FlashProve：Anthropic 开源的可验证推理系统，用零知识证明为 AI 输出背书

1. FlashProve是什么

FlashProve是Anthropic开源的基于零知识证明（zk-SNARK）的可验证推理系统，其核心价值在于：模型服务商在完全不公开模型权重的前提下，能够向用户或第三方提供一份密码学证明，以验证某次AI回答确实由指定的模型生成，而非被替换或篡改。该系统在拥有400B参数的Llama 4 Maverick（MoE架构）上完成了实测，单张H100 GPU可达到约110 tokens/s的证明生成速度，每1024 token的证明体积约19MB，验证者仅需普通CPU在约17秒内即可完成校验。FlashProve仍属于研究原型，其生成证明所需的GPU时间约为普通推理的70至95倍，且目前的证明机制仅确认输出来源，并不保证内容本身的正确性。FlashProve的发布为AI推理的可信审计、模型路由合规以及防止服务商“偷换模型”等场景提供了首个具备工程可用性的技术方案。

技术定位与领域： FlashProve属于密码学与人工智能的交叉领域，具体为可验证计算（Verifiable Computation）和机器学习推理证明（zkML）。该系统的定位并非替代现有推理引擎，而是作为推理服务器的一个附加证明层，为高价值、强监管的AI服务提供机器可检查的可信凭证，其设计目标是在“模型权重保密”与“输出可验证”之间达成平衡。

研发背景： 该系统由Anthropic研究团队开发，源于大模型商业化落地中日益严峻的可信问题。随着API中转、模型路由平台的普及，用户付费调用高性能模型时，实际执行的计算可能被静默替换为更廉价的替代模型，而传统的日志审计或抽查方式难以有效制约这一行为。FlashProve正是针对这一信任缺口研发的解决方案，其安全性质（完整性、可靠性、零知识）已在Lean 4证明助手中完成了机器可检查的验证。

核心价值： FlashProve解决了“如何在不泄露商业机密（模型权重）的前提下证明计算真实性”这一长期存在的难题。其意义在于首次将zkML技术从学术验证的“玩具模型”推向了超过4000亿参数的超大规模MoE模型，并提供了可复现的开源实现（含C++验证器和端到端脚本）。这为第三方评测机构核实“被测即所宣”、监管机构审计算力用途、企业用户确认API调用未被篡改等场景，提供了首个可落地的技术基础设施。

技术特点： FlashProve的技术核心在于MoE激活感知的证明开销优化，其证明成本仅随每Token实际激活的约17B参数（Llama 4 Maverick为4-bit量化）增长，而非全部的400B参数，这一特性使得证明吞吐量远超以往的zkML系统。同时，系统采用批量事后证明机制与单GPU流式执行策略，允许400B级模型在仅含80GB显存的单卡上运行验证流程，兼顾了超大规模模型的执行可行性与成本控制。

2. 主要功能

• 零知识身份验证（Core Identity Proof）： 在不公开模型权重的前提下，系统对指定模型权重生成一个密码学承诺（Commitment）。服务商公开该承诺作为“模型指纹”，用户或第三方验证者仅凭该承诺、输入文本和输出结果，即可通过附带的zkSNARK证明确认该输出由承诺所指的模型计算产生，全程不泄露权重、中间激活值或专家路由选择。

• 防模型偷换（Model Substitution Prevention）： 针对第三方API中转商或模型路由平台，FlashProve提供的证明使得“以低配模型冒充高配模型”的行为在密码学层面无法掩盖。若服务商实际部署的是价格更低的小模型或开源模型，验证者运行 cp_verify 时将得到拒绝（Reject）结果，从而为用户付费购买的算力提供了机器可查的履约依据。

• 防输出篡改（Output Integrity Verification）： 在推理服务器遭遇攻击或Token流被中间人篡改的场景下，FlashProve的证明能够有效暴露异常状态。任何对输出文本的改动（哪怕是单个Token级别的细微修改），都会导致证明校验失败（退出码为0且末行不是YES），从而保障了用户拿到的回答确实与模型服务商承诺输出的内容一致。

• 合规与审计凭证（Compliance & Audit Certificate）： 系统生成的证明文件可作为面向监管机构、独立评测方和内部安全团队的机器可检查审计证据。监管机构可要求服务商定期提交推理证明，以核实硬件算力确实被用于已批准模型的推理任务，而非被挪用进行未报备的训练作业或绕过审批的运算。

• 高价值声明背书（Third-party Claim Endorsement）： 开发者可凭借FlashProve证明代码审计确实由某个前沿安全模型完成，企业亦可证明商业分析报告或安全评估由指定模型审阅。由于验证过程无需接触模型权重，被背书方可以在不泄露任何商业机密的前提下，快速核验声明的真实性。

