Anthropic 开源 FlashProve：以后 AI 回答来自哪个模型，可能真的能验出来

发布日期：2026-11-04

Anthropic 于 2026 年 11 月 2 日发布研究文章并开源 FlashProve，一个用于“可证明推理”的研究原型。它用 zkSNARK 让模型提供方先对权重做承诺，再为回答附带证明，使用户能够在不知道权重的情况下核对“这段输出是否由被承诺的模型生成”。在 Anthropic 公布的 Llama 4 Maverick 形状 400B 参数 MoE 实验中，单张 H100 的证明生成吞吐约为每秒 110 个 Token，单个 1024 Token 请求的证明约 19 MB。

解决的不是模型能力，而是“回答来自谁”

FlashProve 针对的是模型身份与输出完整性。用户今天通过 API 调用模型，通常只能看到文本，无法仅凭输出确认服务商是否偷偷换成了更便宜的模型，或推理服务器的 Token 流是否被篡改。

它的基本流程分成两段：离线阶段，提供方发布模型权重的短指纹，也就是 commitment；在线阶段，提供方针对提示词和输出 Token 生成证明。验证者拿到 commitment、提示词、回复和证明文件后，可以在没有权重的情况下检查结果是否来自同一组被承诺的权重。

zkSNARK 如何把权重藏起来

FlashProve 使用零知识简洁证明，让验证者获得“计算正确”的结论，却不看到模型权重、中间值或每层激活的专家。Anthropic 官方文章将这套系统定位为软件密码学方案，安全性依赖计算问题的困难性，因此与依赖制造商安全假设的可信执行环境属于不同路线。

项目同时公开了技术报告、协议规格、可执行代码、C++ 快速验证器、Lean 验证器、Lean 形式化证明和交互式定理可视化工具，代码、证明与文档采用 Apache 2.0 许可证。需要区分的是：开源的是证明系统与实现，实验使用的 Llama 4 Maverick 权重并未随仓库发布，读者需要按其许可自行获取。官方仓库 README 同时将它标为 research artifact、not maintained，不能按稳定商用组件理解。

110 Token/秒背后的代价

Anthropic 2026 年 11 月披露的性能数据来自 4-bit 量化的 Llama 4 Maverick 形状 400B 参数 MoE 模型。每个 Token 实际激活约 170 亿参数；证明按 24 个请求批处理，单张 H100 的稳态证明吞吐约 110 Token/秒，每个证明文件约 18.78 MB。官方性能页在 24 线程 CPU、同一批次条件下测得验证约需 17 秒，这个数字不代表所有客户端或端到端延迟。

指标	FlashProve 官方披露值	说明
实验模型	400B 参数 MoE	Llama 4 Maverick 形状，4-bit 权重
证明生成	约 110 Token/秒	单张 H100，24 请求批处理
证明大小	约 18.78 MB	每个 1024 Token 请求、每个证明检查 1 个输出 Token
GPU 时间	约为 vLLM 的 70–95 倍	研究原型的证明成本，不能当作端到端延迟

这个数字不能简单理解为“用户每秒拿到 110 个带证明的 Token”。当前实现采用事后证明：模型先完成文本，证明器再并行处理已生成结果，因此它主要提供事后检测，不能在错误回复发出前充当实时拦截器。与同一模型的 vLLM 推理相比，Anthropic 测得证明阶段的 GPU 时间约高 70–95 倍；换来的收益是验证者不必重新运行 400B 参数模型。

研究原型还有四个边界

第一，证明对象是整数模型的贪心解码结果。浮点实现或采样解码的输出，可能在某个位置与被证明结果不完全一致。第二，当前系统利用 MoE 结构提高效率，模型架构本身并未隐藏，后续才考虑同时隐藏架构信息。

第三，当前上下文窗口上限为 1024 Token，与长对话和 Agent 常见的几十万甚至百万 Token 仍有距离。第四，Anthropic 明确写出：Lean 协议、论文和快速可执行代码之间的对应关系仍需要审计，快速 C++ 验证器日常使用方便，但不具备 Lean 验证器的形式化保证；侧信道泄露也不在本次发布的范围内。

因此，FlashProve 更适合被理解为“模型输出可验证”的密码学基础设施原型，而不是已经可以直接接入所有 API 的生产组件。它为第三方路由、模型评测、合规审计和高风险场景提供了一种新思路：把“相信服务商说自己用了哪个模型”，变成客户端可以检查的证明。

本文依据 Anthropic 官方研究文章、FlashProve 官方仓库和技术报告整理，数据截至 2026 年 11 月 4 日。文中的性能数字是 Anthropic 公布的实验结果，不代表第三方复现或所有模型架构的通用性能。