它证明不了。

据 Heise 报道，Anthropic 测试的是 Llama 4 Maverick 的 4 比特量化版本。这套方法能否撑住更长的对话，目前还没有答案。它能否撑住商业模型的日常运行，同样没有答案。

公司把 FlashProve 称为研究原型。它不是 Claude 或任何商业产品中的功能。

为什么来源追溯重要

今天，一个 API 客户只能相信提供方的说法，认为回答来自它声称的那个模型。提供方完全可以把请求转给更便宜的模型，却按前沿模型收费。第三方平台也能悄悄换掉模型而不告诉任何人。FlashProve 让这种核查成为可能，而提供方不必交出权重。

Anthropic 还列出了其他用途。监管机构可以核查提供方是否只运行了获批的模型。公司可以证明某个特定的安全模型审查过自己的代码。提供方可以发现自己服务器上的篡改。

独立评估机构面对的是同一个缺口。它们需要确信，自己测试的那些回答确实来自被评估的模型。这家公司此前已经给自己定过目标。它的 Frontier Safety Roadmap 要求在 2026 年 9 月前拿出一个推理验证原型。Anthropic 说它通过另一个项目达到了这个目标。那个项目对推理流量签名，并在可信服务器上追踪计算过程。FlashProve 用密码学追同一个目标，不需要可信硬件。TechCrunch 指出，这套设计的目标是轻到能在本地设备上完成验证。

接下来会怎样

Anthropic 公布这项研究，是为了让外部研究者和开发者能检视它、改进它。公司研究人员称这篇文章是阶段性进展，而不是一份已完成的议程。许可证允许商业性再利用。如果某家云服务商或审计机构想在此基础上开发，这一点很关键。

不过，维护工作落在接手代码的人身上。生产版本没有定下日期。