Anthropic开源FlashProve：给AI模型装上可验证的防伪签名-知了AI

当AI的回答开始”验明正身”：Anthropic开源FlashProve，把密码学带进大模型推理

2026年11月4日，Anthropic在其官方博客上发布并开源了一套名为FlashProve的可验证推理系统。这个项目的核心主张听起来简单，实际上却可能改变整个AI行业的信任结构：用户不需要获得模型权重，就能验证某一条回答究竟是不是由事先承诺的那个模型生成的。换句话说，当你向一家AI公司付费提问时，你第一次有机会用密码学手段确认——对方后台跑的，确实是你所购买的那个模型，而不是一个被悄悄换掉的廉价替身。

在AI行业高速膨胀、推理成本成为各家头号开支的今天，这并不是一个象牙塔里的学术议题。它直指一个长期以来只能靠”品牌承诺”维持的灰色地带：模型到底有没有被替换？性能宣称有没有被夸大？第三方代理转述的安全结论能不能当真？FlashProve给出的答案，是用零知识证明这样的密码学技术，把这些问题从”信不信”变成”算一算”。

一、问题根源：AI服务的信任，一直是”黑盒信任”

要理解FlashProve的价值，得先看清它要解决的问题。传统软件服务中，用户与企业之间的信任建立在审计、合规报告、开源代码等机制之上。但大模型推理有一个天然难题：模型的全部能力浓缩在一组动辄数百GB的权重文件里，这些权重是厂商最核心的商业资产，绝不可能公开给每一位用户核验。于是用户面对的处境是——你为某个模型付费，但你既看不到模型，也无法证明回答来自模型。

这种”黑盒信任”在实践中留下了至少三类可被利用的空间。

1. 暗中降级：用廉价模型替换昂贵模型

这是行业内早已流传的操作。高端旗舰模型的推理成本可能是轻量模型的数十倍，如果服务商在用户不知情的情况下，把一部分请求路由到一个更小、更便宜、但输出风格相近的模型上，用户几乎无法察觉，而厂商的推理成本却能大幅下降。对免费用户做”动态降智”或许还能辩解为负载均衡，但对付费用户承诺旗舰模型却暗中将请求转给廉价模型，本质上就是一种性能欺诈。过去这类行为只能靠用户凭”感觉回答变笨了”来质疑，缺乏任何可核验的证据。

2. 虚报性能：反向操作，用昂贵模型撑门面

与降级相反的另一种操纵，是明明对外宣称使用的是某个轻量、高效的模型，实际却用更大的模型来”美化”评测成绩，或者在与监管机构、企业客户的沟通中夸大自家模型的能力。评测基准可以被针对性优化，演示可以被精心挑选，如果没有可验证机制，外界对这些宣称的核实只能依赖厂商的自觉。

3. 第三方声称无法核实：”经过某前沿网络安全模型漏洞扫描”

随着AI生态分层，大量服务建立在第三方转述之上。一家安全公司宣称其产品”经过某前沿网络安全模型漏洞扫描”，一家代理服务商宣称”底层由某旗舰模型驱动”。这些声称一旦被采信，就可能转化为真金白银的商业订单。但下游用户没有任何手段核实这些声称的真伪——除非上游愿意交出权重（不可能），或者有一套密码学机制能把”这个结论确实出自那个模型”变成可数学验证的陈述。FlashProve瞄准的正是这最后一种可能。

二、FlashProve的工作原理：给AI回答盖上”加密邮件签名”

Anthropic在博客中将FlashProve的机制类比为一个大家更熟悉的东西：加密邮件签名。当你收到一封经过数字签名的邮件时，你不需要了解发件人的私钥内容，只需用公开的公钥验证签名，就能确认邮件确实出自声称的发件人且内容未被篡改。FlashProve把同样的思路搬到了大模型推理上。

