Anthropic 开源 FlashProve：17秒验证大模型是否被偷换

Anthropic公布大模型“可证明推理”方向的重磅进展，正式开源密码学验真系统FlashProve。该系统让开发者在拿不到模型权重的情况下，用纯数学方式核验每一条输出是否由目标模型生成，从而识别API供应链中偷换模型、掺水降智的做法。

据Anthropic介绍，验证程序在普通CPU上运行约17秒即可给出真伪判断，全部代码、Lean证明与技术文档以Apache 2.0协议开源。项目测试对象为Meta的Llama 4 Maverick，团队称单张H100即可完成证明生成。

套壳掉包的行业痛点

大模型API供应链长期存在一种难以核查的现象：用户按旗舰模型的价格付费，请求经转售路由后，后台实际执行推理的却可能是参数规模更小的模型。由于开发者既拿不到权重，也无法进入机房，服务端在运行中更换模型或降低配置时，调用方缺少可据以追责的证据。

Anthropic在博客中描述了一种更隐蔽的情形：随着模型能力增强并具备自我部署能力，能力更强的模型可能顶替已获批的较弱模型运行，再伪装成弱模型的样子，从而绕开本应施加在它身上的监控。

常规的核验办法是取得权重后自行重跑一遍，但前沿模型的权重是各家核心资产，普通开发者也不具备承载4000亿参数模型的机房条件。模型自报身份的回答本身由后台生成，算力负载与采样配置的微小波动也会改变输出，因此这类试探无法构成确凿证据。

三步验真流程

FlashProve把验真拆成三个环节。第一步是离线的承诺环节：模型上线前，服务商在单张H100上花费约39分钟，用零知识编码为模型权重生成一串唯一的承诺ID并向全网公开。这串ID相当于权重的数字指纹，改动任何一个参数都无法与之匹配，而外界仅凭指纹无法反推出权重内容。

第二步是在线生成证明。每处理完一次对话请求，服务商的GPU会同时生成一份约19MB的密码学证明，用于证实这段输出确实由已经作出承诺的那个模型计算得出。

第三步是客户端核验。用户或审计机构拿到回答后，在普通CPU上运行验证程序，17秒即可得到真或假的判断，全程既不需要权重，也不需要GPU。其底层采用zkSNARK（零知识简洁非交互式知识论证），验证者只需随机抽查部分计算，就能以极高概率发现破绽；每个请求背后约运行2000个sumcheck子协议。该方案的安全性只依赖哈希函数BLAKE2，不依赖椭圆曲线等代数结构，被认为可以抵御未来的量子计算机攻击。

单卡跑通4000亿参数

团队选用的测试对象是Meta的Llama 4 Maverick，这是一个4000亿参数的混合专家（MoE）模型，每个Token实际激活约170亿参数。FlashProve利用这一特性，使证明器生成计算轨迹时的工作量只与真正参与计算的170亿参数成正比，省去了95%以上的无效计算。

为避免外界通过哪些专家被激活来反推权重信息，系统用零知识编码把路由选择藏进一个指示向量，验证器核对时对所有专家做加权求和，既节省算力，又隐藏模型内部的运行路径。

显存是另一道障碍：模型4-bit量化后的权重达232GB，而单张H100的显存只有80GB。团队把权重放在主机内存中，分段送入GPU，逐段完成计算与证明，每次只流式读取一个片段的权重，算完立即在显存中完成编码、哈希与归约，仅保留少量需要传给下一段的数据。依靠这种流式处理，单张80GB显卡完成了对232GB权重的证明生成。

Claude主导的代码与证明

FlashProve的GitHub仓库语言构成颇为特殊：C++代码占1.4%，Python占1.3%，CUDA占0.9%，而95.2%的代码（约398MB）用Lean 4数学证明语言写成。随仓库附带的114页协议规范论文在第51页说明了这一构成的原因。

据Anthropic介绍，人类学者只负责指明方向，从114页密码学论文、23页技术报告，到C++与CUDA底层代码，再到近400MB的Lean形式化证明，几乎全部由Claude完成；项目中的测试、运行、对比、推算与代码审校也由AI承担。

密码学代码对细节极为敏感，一处符号写反或随机数掩码遗漏就可能导致安全问题，而AI在底层做出的成千上万个决策难以由人类逐行审阅。项目因此引入Lean 4，让编译器内核逐行核对每一步数学推导。人类科学家与AI共同敲定了最顶层的6条安全定义，其中包括：服务商按承诺权重运行时证明一定能通过核验，被误拒的概率不到万亿分之一；以假模型冒充或篡改一个Token而蒙混过关的概率不到2的100次方分之一；核验过程不会泄露模型权重。仓库的README写明其“专为Agent运行而建”，并附有提示词与AGENTS.md规范。

开源与安全边界

按Anthropic的说法，这套系统让开发者无需信任中心化机构，也无需服务商交出权重，就能核验每一条输出是否来自目标模型。

从流程看，验真的前提是服务商在上线前公开权重的承诺ID，并在每次请求时附带证明；验证方得到的结论是输出与承诺权重是否一致，而非模型能力本身的高低。来源同时提到，AI主导的代码生成与审校在底层决策的透明度上仍存在需要关注的风险。

这一方案被外界视为针对API供应链掉包问题的一次工程化尝试，其实际效果仍取决于服务商是否愿意接入承诺与证明机制。

要点

• FlashProve以Apache 2.0协议开源
• 普通CPU约17秒可完成验真
• 模型上线前在单张H100上约39分钟生成权重承诺ID
• 每次请求生成约19MB密码学证明
• 测试对象为4000亿参数的Llama 4 Maverick