11月4日，Anthropic开源基于零知识证明的FlashProve系统：无需公开模型权重，即可用纯数学证明回复由指定模型生成。4000亿参数模型实测，单张H100证明生成约110 Token/秒，普通CPU验证仅需17秒，较此前方案快约5000倍。代码以Apache 2.0协议开源。
一、事件：给大模型回答开一张数学“出生证明”
北京时间11月4日凌晨，Anthropic发文宣布“大型语言模型的可验证推理取得新进展”，并正式开源名为FlashProve的系统。该系统基于零知识密码学证明技术，让模型提供商能够在不公开模型权重的情况下，证明某个回答确实由指定模型生成。
这一技术要解决的，是大模型API供应链中长期存在的信任盲区：用户花钱调用的AI，真的是服务商承诺的那个模型吗？假设一家企业购买了顶级大模型的API服务，服务商承诺使用能力最强的模型，却在后台悄悄换成成本更低的小模型；或者第三方路由平台在转发请求时偷偷替换模型；抑或推理服务器遭到攻击，模型权重或输出Token被篡改——在这些场景下，用户通常只能相信服务商的承诺，很难从技术上独立验证。对从事安全评估的研究人员而言，如果无法确认测试对象与实际部署的模型一致，评估结果也就失去了可靠性。
Anthropic将这项技术称为“可证明推理”（Provable Inference）。其核心思路是：模型服务商先通过密码学方式，为一组确定的模型权重生成一个承诺（Commitment），相当于给模型版本建立加密指纹；之后用户每次发起请求，服务商都可以附上一份零知识证明（zkSNARK），证明这次回答确实由此前承诺的模型根据对应输入生成。用户不需要获得模型权重，也不需要自己重新运行模型，仅凭模型承诺、输入、回答和证明文件，就能独立验证模型的身份；证明过程不会泄露模型权重，但可以确认输出是否来自指定模型。
需要指出的是，该技术证明的是回答的来源，而不是回答内容本身是否正确。
二、性能：从中小模型推进到4000亿参数大模型，CPU验证17秒
过去，零知识机器学习的研究大多集中在规模较小的模型上，FlashProve则进一步将可验证推理推进到了大型语言模型场景。为验证方案可行性，Anthropic选择了Meta的Llama 4 Maverick进行测试——这是一个总参数量达4000亿的混合专家（MoE）模型，每个Token实际激活约170亿参数。
实测数据显示：在单张NVIDIA H100 GPU上，FlashProve的证明生成吞吐量达到约110 Token/秒；每1024 Token请求的证明文件约18.78MB；验证端不需要GPU，使用24线程CPU验证一份证明约需17秒。媒体援引官方口径称，验身速度较此前方案快约5000倍。
【图表：FlashProve关键性能倍数对比图】
从图表可以看出，FlashProve的两项关键倍数指标跨度极大：证明生成的额外GPU开销在“数十倍”量级，而验证速度的提升达到“数千倍”量级，对数刻度下两者相差约两个数量级——这正是该系统“生成端有代价、验证端极轻量”的不对称结构。
效率提升与FlashProve针对MoE架构所做的优化有关：证明计算主要围绕实际激活的专家展开，而不是每次都处理模型的全部参数；同时系统采用批量事后证明，在推理完成后再统一生成证明，降低重复计算带来的开销。
不过，证明仍然需要付出额外成本。按照Anthropic的测试，生成证明所需的GPU时间约为普通vLLM推理的70倍至95倍；此外，当前测试采用1024 Token的请求窗口，每份证明实际检查其中一个输出Token，系统主要支持1024 Token的上下文窗口，并针对整数模型和Greedy Decoding进行验证，还不能直接覆盖所有模型和推理方式。
三、技术流程：三步验真与“数学铁律”
