Anthropic abre o FlashProve: verifique em 17 segundos se a resposta veio do modelo correto

Voce paga por um modelo de ponta, mas recebe algo suspeitosamente simples. Verificar o que aconteceu e quase impossivel: os pesos sao fechados, a resposta parece plausivel e um roteador entre voce e o provedor pode substituir discretamente o modelo por outro mais barato. A Anthropic disponibilizou o FlashProve como codigo aberto, na primeira tentativa de tornar esse tipo de verificacao pratico.

Como funciona

A ideia lembra um selo de cartorio. O provedor publica antecipadamente uma impressao digital dos seus pesos, ou seja, um compromisso criptografico que nao permite recuperar os proprios pesos. Em seguida, anexa um arquivo de prova a cada resposta. Se a prova corresponder a impressao digital publicada, isso significa que a resposta foi calculada exatamente por aquele modelo, com aqueles pesos.

Quem faz a verificacao nao precisa dos pesos nem de uma GPU. Um computador comum e suficiente. Por baixo do capo esta o zkSNARK, um metodo criptografico conhecido ha bastante tempo: ele permite provar que um calculo foi executado corretamente sem revelar os dados de entrada do proprio calculo, que neste caso sao os pesos.

Imagine que voce use um servico agregador que promete responder por meio do modelo mais poderoso. Sem um protocolo como esse, voce precisa confiar na palavra do servico. Com o FlashProve, voce recebe a resposta e um arquivo, verifica tudo em segundos e sabe com certeza que nao houve substituicao.

O que mudou, em numeros

O zkSNARK em si nao e novidade. A novidade e ter conseguido leva-lo a velocidades praticas. Segundo a Anthropic, a prova para uma solicitacao de 1.024 tokens ocupa cerca de 19 MB, enquanto a verificacao leva aproximadamente 17 segundos. O resultado anterior nessa area exigia cerca de 14 horas de verificacao e gerava uma prova de 93 GB. A diferenca e de varias vezes no tempo e de varias ordens de grandeza no tamanho, tudo isso em modelos de ate 400B parametros.

Um detalhe a parte: o artigo afirma que Claude foi o principal responsavel pelo trabalho de aceleracao e otimizacao. Isso nao prova que a abordagem seja universal, mas mostra que modelos ja estao ajudando em trabalhos de engenharia criptografica de baixo nivel.

Para que isso serve na pratica

O primeiro cenario envolve servicos de roteamento e proxies. Se voce desenvolve um produto sobre um agregador, pode exigir uma prova e confirmar que nao recebeu um modelo barato no lugar daquele que foi anunciado.

O segundo cenario e a seguranca dentro da empresa. Se invasores substituirem um modelo no ambiente corporativo, a divergencia em relacao a impressao digital publica revelara a troca.

O terceiro envolve setores regulamentados, nos quais e importante provar a um auditor qual modelo especifico tomou determinada decisao.

Limitacoes

A principal e que tudo isso ainda custa muito mais do que a inferencia convencional. Gerar uma prova e computacionalmente pesado e, por enquanto, nao e viavel habilitar o recurso para cada solicitacao em producao. Uma verificacao de 17 segundos e 19 MB por solicitacao pode funcionar em auditorias por amostragem, mas nao em um chat em tempo real. Alem disso, o protocolo e descrito como um prototipo, o que significa que ainda sao necessarias verificacoes independentes da implementacao e a adesao dos provedores: sem a publicacao da impressao digital dos pesos, nao ha nada para verificar.

Por fim, o protocolo confirma a identidade do modelo, mas nao a qualidade nem a seguranca das respostas.

O que fazer

Se voce esta desenvolvendo um agregador ou gateway, examine o repositorio e pense em como incorporar uma verificacao por amostragem, por exemplo, em um percentual aleatorio das solicitacoes. Se voce compra inferencia de revendedores, comece a exigir clausulas de verificabilidade nos contratos. E, se o seu produto atua em um setor regulamentado, mantenha a tecnologia no radar: dentro de um ou dois anos, a exigencia de inferencia verificavel pode se tornar a norma.

O autor da publicacao original brinca que, a partir daqui, nao falta muito para surgir um detector da origem dos textos. Por enquanto, isso e especulacao, mas a direcao e clara: sair da confianca baseada apenas na palavra e adotar garantias verificaveis.