1. 模型”指纹”：不泄露权重，但足以锁定身份

整套机制的第一环，是各AI实验室需要为自家模型公布一个密码学意义上的”指纹”。这个指纹基于零知识证明等技术构建，它有几个关键性质：第一，它与模型权重绑定的承诺相关联，能够唯一标识一个特定的模型版本；第二，指纹本身不泄露权重的任何实质信息，闭源厂商的商业机密不会因此曝光；第三，指纹验证所需的计算量极小，普通设备即可完成。

这个设计的巧妙之处在于，它把”公开”与”保密”这对看似矛盾的需求统一了起来。闭源厂商最担心的是权重泄露，而指纹机制恰恰绕开了这一顾虑——这也意味着，OpenAI、Google等闭源实验室理论上同样可以参与这套生态，为自家模型发布指纹并生成可验证的推理证明。

2. 零知识证明：证明”是的，就是那个模型算的”，但不说别的

零知识证明（Zero-Knowledge Proof）是密码学领域的一项经典技术，它允许证明方向验证方证明某个陈述为真，同时不泄露陈述之外的任何信息。在可验证推理的场景下，陈述是”这条回答确实是由指纹所承诺的那个模型，对这条输入执行标准推理流程得出的”。验证方收到回答和随附的证明文件后，可以在本地用密码学算法验证这个陈述成立，而不需要知道权重、不需要访问GPU集群、也不需要信任厂商的任何口头保证。

FlashProve的工程贡献在于，把过去被认为计算开销大得离谱的可验证推理，压缩到了”接近可用”的程度。这里涉及多项技术组合，其中一个关键思路是利用混合专家（MoE）架构的稀疏性——每一次前向传播中实际被激活的专家网络只占很小比例，需要纳入证明电路的计算量因此大幅减少。

3. 轻量化验证：一张消费级设备就能完成

与证明生成的高成本形成鲜明对比的是，验证过程被设计得足够轻量，可以在本地设备上完成。这意味着一个普通的笔记本电脑甚至手机，都能对收到的AI回答进行”验伪”。这是整个机制能够走向普及的前提：如果验证本身需要昂贵的算力，那它就永远只属于少数审计机构，而不可能成为每个用户的日常工具。

三、实测数据：4000亿参数Llama 4 Maverick上的成绩单

FlashProve并非停留在概念层面。Anthropic在博客中公布了在一枚具有标志意义的模型上的完整实验结果：4000亿参数的Llama 4 Maverick MoE模型。选择这样一个规模和架构的模型做实验，本身就传递了信号——可验证推理已经能覆盖当今主流开源旗舰模型的量级。

1. 单卡H100：每秒约110个Token的证明生成速度

实验数据显示，在单张NVIDIA H100 GPU上，FlashProve每秒可为约110个Token生成证明。这个速度离实时覆盖商用流量还有距离，但已经比该领域早期研究的水平提高了几个数量级。一次包含1024个Token的完整请求，其证明文件大小约为19MB。19MB不算小，但对于一条可能价值数美元的商业推理请求来说，附上一个可通过普通宽带传输的证明文件，在工程上完全可行。

团队还提供了Lean形式化验证代码，用严格的形式化方法证明系统核心逻辑的正确性。这一点值得单独强调：如果一套系统的使命是提供”可验证性”，那么它自身逻辑的正确性必须经得起最高标准的检验。用Lean这类被数学界广泛使用的证明助手来形式化验证，体现了Anthropic在这个项目上自洽的严谨态度。

2. 现实的另一面：70-95倍的GPU开销

当然，FlashProve目前还不能大规模商用，Anthropic自己也坦率承认了这一点。当前生成证明所需的GPU时间约为普通推理的70-95倍。也就是说，为一次推理生成证明的成本，相当于把这次推理重跑七十多次。以当前的推理经济模型来看，没有任何服务商能把这套机制铺在全量生产流量上。

但换个角度看，这70-95倍是一个有明确下降路径的数字。零知识证明技术在过去几年里的性能改进曲线非常陡峭，专用硬件、更优的电路设计、以及针对MoE架构的进一步优化，都可能让这个倍数持续下降。从”高得离谱”降到”70-95倍”，本身就说明这条技术路线在快速收敛，剩下的只是工程时间和算力成本问题。