• 批量事后证明（Batch Post-hoc Proof Generation）： 系统允许在推理完成后统一生成零知识证明，并通过将已生成的文本作为prefill并行读取，以及按批次仅打开一次权重承诺的方式，大幅降低重复的密码学计算成本。该设计虽无法实现逐Token的实时内联证明，但在实际吞吐性能与安全性之间取得了有效平衡。

3. 应用场景

• 第三方API中转与模型路由验证： 用户或企业通过API中转平台调用高价位的指定模型（如Claude、GPT或Llama 4 Maverick）时，可要求平台方附带FlashProve证明。用户在收到输出后，通过公开的验证器（cp_verify）对承诺、请求、输出及证明进行核验，即可确认中转商没有暗地将请求路由至成本更低的替代模型，避免“花高价买低配”的算力欺诈问题。

• 独立与大模型评测机构： 第三方评测机构在开展大模型基准测试时，经常面临“评测的是模型A，上线的却是模型B”的争议。使用FlashProve后，评测机构可以要求被测服务商提供针对待测模型权重的承诺及证明，以此确认被测服务确实部署了待评模型，从而保证榜单与评测结果公信力。

• 推理服务器防篡改机制： 内部安全团队或合规部门可要求企业推理服务器在提供响应的同时生成附带证明。若黑客入侵后尝试植入恶意输出或利用越权模型替代合法模型返回结果，用户侧验证将失败，从而提示安全事件已经发生。这一机制为企业内部高敏感业务（如金融风控分析）提供了额外的防线。

• 监管合规与算力审计： 对于受严格监管的AI算力提供方，监管机构可要求其定期提交推理证明档案，以核实算力资源确实用于已审批模型的推理任务。FlashProve使得“算力挪用训练”或“绕行审批流程”等高危行为可以在无需访问商业模型权重的前提下被有效审计，为行业监管提供了全新的技术抓手。

4. 如何使用

1. 环境准备与前置条件： 对验证者（Verifier）而言，仅需一台可运行C++程序的普通Linux机器即可。对证明生成端（Prover）则要求严格：需配备单张空闲的NVIDIA H100 80GB GPU，操作系统建议为Linux，并已安装CUDA 13.2或更高版本的驱动与工具链（注意FlashProve对CUDA版本有特定要求，非最新版即可）。此外，在仓库根目录下需以普通用户身份操作，避免权限问题导致构建失败。

2. 克隆与构建验证器： 首先从官方仓库 https://github.com/anthropics/FlashProve 执行 git clone 获取源码。进入仓库根目录后，运行 verifier/build.sh 脚本编译C++验证器。构建成功的标志是终端输出 THE VERIFIER IS BUILT 字段，并确保退出代码为 0。若持续失败，需检查依赖库（如 OpenSSL 对应密码学库版本）是否满足构建要求。

3. CPU侧功能自检： 构建完成后，执行 bin/cp_verify 并传入 examples/accepted-proof 目录下的参数样例，检查自带证明样本是否被正确接受（末尾输出YES）。随后运行 blocks/first_look.sh 进行证明库测试，确认诚实生成的证明会被接受，而人为伪造的证明会被明确拒绝，以此验证当前环境功能正常。

4. GPU端完整流程运行： 在满足前置条件（H100 80GB、CUDA 13.2）的机器上，运行 examples/quickstart-gpu.sh 脚本。该脚本将自动执行一个端到端的演示：对一个小模型请求完成提交（Commit）、证明（Prove）和验证（Verify）的完整链路。该脚本是验证自身硬件环境是否兼容的最佳途径。

5. 真实模型证明核验： 当服务商提供了承诺 ID（Commitment ID）、请求（Request）、输出（Token）和证明（Proof）文件后，使用命令 bin/cp_verify CONFIG PUBLIC_KEY REQUEST TOKEN PROOF -id COMMITMENT_ID 进行核验。特别注意：承诺ID必须来自服务商官方发布的可信渠道（如官方网站或公开声明），若从非可信第三方渠道获取该ID，则验证本身失去意义，因为攻击者可同时伪造承诺。

6. 结果判读与异常处理： 命令执行完毕后，系统返回数字退出码。退出码0且末行为YES表示证明有效，输出确由承诺模型生成；退出码1表示拒绝（证明无效或内容被篡改）；退出码5表示未得出明确结论，允许重试一次；其他退出码（如2、3、4等）通常代表调用参数错误或文件路径问题，需检查命令行参数格式。

