Anthropic выпускает FlashProve для криптографического подтверждения инференса ИИ

Anthropic выпустила FlashProve 2 ноября 2026 года — исследовательский прототип с открытым исходным кодом, использующий криптографические доказательства, чтобы подтвердить, что ответ языковой модели получен с использованием зафиксированных весов, не раскрывая их. Компания сообщила, что для Meta’s Llama 4 Maverick генерация доказательств достигает скорости 110 токенов в секунду.

Эта работа устраняет пробел в проверке работы размещённых в облаке систем ИИ. Высокое качество ответа само по себе не позволяет установить, какая модель его сгенерировала: сервис маршрутизации может подменить её другой системой, оценщик — получить не ту модель, которая предназначалась для тестирования, а злоумышленник — изменить поток токенов. Пользователям непрактично проверять результат, повторно запуская модель, если её веса закрыты, а требования к оборудованию велики.

Привязка ответов к скрытым весам

FlashProve использует краткий аргумент с нулевым разглашением о знании (zkSNARK) и работает исключительно на программном уровне, не полагаясь на доверенное оборудование. На автономном этапе провайдер публикует короткий коммитмент, однозначно идентифицирующий конкретный набор весов, но не раскрывающий их. Для завершённых пар «запрос — ответ» система формирует доказательство того, что выходные токены сгенерированы моделью, соответствующей этому коммитменту. Любой, у кого есть коммитмент, запрос и ответ, может проверить доказательство, не имея доступа к весам.

Система призвана обеспечивать полноту, надёжность, нулевое разглашение и краткость доказательств. Честно сформированное доказательство должно приниматься, тогда как подтверждение ложного утверждения должно требовать нарушения широко признанных криптографических предположений. Проверка доказательства не должна раскрывать ни веса, ни промежуточные значения вычислений. Система также скрывает, какие подсети архитектуры «смесь экспертов» работали над каждым токеном, хотя сама архитектура модели остаётся видимой.

В реализации используется архитектура «смесь экспертов» модели Maverick. Объём работы доказывающей системы зависит примерно от 17 миллиардов параметров, активных для одного токена, а не от всех 400 миллиардов, при этом выбор экспертов остаётся скрытым. Разбитые на сегменты веса передаются из памяти хоста, благодаря чему доказывающая система помещается на один графический процессор с 80 ГБ памяти и примерно 290 ГБ памяти хоста в дополнение к нему.

Anthropic описывает возможные сценарии применения: проверки добросовестности для клиентов, независимую оценку, инструменты для регулирующих органов и обеспечение соблюдения требований к использованию одобренных моделей. Сертификаты инференса могут подтвердить, что запросы обрабатывались заявленной моделью, но не доказывают, что то же оборудование не использовалось одновременно для обучения другой модели. Это различие ограничивает возможности таких сертификатов подтвердить соблюдение требований, зависящих от того, как используется вычислительная мощность.

Производительность доказательств и накладные расходы на инференс

В своей оценке Anthropic использовала общедоступную 4-битную версию модели. Сервер с одним H100 и 24 ядрами процессора сформировал доказательства для пакета из 24 запросов примерно за 223 секунды; размер доказательства для каждого запроса составил 18,78 МБ. Автономный этап создания коммитмента занял около 39 минут.

Для проверки клиент загружает коммитмент размером около 6,5 МБ и проверяет доказательства на процессоре без графического процессора. По измерениям Anthropic, проверка занимает 17 секунд при 24 потоках и 21 секунду при одном потоке; эти показатели включают проверки автономного этапа.

Эти измерения показывают разницу между проверкой только на процессоре и значительно более ресурсоёмким формированием доказательств. В сравнении Anthropic с инференсом FP8 на восьми графических процессорах H100 под управлением vLLM формирование доказательств требовало примерно в 72 раза больше времени на один графический процессор для того же пакета запросов и примерно в 94 раза больше — при максимальной нагрузке vLLM, проверенной в тестах. Таким образом, высокая пропускная способность достигается ценой существенных затрат по сравнению с обслуживанием модели без доказательств.

Формальная верификация и практические ограничения

В репозитории FlashProve содержатся доказывающая система, быстрый верификатор на C++, более медленный верификатор на Lean, доказательства в Lean для математических утверждений верхнего уровня и интерактивный визуализатор теорем. Репозиторий распространяется по лицензии Apache 2.0. Версия 0.16.0 обозначена как не сопровождаемый исследовательский артефакт, для которого не принимаются вклады.

Формализация на Lean охватывает полноту, надёжность и нулевое разглашение в модели случайного оракула. Чтобы установить, действительно ли формальные утверждения выражают предусмотренные гарантии, их всё ещё требуется проверять вручную. Верификатор на Lean формально связан с теоремой о надёжности, но верификатор на C++, предназначенный для повседневного использования, не имеет формальных гарантий; вместо этого его проверяли на соответствие верификатору на Lean.

В документации проекта об известных ограничениях указано, что системы ИИ под руководством человека написали почти весь программный код, доказательства на Lean и документацию, а также выполнили описанные тесты. Независимый аудит безопасности не проводился, а проверка сокрытия весов и устойчивости к состязательным доказательствам остаётся ограниченной.

Доказательства охватывают точную целочисленную версию весов при жадном декодировании. Инференс с плавающей точкой или декодирование с выборкой могут отличаться от вычисления, для которого строится доказательство, а общие тесты на ошибки не охватывают специально разработанные состязательные запросы. Длина контекста ограничена 1 024 токенами, а атаки по побочным каналам, включая атаки на основе времени выполнения, не покрываются гарантиями. Формирование доказательств постфактум по сравнению с их построением одновременно с инференсом приводит к повторным вычислениям, задержке подтверждения и недетерминизму.

Чтобы проверяемый вывод стал стандартной проверкой обслуживаемого трафика, предстоит устранить пробелы, выявленные в этом выпуске: снизить затраты на построение доказательств, поддержать менее ограничительные режимы декодирования и более длинные контексты, а также теснее связать быструю реализацию с формальным протоколом.