3. 开源与中间阶段：代码在GitHub，尚无实验室正式部署

FlashProve的相关规范与代码已在GitHub上开源，任何人都可以审查、复现或在其基础上构建。同时Anthropic明确表示，目前尚没有任何AI实验室正式部署这套系统，它处于研究和生态建设的中间阶段。这种坦诚的定位很重要：FlashProve现在提供的不是一个立即可用的产品，而是一个技术可行性证明和一套行业标准候选方案——它的真正落地，需要整个行业跟进。

四、两种信任模式的正面交锋：一张表看懂范式转移

FlashProve之所以值得认真对待，是因为它代表的不是一次技术改良，而是AI服务信任模式的范式转移。下表从多个维度对比了传统信任模式与密码学验证模式的本质差异：

对比维度	传统信任模式（品牌承诺/审计报告）	密码学验证模式（FlashProve）
信任基础	厂商品牌声誉、SLA合同条款、第三方审计机构的背书	零知识证明等密码学技术，基于数学硬度假设
验证对象	流程与制度（”我们承诺使用XX模型”）	每一次具体回答（”这条回答出自该模型”）
验证主体	审计机构、监管者、少数有议价能力的大客户	任何用户，可在本地设备上独立完成
对模型权重的要求	审计往往需要接触权重或内部信息，闭源厂商抵触	仅验证公开”指纹”，不泄露权重，闭源厂商可参与
验证时效	事后审计，存在数月甚至数年的滞后	实时逐条验证，回答送达即可验伪
作恶成本	被发现概率低、追溯困难，最多损害声誉	任何替换模型的操作都会导致证明验证失败，当场暴露
适用生态	依赖中心化信任节点，小用户话语权弱	去中心化验证，每个用户都是自己的审计员
当前主要短板	无法提供技术层面的确定性保证	证明生成开销为普通推理的70-95倍，尚不能大规模商用

表格中最值得注意的是”验证主体”这一行。传统模式下，验证能力实际上是垄断资源——能请得起四大事务所做AI审计的是巨头，普通用户只能选择信或不信。而FlashProve把验证能力下放到了每个终端，这在AI信任结构上的意义，类似于电子商务兴起时”第三方担保交易”对”熟人信任”的替代。

五、被低估的下一个赛道：为什么”模型可验证”比看起来重要得多

作为长期观察这个行业的视角，我认为”可验证AI”是被市场明显低估的下一个赛道。当前资本和舆论的注意力几乎全部集中在模型能力的军备竞赛上，但历史经验反复证明：决定一个技术生态能否进入严肃商业场景的，往往不是能力的上限，而是信任的下限。云计算之所以能接管企业IT，不是因为算力最便宜，而是因为合规、审计、SLA等信任基础设施成熟了。AI要重复这个过程，可验证性是绕不开的一环。

1. AI服务审计市场：一个正在成形的全新产业

FlashProve这类技术的普及，将直接催生一个此前几乎不存在的市场——AI服务验证与审计市场。可以预见的形态包括：独立的验证节点服务商，专门为中小企业批量验证AI服务商标注的模型指纹与证明文件；聚合化的”模型身份注册表”，类似域名证书颁发机构的角色，为各家实验室发布的指纹提供浏览、比对与监控服务；以及面向企业的持续验证平台，实时监测所采购的AI服务是否始终运行在合同约定的模型上。

今天的安全厂商、云厂商和区块链基础设施公司，都有可能切入这个市场。谁能把”验证一条AI回答的真伪”做成一键式的基础设施服务，谁就站在了一个全新价值链的头部。

2. 企业采购合同的条款革命

对企业客户而言，FlashProve预示的更直接的变革发生在采购合同里。可以想象几年后的标准条款：”供应商承诺服务底层为指纹编号为XXXX的模型，并提供逐条回答的可验证证明；任何未附有效证明的请求，客户有权按违约计费。”这将从根本上改变AI服务的博弈结构——厂商的”模型降级”操作从暗处走到了明处，每一次偷偷替换都会在客户的验证日志里留下数学上无法抵赖的记录。

