Anthropic 开源 FlashProve：用 zkSNARK 证明回复来自承诺的模型权重

MarkTechPost· Asif Razzaq·2026-11-04 06:08· 2 小时前AI 评分58

Anthropic 发布 FlashProve：可证明回复来自已承诺权重的密码学证明

AI 导读

Anthropic Frontier Red Team 发布开源研究原型 FlashProve，用 zkSNARK 证明 API 回复确实来自已承诺的模型权重，且不泄露权重本身。

正文 · 原文

Anthropic 的 Frontier Red Team 发布了 FlashProve，这是一个用于可证明推理的开源研究原型。FlashProve 是 Anthropic 的 zkSNARK 系统，可证明某条回复来自已承诺的模型。该证明不会泄露任何模型权重信息。在 Llama 4 Maverick（一个 400B 混合专家模型）上，它在 1 块 H100 上达到约 110 tokens/秒的证明速度。对开发者而言，这瞄准了一个真实缺口：如今你无法核查究竟是哪个模型实际响应了你的 API 调用。

TL;DR

规模：可证明 400B MoE 模型（每 token 约 17B 激活参数）；每次请求的上下文上限为 1,024 tokens。
运行环境：证明者需要 1 块 H100 80 GB、24 个 CPU 核心和约 290 GB 主机内存。验证者可在 CPU 上运行，无需 GPU。
性能：在同一个 400B 模型上，比此前的开源 zkML 系统快数个数量级。
最佳：在 1 块 H100 上证明速度达 110 tokens/秒，18.78 MB 的证明可在 17 秒内完成校验。
最差：证明所耗 GPU 时间约为普通 vLLM 推理的 70 至 95 倍。

可证明推理解决了什么问题？

查询模型的用户无法验证是哪个模型生成了响应。路由服务可能偷偷换成更便宜的模型。攻击者可能篡改 token 流。仅凭输出质量判断并不可靠。

Anthropic 列出了 4 个用例：

监管机构可确认硬件确实在提供推理服务，从而支持 AI 节奏管控规则。
实验室可检测被篡改的推理服务器。
用户可验证文本来源。
监管机构可强制只提供经批准的模型。

FlashProve 如何工作？

FlashProve 包含证明者（模型提供方）和验证者（用户）。它分 2 个阶段运行：

离线：提供方发布一个承诺，即绑定某一组确切权重的简短指纹。这大约需要 39 分钟，可覆盖约 1600 万次请求。
在线：对于每次请求，GPU 生成一个证明，表明已承诺的模型生成了这些 token。

该证明系统使用哈希函数将交互式预言机证明编译为密码学证明。Anthropic 表示这提供了后量子安全性。它与 Starknet 等有效性证明 L2 网络使用的是同一类系统。

三项工程选择带来了速度提升。证明者的工作量随约 17B 激活参数扩展，而非全部 400B。请求在事后像 prefill 一样分批进行证明。权重从主机内存流式加载，因此单块 80 GB GPU 就足够。

速度如何？基准测试

Anthropic 在 1 块 H100 和 24 个 CPU 核心上测量了公开的 4-bit Maverick 权重。根据仓库性能指南：

批次 24：111.23 tokens/秒，每批约 221 至 226 秒。
批次 1：17.41 tokens/秒。批次 64：123.31 tokens/秒，在 80 GB 显卡上被标记为不可靠。
证明大小：18.78 MB。客户端每个承诺需一次性下载约 6.5 MB。
验证：24 线程下 17 秒，1 线程下 21 秒。

与在 8 块 H100 上运行 FP8 Maverick 的 vLLM 相比，证明每批次所需的 GPU 时间约为其 72 倍。在 vLLM 测试的最高负载下，差距约为 94 倍。

FlashProve 与其他 zkML 系统相比如何？

指标	FlashProve	Attestable	VerInf	DeepProve	zkLLM
证明的模型	Llama 4 Maverick（400B MoE）	Gemma 4 31B（稠密）	Llama 4 Maverick（400B MoE）	GPT-2、Gemma 3	LLaMA-2-13B
吞吐量	约 110 tok/s	53 至 77 tok/s	约 0.02 tok/s（14.3 小时完成 1,000 个 token）	约 2.9 tok/s（GPT-2），约 1.4 tok/s（Gemma 3）	15 分钟内完成完整推理
硬件	1 块 H100 + 24 个 CPU 核心	1 块 H100	1 台 DGX Spark	1 台机器；分布式 31 tok/s	GPU（CUDA）
证明大小	18.78 MB	4.35 至 7.92 MiB	93.6 GB	未披露	低于 200 kB
验证时间	17 秒（24 线程）	157 至 648 ms	17.7 小时（20 核心）	1 至 3.7 秒	未披露
上下文	1,024 个 token	最高 16K 个 token	1,000 个 token	未披露	未披露
代码 / 许可证	开源，Apache 2.0	非开源	开源，MIT	据 Lagrange 称已开源	论文（CCS 2024）

安全性是如何检查的？

密码学代码很脆弱，因此 Anthropic 在 Lean 中形式化了该协议。它证明了完备性、可靠性和零知识性。README 指出，作弊的提供者会被抓住，除非概率约为 q/2^124 + 2^-101。

FlashProve 提供 2 个验证器。快速的 C++ 验证器用于日常使用，但不带形式化保证。较慢的 Lean 验证器已被证明只接受可靠性定理所接受的内容。Anthropic 团队指出 Claude 帮助优化了该系统。

关键要点

FlashProve 在 1 块 H100 上以约 110 tokens/秒证明 400B MoE 模型。
证明大小为 18.78 MB，可在 CPU 上于 17 秒内验证。
证明成本约为 vLLM 推理 GPU 时间的 70 至 95 倍。
安全属性在 Lean 中形式化；权重保持隐藏。
目前仅限于 1,024 个 token、贪婪解码和 MoE 模型。

查看 研究文章、技术报告、协议规范和GitHub 仓库。另外，欢迎在 Twitter 上关注我们，别忘了加入我们的 150k+ ML SubReddit 并订阅我们的 Newsletter。等等！你在 Telegram 上吗？现在你也可以在 Telegram 上加入我们。

需要与我们合作推广你的 GitHub 仓库、Hugging Face 页面、产品发布或网络研讨会等？联系我们

文章 Anthropic 发布 FlashProve：证明回复来自已承诺权重的密码学证明首次出现在 MarkTechPost。

来源：MarkTechPost · marktechpost.com