Anthropic 开源 FlashProve：用零知识证明回答“到底是哪个模型在回答你”

一句话：答案可以造假，证明不能

你向一个号称是某款旗舰模型的服务提问，得到的回答流畅、专业、看起来无可挑剔。但你真的能确定，回答你的就是那个模型吗？Anthropic 在 2026 年 11 月 2 日发布的研究文章给出了一个直白的回答：只看输出，你确定不了。路由服务可能为了省钱悄悄换成更便宜的模型，攻击者可能篡改 token 流，甚至一个更强的模型可能伪装成较弱的模型，以绕过本该落在它身上的监控与分类。这不是科幻情节，而是当模型调用变成一层层代理、网关和第三方路由之后，真实存在的信任缺口。

Anthropic 这次发布的 FlashProve，就是想把这个缺口补上一块：它是一个开源的可证明推理（provable inference）原型，用零知识证明 zkSNARK 让服务方在不公开模型权重的前提下，数学上证明“这段回答确实来自我事先承诺的那套权重”。这篇不是产品发布，没有上线时间表，也没有接入 Claude 的计划。它的价值恰恰在于把话说得很清楚：这是一份中期研究进展，代码、证明与文档都公开，欢迎别人拿去改进。理解这一点，是读懂整篇新闻的前提。

FlashProve 到底证明了什么

可证明推理的目标可以用一句话概括：让一个算力有限、又没有模型权重的人，也能验证一段回答来自他指定的模型。FlashProve 把这个过程拆成两个阶段。离线阶段，服务方先发布一个对模型权重的“承诺”，可以理解为一套权重的短指纹：它把权重钉死在某一个确切版本上，但本身并不泄露权重。线上阶段，服务方针对每一次请求附上一份证明文件，证明的命题只有一个：被承诺的模型在给定提示下，确实会产生这些输出 token。任何持有承诺、提示和回答的人都可以核查，不需要拿到权重，也不需要跑一遍模型。

这套机制要同时满足四个性质，缺一个都不成立。第一是完备性：诚实服务方的证明一定能通过验证。第二是可靠性：伪造一份关于错误命题的证明，在计算上几乎不可能，相当于要攻破被广泛相信的密码学假设。第三是零知识：证明除了“命题为真”之外，不泄露权重、中间计算值，也不会泄露每一层到底跑了哪些专家。第四是简洁性：证明要足够小、足够便宜，才能让普通用户或审计方在 CPU 上核查，而不是反过来再建一个数据中心。

Anthropic 强调了一个容易被误读的边界：FlashProve 隐藏的是权重，不是模型架构。证明本身不承诺架构保密，MoE 结构还被系统用来换取效率。如果你期待的是一份“连模型长什么样都看不出来”的证明，那这不是它。同样，它证明的是被承诺的那套权重，而不是“这家公司在道德上值得信任”——承诺本身来自谁、值不值得信，仍然是证明之外的信任问题。

数字：快了很多，但仍然贵得离谱

FlashProve 的演示对象是 Llama 4 Maverick，一个 400B 参数的混合专家模型，每个 token 实际激活约 17B 参数，使用公开的 4 位量化权重。在单张 H100 上，证明生成速度约为每秒 110 个 token，每 1,024 个 token 的请求对应约 19MB 的证明。离线承诺阶段每个模型做一次，约需 39 分钟，一份承诺大约可覆盖 1,600 万次请求，之后需要重新承诺。验证一端则轻得多：客户端只需下载约 6.5MB 的承诺，验证一份证明在 24 线程 CPU 上约 17 秒，单线程约 21 秒，不需要 GPU。

但“轻得多”只是相对验证而言。Anthropic 自己给出的对比非常坦率：按每块 GPU 计算，证明一批 24 个请求的耗时约为 vLLM 处理同样请求的 70 到 95 倍。换句话说，这不是一条可以明天就铺到全量推理流量的路，而是一条为抽查、审计和高价值场景准备的路。它的对手不是“普通推理”，而是“事后无法自证的推理”。把证明成本理解成审计成本，而不是推理成本，整个产品的定位才对得上。

与早期 zkML 工作相比，进步确实是数量级的。Anthropic 在文中回顾：2021 年的 zkCNN 做到 VGG-16 规模，单份证明要 88.3 秒；GPT-2 级别的证明一度是每 token 一百多秒；即使是同一款 Llama 4 Maverick，此前已知的 VerInf 也要为 1,000 个 token 花 14.3 小时，证明高达 93.6GB，验证接近一天。FlashProve 把同一模型做到每秒 110 个 token、证明 19MB，这就是它值得被报道的原因：不是因为它已经能用，而是因为它把“不可能”推到了“昂贵但可能”的区间。

