Anthropic vydává FlashProve pro kryptografické důkazy inference AI

Anthropic vydala FlashProve 2. listopadu 2026: výzkumný prototyp s otevřeným zdrojovým kódem, který pomocí kryptografických důkazů prokazuje, že odpověď jazykového modelu pochází z předem závazně určených vah, aniž by je odhalil. Společnost uvedla, že důkazy pro Meta’s Llama 4 Maverick vytváří rychlostí 110 tokenů za sekundu.

Tento výzkum řeší mezeru v ověřování hostované AI. Kvalitní odpověď sama o sobě neprokazuje, který model ji vytvořil: směrovací služba může nasadit jiný systém, hodnotitel může pro testování dostat jiný model, než se zamýšlelo, nebo může útočník pozměnit proud tokenů. Uživatelé nemohou výsledek prakticky ověřit opětovným spuštěním modelu, pokud jsou jeho váhy soukromé a hardwarové nároky značné.

Vázání odpovědí na skryté váhy

FlashProve používá argument znalosti s nulovou znalostí a stručným důkazem (zkSNARK) v čistě softwarovém řešení, které se nespoléhá na důvěryhodný hardware. V offline fázi poskytovatel zveřejní krátký kryptografický závazek, který jednoznačně určuje konkrétní sadu vah, ale zachovává jejich utajení. Pro dokončené dvojice promptu a odpovědi systém vytvoří důkaz, že výstupní tokeny vygeneroval model odpovídající tomuto závazku. Kdokoli, kdo má závazek, prompt a odpověď, může důkaz ověřit, aniž by měl přístup k vahám.

Zamýšlenými vlastnostmi jsou úplnost, správnost, nulová znalost a stručnost. Poctivý důkaz by měl být přijat, zatímco potvrzení nepravdivého tvrzení by mělo vyžadovat prolomení široce přijímaných kryptografických předpokladů. Ověření důkazu by nemělo odhalit váhy ani mezihodnoty výpočtu. Řešení také skrývá, které podsítě směsi expertů byly spuštěny pro jednotlivé tokeny, samotná architektura modelu však zůstává viditelná.

Implementace využívá architekturu směsi expertů modelu Maverick. Náročnost dokazování se odvíjí od přibližně 17 miliard parametrů aktivních pro jeden token, nikoli od všech 400 miliard, a přitom zůstává skryto, kteří experti byli vybráni. Váhy rozdělené do segmentů se průběžně načítají z hostitelské paměti, takže se dokazovací systém vejde na jednu GPU s 80 GB paměti a vedle ní může využívat přibližně 290 GB hostitelské paměti.

Anthropic popisuje možná využití při kontrolách integrity pro zákazníky, nezávislém hodnocení, v regulačních nástrojích a při vynucování požadavků na používání schválených modelů. Certifikáty inference by mohly potvrdit, že požadavky zpracoval deklarovaný model, neprokázaly by však, že se na stejném hardwaru zároveň netrénuje jiný model. Toto rozlišení omezuje, co by takové certifikáty mohly dokládat o plnění požadavků, které závisí na způsobu využití výpočetní kapacity.

Výkon dokazování a režie inference

Anthropic při hodnocení použil veřejně dostupnou 4bitovou konverzi modelu. Server s jednou H100 a 24 jádry CPU vytvořil důkazy pro dávku 24 požadavků přibližně za 223 sekund; každý požadavek měl důkaz o velikosti 18,78 MB. Offline fáze vytvoření závazku trvala přibližně 39 minut.

Na straně ověřování si klient stáhne závazek o velikosti přibližně 6,5 MB a ověřuje důkazy na CPU bez GPU. Anthropic naměřil dobu ověření 17 sekund při 24 vláknech a 21 sekund při jednom vlákně; započítány jsou i kontroly z offline fáze.

Tato měření oddělují ověřování pouze pomocí CPU od mnohem náročnějšího vytváření důkazů. V porovnání Anthropic s inferencí ve formátu FP8 na osmi kartách H100 se spuštěným vLLM vyžadovalo dokazování pro stejnou dávku přibližně 72krát více času na GPU a při nejvyšším testovaném zatížení vLLM přibližně 94krát více. Tato propustnost je tedy vykoupena značnými náklady oproti provozu modelu bez důkazů.

Formální ověření a praktická omezení

Úložiště FlashProve obsahuje dokazovací systém, rychlý ověřovač v C++, pomalejší ověřovač v Lean, důkazy v Lean pro základní matematická tvrzení a interaktivní vizualizér vět, a to pod licencí Apache 2.0. Verzi 0.16.0 označuje za neudržovaný výzkumný artefakt, do něhož nepřijímá příspěvky.

Práce v Lean se zabývá úplností, správností a nulovou znalostí v modelu náhodného orákula. Formální tvrzení je stále třeba ručně zkontrolovat, aby se ověřilo, že skutečně vyjadřují zamýšlené záruky. Ověřovač v Lean je formálně propojen s větou o správnosti, zatímco ověřovač v C++ určený k běžnému používání žádnou formální záruku nemá; místo toho byl testován, zda se shoduje s ověřovačem v Lean.

Dokumentace projektu k známým omezením uvádí, že téměř veškerý software, důkazy v Lean i dokumentaci napsaly systémy AI pod lidským vedením a že také provedly uváděné testy. Neproběhl žádný nezávislý bezpečnostní audit a testování skrývání vah i odolnosti vůči podvodným důkazům je stále omezené.

Důkazy se vztahují na přesnou celočíselnou verzi vah při hladovém dekódování. Inference s plovoucí desetinnou čárkou nebo dekódování pomocí vzorkování se mohou odchýlit od výpočtu, který se dokazuje, a obecné testování chyb nepokrývá prompty navržené s cílem útoku. Kontext je omezen na 1 024 tokenů a útoky založené na časování či jiných postranních kanálech do záruky nespadají. Dodatečné dokazování navíc oproti dokazování souběžnému s inferencí přináší opakované výpočty, opožděné záruky a nedeterminismus.

Aby se inference s ověřitelným důkazem stala běžnou kontrolou provozu, který systém obsluhuje, je třeba se zaměřit na nedostatky, jež toto vydání odhalilo: snížit náklady na vytváření důkazů, pokrýt méně restriktivní dekódování a delší kontexty a pevněji propojit rychlou implementaci s formálním protokolem.