AI模型也能驗明正身！Anthropic推FlashProve 防止旗艦模型遭偷換

隨著企業透過API調用雲端大型語言模型（LLM），使用者難以確認服務商實際提供的模型是否與宣稱一致，也無法得知生成內容是否遭到中間路由機制替換或惡意竄改。對此，Anthropic 近日公布研究成果及程式碼原型FlashProve，試圖透過零知識密碼學證明，讓使用者在不取得模型權重的情況下，也能驗證每次推論確實由指定模型執行。

FlashProve的核心概念，是為每次模型推論產生一份無法偽造的密碼學證明，讓模型服務商在不公開核心權重參數的前提下，向外界證明輸出內容確實來自特定模型，降低雲端模型服務遭到偷換或冒名的風險。

FlashProve的驗證流程分為承諾、證明及驗證3個階段。模型服務商在正式提供服務前，須先產生一份約6.5MB的公開數位指紋，製作時間約39分鐘，作為特定模型權重的公開承諾，確保後續推論使用的模型與事先登記的版本一致，同時避免核心權重參數外洩。

當使用者發出請求後，系統便會即時產生密碼學證明，透過數學運算確認生成的每個Token，均來自先前承諾的特定模型權重。

這套技術採用零知識簡潔非互動式知識論證（zkSNARK）架構，模型權重、神經網路激活值及專家路由決策等資訊仍保留在服務商端，不會隨證明文件公開。使用者只須取得公開指紋、輸入內容及模型輸出結果，就能透過一般辦公設備完成驗證，不需要高階GPU，也無須接觸模型權重。

採Llama 4 Maverick測試　證明文件壓縮至19MB

Anthropic此次選用Meta(META-US) 旗下混合專家（MoE）架構開源模型Llama 4 Maverick進行測試，模型參數規模達4,007億，並採用4位元量化版本。

測試結果顯示，在單張輝達(NVDA-US) H100 GPU上，FlashProve每秒可產生約110個Token的證明。針對上下文長度為1,024個Token的單次請求，產生的證明文件約19MB。

在24個請求並行處理的壓力測試中，單張GPU總計耗時約223秒。至於接收端驗證，使用24核心CPU約需17秒，單執行緒處理則約需21秒。

不過，FlashProve目前的主要成本仍集中在服務供應端。產生證明所需的運算時間，相當於一般推論引擎vLLM執行常規推論的70至95倍。整套系統需要約245GB磁碟空間，主機記憶體使用量最高達330GB，實測峰值約310GB。

相較之下，先前同類型開源方案VerInf針對相同模型產生1,000個Token的證明，耗時約14.3小時，檔案容量更高達93.6GB。儘管兩套方案的測試硬體、實作演算法及證明目標有所不同，數據無法直接比較，但FlashProve在處理時間與證明文件大小方面，仍展現明顯改善。

防止模型遭冒名　但無法保證生成內容正確

FlashProve主要解決的是模型身分驗證問題，而非生成內容的品質或正確性。即使一份回答附有完整且可驗證的密碼學證明，內容仍可能存在事實錯誤、演算法幻覺或有害表述。

這項技術的主要用途，是確認模型服務商確實使用事先承諾的模型執行推論，避免服務商或中間轉售業者暗中以成本較低、能力較差的模型取代旗艦模型，卻仍以原本的服務規格向客戶收費。

此外，近期AI產業圍繞未經授權的大型模型知識蒸餾爭議不斷，各家研究機構相互指控對方未經許可使用模型資料，卻缺乏足以定論的直接證據。隨著各國監管制度逐步依照模型能力分級，確認伺服器實際執行的模型是否與申報參數一致，也成為監管落實的重要前提。

Anthropic此舉也呼應執行長阿莫戴（Dario Amodei）倡議的尖端AI風險治理方向，強調建立可追溯的模型身分驗證機制，才能讓依照模型能力分級的監管制度真正發揮作用。

值得注意的是，Anthropic表示，其AI模型Claude也深度參與FlashProve的開發，並自主提供關鍵運算算子的最佳化方案。不過，AI協助設計的底層最佳化程式碼，難以單靠人工逐行審查確認正確性，反而衍生新的程式碼信任問題。

為此，技術團隊將核心安全主張轉換為Lean 4互動式定理證明程式碼，透過形式化數學驗證，讓工程師不必完全依賴人工審查複雜的最佳化細節，也能確認底層邏輯是否符合數學正確性。

目前FlashProve已依Apache 2.0授權條款向開源社群公開，版本為0.16.0。不過，開發團隊也在程式碼儲存庫中說明，這項專案仍屬尖端研究原型，未來不承諾持續維護，也不保證接受社群提交的程式碼。

技術仍有多項限制　Anthropic暫無商用計畫

儘管FlashProve在證明效率及檔案容量方面取得進展，目前仍存在不少技術限制。

首先，現階段測試僅支援1,024個Token的上下文長度，與主流AI對話產品動輒數十萬、甚至百萬Token的需求仍有相當差距。此外，技術目前主要針對混合專家架構設計，尚未支援規模龐大的稠密模型。

在運算方式方面，驗證流程目前僅支援整數權重及貪婪解碼，尚未涵蓋業界普遍採用的高精度浮點數運算與隨機抽樣生成模式。

此外，雖然模型權重受到保護，但底層網路拓撲結構仍可能曝光，系統也尚未完全防範透過運算時間特徵進行的旁路攻擊。

Anthropic坦言，目前沒有將FlashProve原型直接導入商業生產環境的計畫，內部正探索其他替代方案，包括透過流量數位簽章，以及可信任執行環境（TEE）進行交叉驗證。

除了技術效能，市場採用意願也是FlashProve能否普及的關鍵。對於部分可能以低階模型冒充高階模型的轉售業者而言，主動導入驗證工具等於增加揭露自身服務內容的可能性，缺乏採用誘因。唯有採購方要求確認模型身分，並將驗證機制納入合規及供應商選擇標準，相關技術才有機會真正落地。

整體而言，FlashProve試圖解決AI雲端服務長期存在的模型身分驗證難題，將原本難以確認的模型執行過程，轉化為可透過密碼學證明檢驗的結果。不過，從研究原型走向大規模商用，仍須克服運算成本、模型支援範圍及市場採用等挑戰。