随着企业透过API调用云端大型语言模型（LLM），使用者难以确认服务商实际提供的模型是否与宣称一致，也无法得知生成内容是否遭到中间路由机制替换或恶意窜改。对此，Anthropic 近日公布研究成果及程式码原型FlashProve，试图透过零知识密码学证明，让使用者在不取得模型权重的情况下，也能验证每次推论确实由指定模型执行。

FlashProve的核心概念，是为每次模型推论产生一份无法伪造的密码学证明，让模型服务商在不公开核心权重参数的前提下，向外界证明输出内容确实来自特定模型，降低云端模型服务遭到偷换或冒名的风险。

FlashProve的验证流程分为承诺、证明及验证3个阶段。模型服务商在正式提供服务前，须先产生一份约6.5MB的公开数位指纹，制作时间约39分钟，作为特定模型权重的公开承诺，确保后续推论使用的模型与事先登记的版本一致，同时避免核心权重参数外泄。

当使用者发出请求后，系统便会即时产生密码学证明，透过数学运算确认生成的每个Token，均来自先前承诺的特定模型权重。

这套技术采用零知识简洁非互动式知识论证（zkSNARK）架构，模型权重、神经网路激活值及专家路由决策等资讯仍保留在服务商端，不会随证明文件公开。使用者只须取得公开指纹、输入内容及模型输出结果，就能透过一般办公设备完成验证，不需要高阶GPU，也无须接触模型权重。

采Llama 4 Maverick测试　证明文件压缩至19MB

Anthropic此次选用Meta(META-US) 旗下混合专家（MoE）架构开源模型Llama 4 Maverick进行测试，模型参数规模达4,007亿，并采用4位元量化版本。

测试结果显示，在单张辉达(NVDA-US) H100 GPU上，FlashProve每秒可产生约110个Token的证明。针对上下文长度为1,024个Token的单次请求，产生的证明文件约19MB。

在24个请求并行处理的压力测试中，单张GPU总计耗时约223秒。至于接收端验证，使用24核心CPU约需17秒，单执行绪处理则约需21秒。

不过，FlashProve目前的主要成本仍集中在服务供应端。产生证明所需的运算时间，相当于一般推论引擎vLLM执行常规推论的70至95倍。整套系统需要约245GB磁碟空间，主机记忆体使用量最高达330GB，实测峰值约310GB。

相较之下，先前同类型开源方案VerInf针对相同模型产生1,000个Token的证明，耗时约14.3小时，档案容量更高达93.6GB。尽管两套方案的测试硬体、实作演算法及证明目标有所不同，数据无法直接比较，但FlashProve在处理时间与证明文件大小方面，仍展现明显改善。

防止模型遭冒名　但无法保证生成内容正确

FlashProve主要解决的是模型身分验证问题，而非生成内容的品质或正确性。即使一份回答附有完整且可验证的密码学证明，内容仍可能存在事实错误、演算法幻觉或有害表述。

这项技术的主要用途，是确认模型服务商确实使用事先承诺的模型执行推论，避免服务商或中间转售业者暗中以成本较低、能力较差的模型取代旗舰模型，却仍以原本的服务规格向客户收费。

此外，近期AI产业围绕未经授权的大型模型知识蒸馏争议不断，各家研究机构相互指控对方未经许可使用模型资料，却缺乏足以定论的直接证据。随着各国监管制度逐步依照模型能力分级，确认伺服器实际执行的模型是否与申报参数一致，也成为监管落实的重要前提。

Anthropic此举也呼应执行长阿莫戴（Dario Amodei）倡议的尖端AI风险治理方向，强调建立可追溯的模型身分验证机制，才能让依照模型能力分级的监管制度真正发挥作用。

值得注意的是，Anthropic表示，其AI模型Claude也深度参与FlashProve的开发，并自主提供关键运算算子的最佳化方案。不过，AI协助设计的底层最佳化程式码，难以单靠人工逐行审查确认正确性，反而衍生新的程式码信任问题。

为此，技术团队将核心安全主张转换为Lean 4互动式定理证明程式码，透过形式化数学验证，让工程师不必完全依赖人工审查复杂的最佳化细节，也能确认底层逻辑是否符合数学正确性。

目前FlashProve已依Apache 2.0授权条款向开源社群公开，版本为0.16.0。不过，开发团队也在程式码储存库中说明，这项专案仍属尖端研究原型，未来不承诺持续维护，也不保证接受社群提交的程式码。

技术仍有多项限制　Anthropic暂无商用计划

尽管FlashProve在证明效率及档案容量方面取得进展，目前仍存在不少技术限制。

首先，现阶段测试仅支援1,024个Token的上下文长度，与主流AI对话产品动辄数十万、甚至百万Token的需求仍有相当差距。此外，技术目前主要针对混合专家架构设计，尚未支援规模庞大的稠密模型。

在运算方式方面，验证流程目前仅支援整数权重及贪婪解码，尚未涵盖业界普遍采用的高精度浮点数运算与随机抽样生成模式。

此外，虽然模型权重受到保护，但底层网路拓扑结构仍可能曝光，系统也尚未完全防范透过运算时间特征进行的旁路攻击。

Anthropic坦言，目前没有将FlashProve原型直接导入商业生产环境的计划，内部正探索其他替代方案，包括透过流量数位签章，以及可信任执行环境（TEE）进行交叉验证。

除了技术效能，市场采用意愿也是FlashProve能否普及的关键。对于部分可能以低阶模型冒充高阶模型的转售业者而言，主动导入验证工具等于增加揭露自身服务内容的可能性，缺乏采用诱因。唯有采购方要求确认模型身分，并将验证机制纳入合规及供应商选择标准，相关技术才有机会真正落地。

整体而言，FlashProve试图解决AI云端服务长期存在的模型身分验证难题，将原本难以确认的模型执行过程，转化为可透过密码学证明检验的结果。不过，从研究原型走向大规模商用，仍须克服运算成本、模型支援范围及市场采用等挑战。