Anthropic выпустила FlashProve: доказательство, что ответ дала именно ваша LLM

Вы заплатили за топовую модель, а сервис-посредник по дороге заменил её на дешёвую. Заметить это по тексту ответа почти невозможно: качество может быть вполне приличным. Anthropic выпустила исследовательский прототип, который пытается закрыть эту дыру криптографией.

Что именно сделали

Система называется FlashProve. Идея такая: провайдер модели заранее публикует «отпечаток» своих весов (commitment). Сами веса при этом остаются секретом. Потом к каждому ответу он прикладывает короткое доказательство вида zkSNARK, что именно эти зафиксированные веса на этот промпт дали именно эти токены. Пользователь проверяет доказательство на обычном CPU, без весов и без мощного железа.

Представьте нотариальную печать на каждом ответе модели. Печать нельзя подделать, а нотариус не видит содержимого сейфа с весами.

Цифры

Тестировали на Llama 4 Maverick: 400 млрд параметров, mixture of experts, 4-битная квантизация. Одна H100 генерирует доказательства примерно со скоростью 110 токенов в секунду. Размер доказательства около 19 МБ на запрос в 1024 токена. Это в 70–95 раз больше GPU-времени, чем у самой модели на vLLM. По словам авторов, прошлые открытые системы медленнее на порядки.

Часть работы выполнил сам Claude: оптимизировал систему. Но такие решения трудно проверять в сложном коде, поэтому ключевые гарантии безопасности оформили в виде утверждений на Lean, языке формальной верификации. Их можно аудировать отдельно, для этого есть визуализатор. Выпущены пять артефактов: пост, технический отчёт, описание протокола, код (prover, быстрый верификатор на C++ и проверенный на Lean) и сами доказательства. Лицензия Apache 2.0.

Зачем это нужно

Авторы называют четыре сценария:

• Пейсинг ИИ: регулятор проверяет, что железо реально крутит инференс заявленной модели, а не обучает что-то на стороне.
• Защита от подмены: компания убеждается, что на её серверах работают те самые веса, даже если сервер взломан или модель подменяет сама себя.
• Происхождение текста: можно доказать, что код проверяла именно сильная модель. Например, «Proof-of-Failure»: модель потратила не меньше миллиона токенов и не нашла багов в патче.
• Одобрение моделей: регулятор проверяет, что в проде только разрешённые модели.

Отдельно Anthropic упоминает свою Frontier Safety Roadmap с целью сделать прототип к 30 сентября 2026. Эту цель закрыли другим, смежным проектом: трафик подписывается, а инференс пересчитывается на доверенном сервере. FlashProve идёт к той же цели другим путём.

Ограничения

Само по себе решение не готово для продакшена. Накладные расходы в десятки раз по GPU-времени делают его неприменимым для каждого запроса в обычном чате. Архитектура модели не скрывается, скрыты только веса. Доказательство не показывает, что железо не занимается обучением параллельно. Сами авторы называют работу промежуточным результатом, а не законченной программой.

Есть и альтернатива: доверенные аппаратные среды (TEE) опираются на производителя чипов, а здесь безопасность держится на вычислительной сложности криптозадач. Авторы считают подходы взаимодополняющими.

Что делать на практике

Если вы строите роутер, агрегатор моделей или API-прокси, следите за этим направлением: через пару лет клиенты могут потребовать доказуемость подлинности модели. Если вы делаете аудит или оценку безопасности моделей, уже сейчас стоит посмотреть, как Lean-спецификации помогают проверять утверждения. Для остальных вывод проще: проверяемый инференс из теории перешёл в стадию работающего прототипа с открытым кодом, и его можно пробовать и улучшать.