FlashProve把验真流程拆成了环环相扣的三步。第一步是离线“按手印”：模型上线前，服务商在单张H100上花约39分钟，用零知识编码给模型权重生成一串唯一的承诺ID并向全网公开。这串ID就像权重的数字DNA指纹，哪怕偷偷改掉一个参数都对不上；但外界光看指纹，无法反推权重本身。
在工程与形式化验证层面，FlashProve的开源仓库呈现出一个反常特征：C++代码只占1.4%，Python占1.3%，CUDA占0.9%，而高达95.2%的代码（约398MB）是用Lean 4数学证明语言写成的形式化证明。密码学代码向来是软件工程中最脆弱的领域，人类专家难以逐行审完AI生成的全部底层决策，因此Anthropic请出Lean 4——写进去的每一步数学推导都要经过编译器内核逐行核对。
人类科学家与AI共同敲定了最顶层的6条安全定义，其中三项被钉成“铁律”：其一，完备性——只要服务商按承诺的权重运行模型，生成的证明就一定能通过核验，被误伤拒绝的概率不到万亿分之一；其二，知识可靠性——如果服务商拿假模型冒充或偷改了一个Token，造假蒙混过关的概率不到2的100次方分之一，在数学上等同于不可能；其三，零知识——无论客户端持证明核验多少次，证明文件都不会泄露任何模型权重信息。
值得注意的是，据媒体报道，FlashProve项目的核心开发工作由Claude自己完成：从114页的密码学协议规范论文、23页技术报告，到C++与CUDA底层代码，再到近400MB的Lean形式化证明，几乎全部出自Claude之手；项目README开篇写明“专为Agent运行而建”。
四、应用价值：直指“套壳转售、模型调包”灰产
FlashProve的应用场景直指AI服务供应链中的灰色地带。此前有调查显示，API代理灰色市场存在以低价转售模型访问权限的现象，其中“模型替换”普遍存在：有研究人员审计代理服务时发现，以某模型名义销售的代理访问在医学基准测试中仅获得37%的得分，而官方API得分接近84%；用户请求旗舰模型，实际收到的可能是来自更便宜模型的响应，输出结果被虚假地重新标注。
在FlashProve机制下，大模型每生成一条回答，都会被附上一张数学级“出生证明”。哪怕手头只有一台普通家用CPU，跑上17秒，就能用纯数学方式验证每一个经验证的Token是否为目标模型“亲生”，任何偷换模型、半路篡改的行为都将当场现形。品玩报道称，该技术可应用于AI服务可信验证、推理过程防篡改及模型合规审计等场景。
除了商业防伪，Anthropic在官方博客中还提出了更深层的安全关切：随着模型能力增强、能够自我部署，一个更高级的模型完全可能顶替获批的弱模型上岗，再装成弱模型的样子，躲开本该施加在它身上的监控。可验证推理为这类“以强充弱、逃避监管”的风险提供了技术防线。
五、理性看待：代价、边界与行业意义
FlashProve并非没有代价。除前述70倍至95倍的GPU时间开销外，其当前版本在上下文窗口（1024 Token）、解码方式（Greedy Decoding）等方面均有明确限制，距离覆盖所有模型和推理方式尚有距离。业界也应注意到，验证的是“来源真实性”而非“内容正确性”，二者不可混为一谈。
从行业视角看，这次发布的意义有三层。第一，它把可验证推理的适用范围从学术界的中小模型实验，推进到了4000亿参数级的大语言模型，跨过了此前的工程鸿沟。第二，它以开源（Apache 2.0协议）方式将证明生成器、C++与Lean双验证器、技术文档及形式化证明全部公开，为行业提供了可复用的基础设施。第三，在API转售、模型调包等灰产屡禁不止的背景下，“密码学验真”提供了一条不依赖中心化机构、不要求服务商交出权重的技术路径，有望重塑AI服务供应链的信任机制。
正如业内人士所指出的，在大模型能力竞赛之外，“可验证性”正在成为新的竞争维度：当用户可以独立验证每一次回答的来源，AI服务的信任成本将被显著降低。当然，这一判断的最终成立，仍有待FlashProve在更广泛模型与生产环境中的实际检验。
