Anthropic 於 11 月 3 日發表研究文章，公開開源原型 FlashProve，讓模型供應商在不公開權重的情況下，為每段回覆附上零知識證明，證明答案確實由所承諾的模型產生。團隊以 400B 參數的 Llama 4 Maverick 作示範，單張 NVIDIA H100 顯示卡每秒可生成約 110 個 token 的證明，每 1,024 token 請求的證明大小約 19MB，任何人可在普通 CPU 上於數秒內完成驗證。[1][2]
由承諾到驗證
FlashProve 的流程分為三個環節。供應商先公布一個承諾編號（commitment ID），把自己綁定到一組特定權重；權重本身保持秘密，所有由權重衍生的公開數值都會被遮蔽，只有一份事先聲明的清單例外。當用戶發出請求，供應商的 GPU 會為該次回覆生成證明，證明該段輸出屬於已承諾的模型。最後，任何人可用名為 cp_verify 的驗證工具，在普通處理器上花數秒檢查證明，過程毋須取得權重。[1][2]
這種設計的關鍵，在於證明與特定權重承諾掛鈎。驗證者因此不只知道「某個模型」產生答案，而是知道「所承諾的那個模型」產生答案；即使供應商暗中換上便宜模型，亦無法交出合格證明。[1]
針對偷換模型與篡改
Anthropic 列舉了幾類實際場景。用戶透過第三方路由服務使用模型時，往往無法確認 token 是否來自付費選定的模型；攻擊者若截取並篡改 token 流，冒充某個模型回覆，單看輸出亦難以察覺。獨立評測機構在模型發布前後測試時，同樣需要確認受測型號與實際服務型號一致。[1]
在監管層面，文章提出監管機構可要求供應商提交一段時間內所有推理請求的證明，以核實硬件確實用於服務指定模型，而非偷偷轉作訓練；由於證明具備零知識性質，監管機構不會因此接觸到模型權重。Anthropic 同時強調，密碼學方法與可信硬件方案各有取捨，兩者互補而非互相取代。[1]
速度與代價
團隊量度的結果顯示，生成證明的 GPU 時間約為 vLLM 原生推理的 70 至 95 倍，即大約兩個數量級的額外開銷，但已明顯優於過往的開源系統。文章回顧，早期方案處理小型模型時，每 token 往往要數十秒甚至數小時，FlashProve 則把 400B 混合專家模型的證明速度推至每秒 110 個 token。[1]
系統的部分安全保證以 Lean 4 形式化語言寫成，讓外部審核者可以檢查頂層數學陳述，而不必完全依賴對實作程式的信任。Anthropic 稱，這樣做是因為 Claude 雖然擅長優化，但在大型複雜系統中的決定未必容易評估。[1]
原型階段的限制
FlashProve 仍屬研究原型。現階段只證明最多 1,024 token 上下文的推理，與實際聊天動輒數萬 token 的情境仍有距離；證明對象是整數版本的模型在貪心解碼下的結果，浮點實作或抽樣解碼可能在某個位置偏離，未必與證明完全吻合。系統隱藏權重，但不隱藏模型架構；透過量度證明時間等側通道亦未納入保障範圍。[1]
官方 GitHub 專案將 FlashProve 標明為研究 artifact，表明不會維護、不接受貢獻，程式、Lean 證明與文件以 Apache 2.0 授權釋出。Anthropic 表示，公開的目的是讓其他人接手鞏固並改進這套技術，而非宣布一款可供部署的產品。[1][2]
參考資料
[1] Progress on provable inference for large language models（2026年11月3日）
[2] anthropics/FlashProve：zero-knowledge proofs of AI inference（2026年10月30日）