为什么要用 Lean 把证明再证明一遍

密码学代码出了名的脆弱：一个边界条件写错，整套保证就可能悄悄失效。Anthropic 这次的另一个看点，是用形式化验证工具 Lean 把协议顶层的安全性质写成机器可检查的命题，并给出证明：完备性、可靠性、零知识。这三条性质是在随机预言机模型下表述的，也就是在依赖哈希函数的密码协议分析中常用的理想化模型。Anthropic 还提供了一个可交互的 Lean 定理可视化工具，帮助审计者检查形式化表述是否真的对应了人们想要的意图。

但这里同样要划清界限。Lean 证明的是协议本身，而不是你每天真正跑的那份 C++ 快速验证器。Anthropic 明确承认：它提供了一个可执行的 Lean 验证器，运行更慢，但 Lean 证明了它只接受可靠性定理所接受的东西；而日常使用的 C++ 验证器没有形式化保证，只是在所有测试中与 Lean 验证器结果一致。换句话说，形式化验证大幅降低了“协议写错”的风险，但没有消灭“实现与协议不一致”的风险。审计的重点因此分成了两层：先审 Lean 命题是否符合意图，再审可执行代码是否忠实实现了协议。把这两层混为一谈，就会高估这份发布的安全感。

还有一个值得注意的细节：Anthropic 说 Claude 本人在这个系统里做了改进，在密码学与安全文献的现有工具上找到了新的组合方式。这句话既是亮点，也是提醒：用 AI 加速密码学工程是可行的，但越是 AI 参与大的复杂系统，越需要那种“人类能审计的顶层表述”。Lean 在这里的角色不是装饰，而是对冲 AI 生成代码难以评估的机制。这个思路本身，比 FlashProve 的某个具体数字更值得被其他团队借鉴。

它现在不能做什么：五条硬限制

第一，上下文只有 1,024 个 token。放在动辄几十万、上百万 token 上下文的前沿对话里，这个窗口显得非常短。Anthropic 自己也承认，理想状态是覆盖完整上下文窗口，但目前还做不到。第二，证明针对的是整数版本的模型和贪心解码。真实服务跑的是浮点实现，还可能用采样解码，输出在某个位置偏离被证明的计算，证明就不再精确对应。Anthropic 称整数版本与浮点推理的误差一般很小，但这不覆盖对抗性构造的提示。

第三，架构不隐藏，且系统围绕 MoE 结构做了效率优化，稠密模型不在同一条优化路径上。第四，旁路攻击不在本次保证范围内：证明本身不泄露权重，但生成证明所花的时间等侧信道，理论上可能泄露信息，Anthropic 明确把它列为范围之外。第五，FlashProve 是事后证明，不是边推理边证明。事后证明可以更慢、更安全，但也意味着保证有延迟，还要处理重算的复杂性和浮点非确定性等问题。

把这些限制摆在一起，结论就很清晰了：FlashProve 不是“给每个回答贴防伪标签”的通用方案，而是一个在特定约束下成立的原型。它最适合的场景，是那些“事后抽查比实时拦截更重要”的地方：独立评测机构想确认自己测的确实是被测模型；客户想确认自己付费的模型没有被路由层偷换；监管方想在不索取商业机密的前提下，核查服务方是否只服务了获批模型。至于普通聊天用户，现阶段既不需要、也不必为每条回答多等十几秒验证。

这对开发者和采购方意味着什么

对开发者来说，最直接的启发不是“立刻集成 FlashProve”，而是重新审视自己对模型身份的假设。如果你通过第三方网关调用模型，你的服务等级协议里有没有关于模型身份的条款？当网关说“我们跑的是某某模型”时，你有没有办法在事后验证？如果答案是没有，那么 FlashProve 至少提供了一种技术路线：把“承诺 + 证明 + 独立验证”写进未来的合同与审计流程，而不是只依赖对方的口头保证。

对采购方和合规团队来说，FlashProve 的意义在于它把一种监管设想变成了可讨论的工程选项。此前，监管“只服务获批模型”或“硬件确实用于推理而非训练”的想法，常常卡在“如何核查又不泄露商业机密”上。零知识证明的思路是：核查命题本身，不索取权重。但这仍然不是万能钥匙：它验证的是推理流量是否来自承诺模型，并不能证明硬件没有在“顺便”做训练，也不能证明承诺背后的组织没有在别处作弊。把证明当成合规工具箱里的一件工具，而不是合规本身，是更诚实的用法。