对采购方来说，这甚至可能重塑比价逻辑：当模型身份可验证后，”同等模型”的服务才能真正横向比价，AI服务的市场定价也会因此更有效率。这类似于食品安全溯源体系建立之后，优质供应商反而获得了溢价空间——可验证性保护的不只是买家，更是诚实经营的卖家。

3. 对闭源阵营的意外利好

还有一个反直觉的判断：FlashProve这类技术对闭源厂商是利好而非威胁。开源阵营一直以”可检查”作为核心卖点，而零知识证明让闭源厂商第一次可以宣称”我们不公开权重，但你可以验证我们的每一个承诺”。这填补了闭源模式在可问责性上的最大短板，可能反而延缓开源模型在企业市场的渗透速度。Anthropic作为闭源阵营的代表厂商之一，主动投入这个方向，其战略意图值得玩味。

4. 通往”可验证AI Agent”的地基

再往前看一步，当AI Agent开始自主调用其他AI服务、自动执行商业决策时，”验证”就不再是可选的增值功能，而是系统安全的刚需。一个Agent在为用户执行交易前，如何确认它调用的那个”风控模型”是真实的风控模型而不是被注入了后门的仿冒品？答案只能是密码学验证。FlashProve这类系统，本质上是在为未来的多Agent经济铺设身份与信任的地基——就像TLS证书之于今天的Web。

六、冷静看待：三道必须跨过的坎

在乐观之余，也需要清醒地看到FlashProve从实验室走向普遍部署还面临的三道现实门槛。

1. 成本门槛：70-95倍开销的下降速度

这是最硬的一道坎。只有当证明开销降到普通推理的个位数倍，甚至接近一倍时，服务商才有动力将其应用于生产流量。这取决于零知识证明算法的迭代速度、专用加速硬件的成熟度，以及MoE架构等稀疏化优化的进一步挖掘。乐观估计这需要数年时间，但方向是明确的。

2. 生态门槛：需要各家实验室共同行动

可验证性的价值来自网络效应：如果只有Anthropic一家为模型发布指纹，而用户请求的模型来自其他实验室，验证就无从谈起。这套机制要真正生效，需要OpenAI、Google、Meta等主要玩家都加入指纹发布与证明生成的行列。在没有任何监管强制的情况下，这更像一场多方博弈——谁先部署，谁就获得”可验证”的差异化卖点，但同时也承担额外的算力成本。目前尚无实验室正式部署，恰恰说明这场博弈还处在开局。

3. 认知门槛：普通用户尚未意识到自己在”裸奔”

最后一道坎在需求侧。绝大多数AI用户至今没有意识到”回答可能出自另一个模型”是一个真实存在的风险，更没有形成验证的习惯。就像HTTPS普及之初，普通网民并不理解证书的含义，直到浏览器把”不安全”标红才形成社会共识。可验证AI可能也需要类似的界面化、默认化的推动——当验证失败像证书告警一样醒目时，用户教育才算完成。

FAQ

常见问题解答

FlashProve到底是什么？一句话解释

FlashProve是Anthropic于2026年11月4日开源的可验证推理系统，它利用零知识证明等密码学技术，让用户无需获得模型权重，就能在本地验证某条AI回答是否确实由事先承诺的那个模型生成，机制上类似给AI回答盖上一枚”加密邮件签名”。

验证模型的”指纹”会不会泄露厂商的商业机密？

不会。模型指纹的设计目标就是不泄露权重的任何实质信息，它只用于唯一标识和绑定一个特定的模型版本。这也是闭源厂商可以参与这套生态的前提——发布指纹与公开权重是完全不同的两件事。

FlashProve的验证效果具体如何？支持哪些模型？

在4000亿参数的Llama 4 Maverick MoE模型上，单张H100每秒可为约110个Token生成证明，1024 Token请求的证明文件约19MB，并提供了Lean形式化验证代码。不过生成证明的GPU开销约为普通推理的70-95倍，因此目前尚不能大规模商用，也还没有任何实验室正式部署。