為大語言模型頒發「防偽身分證」：Anthropic 開源零知識證明推理系統 FlashProve

在當前 AI 模型大規模應用的環境中，當使用者或企業透過第三方 API 轉發服務、代理平台調用大模型時，往往面臨著嚴重的「信任不對稱」：使用者無法確認後端實際運行的模型，是否為服務商所宣稱的旗艦版本，還是被悄悄替換為低成本的小模型；若推理伺服器遭到入侵篡改輸出，外界也無法單憑文字結果分辨。

針對這項根本性挑戰，Anthropic Frontier Red Team 攜手 EPFL、MIT、RESI 與 Succinct 等學術與業界合作者，正式發布了名為 FlashProve 的研究原型系統，並公開發布了研究報告 Progress on provable inference for large language models 以及完整的 技術論文 (Technical Report)。該技術基於零知識密碼學證明（zkSNARK），使模型提供商能在完全不洩漏專有模型權重的前提下，向客戶提供不可偽造的密碼學證明，證實特定回應確實由指定的模型權重產生。

FlashProve 的核心運作機制

FlashProve 聚焦於「可證明推理」（Provable Inference, PI），採用純軟體的密碼學架構，主要包含兩個階段：

• 離線承諾階段（Offline Commitment）：模型提供商預先計算並公開一組權重承諾值（Commitment ID），相當於為該模型的具體權重建立一份加密指紋。此過程會嚴格隱藏真實權重數值。
• 在線證明階段（Online Proving）：當使用者發送 Prompt 並獲得生成的回應時，提供商的證明器（Prover）會同步生成一份證明文件（Proof），證明該輸出字詞確實由先前承諾的模型貪婪解碼（Greedy Decoding）生成。
• 終端輕量驗證（Client-side Verification）：使用者或獨立審計機構僅需利用承諾值、輸入 Prompt、回傳結果與證明文件，透過一般消費級 CPU 即可在數秒內完成檢驗，完全不需要高效能 GPU 算力，也不需要接觸模型內部權重。

關鍵技術突破與效能表現

相較於過往 zkML（零知識機器學習）在大型模型上證明速度緩慢、證明體積龐大的困境，FlashProve 針對混合專家模型（MoE）與證明架構進行了深度優化：

• 400B 規模大模型實證：以 Meta 開源的 MoE 大模型 Llama 4 Maverick（400B 總參數，4-bit 量化，每個 Token 啟動約 17B 參數）進行評測。
• 高達 110 Tokens/秒 的證明吞吐量：單張 NVIDIA H100 80GB GPU 在批次處理（24 筆請求）的情境下，證明生成速度達到約 110 Tokens/s。
• 輕量級證明體積：針對 1,024 Tokens 的請求視窗，生成的證明檔案大小僅約 18.78 MB（~19 MB）。
• 快速 CPU 驗證：在客戶端僅需 24 執行緒 CPU，驗證一份證明僅耗時約 17 秒（單執行緒約 21 秒），無需昂貴的硬體設施。
• 大幅縮減計算開銷：相較於早先系統（例如 VerInf 在相同模型上驗證 1,000 Tokens 需花費 14.3 小時且產生高達 93.6 GB 證明），FlashProve 實現了跨越性的加速。目前證明所需 GPU 時間約為常規 vLLM 推理的 70～95 倍。

FlashProve 能夠達成此效能，關鍵在於專為 MoE 架構設計的交互式預言機證明（IOP）協議，使計算工作量僅與「實際啟動的專家子網路（約 17B）」成正比，並採取事後批次證明（Post-hoc Proving）機制與單 GPU 分層串流架構。

透過 Lean 形式化驗證提升信任度

密碼學實作極為敏感且容易出現細微漏洞，Anthropic 團隊使用 Lean 4 定理證明語言，對 FlashProve 協議的核心安全屬性進行了機器可驗證的嚴格數學形式化證明：

• 完備性（Completeness）：誠實提供者生成的證明必然能通過驗證。
• 可靠性（Soundness）：惡意提供者偽造未經承諾模型生成的回應時，其證明被驗證通過的機率在密碼學意義上微乎其微（低於 $q/2^{124} + 2^{-101}$）。
• 零知識性（Zero-Knowledge）：證明過程不會洩漏模型權重、中間計算數值或各層啟動專家的路徑資訊。

開源專案中同步提供了 Lean 原生驗證器以及經過性能優化的 C++ 驗證器，以兼顧形式化可信賴性與實務驗證效能。

核心應用場景：解決 AI 生態中的四大信任挑戰

可證明推理技術為 AI 治理與安全部署提供了具體可行的技術基礎：

• 防止推理篡改與木馬替換（Tamper Detection）：當推理伺服器遭受攻擊、權重外洩或遭內部惡意代理竄改時，無法提供正確證明即可及時報警。
• 文字溯源與合規保證（Text Provenance）：企業或開發者若宣稱其程式碼或商業計畫已通過前沿模型的漏洞掃描，可附帶不可偽造的密碼學憑證作為證明。
• AI 發展節奏與算力監管（Pacing & Regulation）：監管機構可藉由證明抽檢，確認專用硬體確實用於推理服務，而非未經申報違規進行大規模前沿模型訓練。
• 模型核准合規（Model Approval）：確保高風險領域（如金融、法律、醫療輔助）所使用的模型版本嚴格符合主管機關核准之權重設定。

當前局限性

Anthropic 明確指出 FlashProve 目前仍屬於研究原型（Research Prototype），在邁向大規模商用前仍存在限制：

• 算力成本仍具差距：證明成本雖已大幅降低，但仍需常規推理 70～95 倍的 GPU 資源，尚難以支援每筆請求的即時全量行內證明（In-line Proving）。
• 限於整數運算與貪婪解碼：目前系統針對 4-bit 整數化模型與貪婪解碼（Greedy Decoding）進行證明，尚未涵蓋隨機採樣（Temperature > 0）與浮點運算的非確定性。
• 上下文長度限制：目前僅驗證至 1,024 Tokens，對於現代前沿模型數萬至百萬 Token 的長上下文工作流仍待擴展。
• 證明來源而非內容正確性：該技術保證「字詞確實出自特定模型」，但若模型本身產生幻覺或事實錯誤，證明依然會成立。

相關連結彙整

• GitHub 開源儲存庫：anthropics/FlashProve
• Anthropic 官方研究專文：Progress on provable inference for large language models
• 技術研究論文 (PDF)：FlashProve Technical Report
• 官方社群公告：Anthropic X (Twitter) 發布貼文