对模型服务商来说，FlashProve 也是一个信号：模型身份正在从“品牌承诺”变成“可验证属性”。现在不做，不代表永远不做；但现在就宣称“我们已经可证明”而实际上只是在日志里贴个模型名字，那就是在消费这个概念。真正的区别在于，承诺是否公开、是否可独立验证、证明是否覆盖你关心的那次请求。未来如果有厂商拿“可证明推理”做营销，这三问就是最有效的试金石。

判断：值得兴奋，但不要提前庆祝

我的判断是：FlashProve 是一次扎实的研究进展，而不是一次产品转折。它的进步是真实的——同一模型从十几小时的证明压到每秒百 token 级别，证明从几十 GB 压到 19MB，验证从近一天压到十几秒——这些数字放在 zkML 的历史曲线上，确实是一次跳变。它的态度也是难得的克制：开源协议、公开限制、承认没有部署计划、把形式化证明的边界讲清楚，而不是把原型包装成解决方案。

但克制本身也说明了距离。1,024 token 的窗口、70 到 95 倍的证明开销、整数与贪心解码的假设、架构不隐藏、事后而非实时，这些限制中的任何一条，都足以挡住大多数生产场景。更重要的是，FlashProve 解决的是“回答是否来自承诺模型”，而不是“承诺是否值得信任”。如果承诺来自服务方自己，验证者仍然需要一个独立的承诺来源，否则证明只是在服务方自己画的圈里自证清白。Anthropic 在文中也提到，证明要与可信的承诺分发结合才完整，这个环节目前并没有随原型一起解决。

所以，正确的期待是这样的：不要等它上线，也不要忽视它。它更像是一张路线图上的里程碑，标志着零知识证明做大模型推理已经从“论文里的可能”走到了“原型里的昂贵但可行”。下一步值得盯的，不是 Anthropic 会不会把它接进 Claude，而是会不会有独立团队复现、审计、扩展上下文、降低开销，或者把它用在某个真实的评测与采购场景里。到了那一步，“哪个模型在回答你”才真正从一句口号，变成一句可以验证的话。

如果证明普及，什么会先改变

假设五年后证明成本降到今天的十分之一，什么会最先改变？最可能的不是聊天产品，而是评测与采购。评测机构今天最大的软肋，是无法向外界证明自己测的模型就是厂商声称的模型，厂商也无法向外界证明评测没有被“特殊版本”污染。一旦抽查式证明成为惯例，评测报告就可以附上一组可验证的证明链接，读者不必相信评测机构的品牌，只需相信密码学与承诺来源。这个变化对行业信誉的意义，可能比任何一次榜单排名都大。

其次是高风险场景的留痕。比如一家公司声称自己的代码在上线前经过某款前沿安全模型扫描，或者一份商业计划经过某款模型评审，这些说法今天只能靠日志与口头保证，事后无法复核。可证明推理提供了一种新的留痕方式：不是证明“模型做得对”，而是证明“确实是这款模型花了这些 token 做了这件事”。这并不能保证模型判断正确，却能堵住“根本没用这款模型”这类最廉价的造假。审计的起点，从“信不信”变成了“能不能验”。

再次是模型路由市场的分化。今天的路由服务靠价格、延迟与可用性竞争，模型身份只是宣传语的一部分。一旦有服务商率先提供可验证的模型身份，它就把竞争维度从价格推向了可信度。其他服务商要么跟进，要么解释自己为什么不跟进。这种分化对用户是好事：便宜但不可验证的服务仍然可以存在，但它不能再冒充可验证的服务来收费。市场的诚实度，往往不是靠呼吁提高的，而是靠验证成本下降提高的。

但也要警惕证明被滥用的方向。一种可能是“证明洗白”：服务商只对自己表现最好的请求提供证明，对失败或有问题的请求不提供，然后用一叠证明营造全面可信的印象。抽查要有效，抽查对象必须由验证方或第三方随机指定，而不是由被验证方挑选。另一种可能是承诺源的垄断：如果只有少数机构能签发被广泛信任的承诺，那么证明体系就从技术信任退回到了机构信任，换汤不换药。FlashProve 的开源发布缓解了第一层问题，但没有解决第二层问题。未来的关键，不在证明算法本身，而在承诺分发与抽查制度的设计。技术给出了可能性，制度决定它会不会兑现。