5. 优缺点分析

6. 同类工具对比

选型建议： 对于需要在生产环境中提供可验证AI输出的商业API服务商，FlashProve是目前唯一具备工程运行可能性的开源选项，尽管其开销较大，但可以借鉴其MoE激活感知和流式执行思路。对于学术研究团队或希望探索zkML极限边界的开发者，VerInf提供了完整的理论框架参考，但其资源消耗尚不具备实际应用价值。而对于非强监管的常规业务，传统日志审计配合随机的抽查仍是最经济的选择，引入密码学证明带来的性能和成本负担仍需权衡。

7. 编辑总结

FlashProve的出现，标志着零知识证明技术在大模型推理验证领域迈出了从“学术构想”走向“真实模型运行”的关键一步。其技术创新的核心在于将证明成本与MoE模型的实际激活参数挂钩，而不是与模型的静态总参数量耦连，这一设计思路极大地压缩了证明生成的复杂度，使得400B参数的Llama 4 Maverick在单张H100上可以跑出约110 tokens/s的证明速度，为后续的zkML系统优化提供了新的范式。从实用性角度看，虽然70至95倍的GPU时间开销让该系统难以适用于高频低价值的推理场景，但它为高敏感度、强监管或高溢价的服务提供了机器可检查的信任锚点——这恰恰是目前透明度严重不足的第三方API中转市场最稀缺的资源。FlashProve适合三类用户重点关注：一类是提供高价值模型API服务的厂商，可借此增强客户信任；一类是从事大模型安全、审计和评测的技术团队，能够获得独立验证服务商声明的新型工具；另一类则是关注可验证计算与前沿密码学应用的科研人员，该系统的开源代码和Lean 4形式化证明为后续研究提供了高质量的基础。尽管目前仍标注为研究原型，但FlashProve已经清晰展示了可验证AI推理的工程路径，其后续在降低证明开销、支持更多模型架构和提升实时性方面的演进，将可能重塑AI服务业在透明度与信任机制上的标准。

8. 常见问题FAQ

Q：FlashProve能证明模型输出的内容是正确的或高质量的？
A：不能。FlashProve的证明机制仅提供密码学层面的来源保证，即确认某次输出确实由承诺所指定的模型权重计算产生。它不涉及输出内容的事实性、逻辑正确性、安全性或价值判断，该证明无法替代内容审核或人工质检流程。

Q：使用FlashProve需要为每一条推理请求都生成证明吗？
A：取决于具体架构设计。FlashProve采用的是批量事后证明机制，即在推理完成之后统一生成证明，而非逐Token实时内联生成。因此适合需要留存审计证据的请求，但对于需要实时交互或流式输出的应用，该机制将导致证明阶段产生显著的额外延迟。

Q：验证一份证明需要什么样的硬件条件？
A：验证过程非常轻量。验证者仅需一台可运行C++验证器的普通Linux机器（CPU即可，约24线程时17秒），无需任何GPU或专用密码学硬件。约19MB的证明文件传输成本亦较低，这使得第三方审计、监管机构的介入门槛大为降低。

Q：如果服务商更换了模型权重，但没有改变承诺ID，用户会发现吗？
A：在承诺性质上会。FlashProve的承诺是与特定模型权重绑定的。如果服务商实际运行的权重与承诺所指的权重不一致，即便拥有合法签名的证明亦无法通过验证。但需要警惕威胁模型边界：若攻击者完全控制服务商并同时替换权重和承诺ID，且将此信息通过官方渠道发布，用户无法察觉；因此承诺ID务必从可信的官方途径获取。

Q：FlashProve能否在非H100的GPU上运行？
A：官方目前的演示脚本（quickstart-gpu.sh）明确要求单张空闲的H100 80GB和CUDA 13.2环境。更小显存的显卡或消费级GPU（如RTX 4090）是否可运行需自行验证，由于该方案依赖将模型按层流式送入GPU的机制，显存容量是决定性约束，非Hopper架构的硬件兼容性未得到官方保证。

Q：项目目前是否可用于商业生产环境？
A：官方将其定位为研究原型，并非生产级服务。主要体现在证明生成开销过高（约为普通推理的70至95倍GPU时间）、批量证明导致的时延以及流式执行带来的工程部署复杂度。商业应用需在权衡成本与信任价值后进行谨慎评估。

9. 项目地址

• 产品官网（Anthropic Research）： https://www.anthropic.com/research/provable-inference
• GitHub 开源仓库： https://github.com/anthropics/FlashProve
• 技术论文（PDF）： https://assets.claude.com/8e1d181a83015078581c92d896757041713f0160.pdf