Anthropic开源FlashProve：用zkSNARK证明AI回复来源

AI模型究竟是不是你声称的那一个？这个问题在模型托管、API调用和开源权重分发的场景里，一直缺乏可验证的答案。Anthropic 给出的方案是 FlashProve——一个以 Apache 2.0 协议开源的 zkSNARK 原型，目标很直接：证明某条回复确实来自一个已承诺（committed）的权重集合，同时不泄露权重本身。

FlashProve 解决的是什么问题

大模型推理长期处于"信任但无法验证"的状态。用户调用一个 API，只能相信服务商宣称的模型版本和参数；开源社区分发权重时，接收方也无法确认对方的输出是否真由这份权重生成。模型指纹、水印、行为特征比对都属于间接手段，无法给出密码学意义上的确定性结论。

FlashProve 走的是零知识证明路线。它将"这条回复由这份权重计算得出"转化为一个可验证的数学命题，验证方无需接触权重即可判断真伪。对于需要审计AI输出来源的场景——比如合规审查、模型溯源、供应链安全——这类原语具有基础性价值。

zkSNARK 是“零知识简洁非交互式知识论证”的缩写，属于零知识证明的一类构造。它允许证明者向验证者证明自己知道某个满足特定关系的秘密输入，而不泄露该输入本身；同时证明体积很小、验证时间很短，且无需证明者与验证者多次交互。其“简洁”特性正是 FlashProve 能把证明体积压到 19 MB 量级的关键。zkSNARK 通常依赖多项式承诺与椭圆曲线配对等密码学工具，电路规模越大、证明生成开销越高，这也是它此前难以覆盖大模型推理负载的原因。

权重承诺（weight commitment） 是一种密码学绑定机制：模型提供方对全部权重计算一个简短的承诺值（类似哈希摘要，但具备隐藏性和绑定性），公开该承诺值而不公开权重。此后任何声称“使用这份权重”的推理，都必须能生成与该承诺值一致的证明。验证方只需持有承诺值，就能确认输出对应的正是被承诺的那份权重，而无需下载或检查权重的任何一个参数。这使信任锚点从“相信服务商自述”转移到“数学上可校验的承诺”，并且承诺值体积极小，便于在模型分发、版本登记和审计记录中流转。

性能数据：单卡 H100 上的可行性

Anthropic 公布的原型指标值得注意。FlashProve 在单张 H100 上对 Llama 4 Maverick 完成证明，吞吐为 110 tokens/second，证明体积 19 MB。

这组数字的意义在于它把零知识证明从"理论上可行"推向了"工程上可用"的区间。此前的可验证推理方案往往在证明生成时间或证明大小上付出巨大代价，难以覆盖实际推理负载。110 tokens/second 意味着证明生成速度已经接近部分实际服务的输出节奏，19 MB 的证明体积也处于可传输、可存储的范围。需要说明的是，这是原型阶段的公开数据，距离生产级部署仍有距离。

Llama 4 Maverick 是 Meta 发布的 Llama 4 系列中的混合专家（MoE）模型，参数量达数千亿级，采用稀疏激活架构，每次前向计算只调用部分专家。作为 FlashProve 原型演示的目标模型，它代表了当前开源权重中规模较大、结构较复杂的一类。选择 MoE 模型作为证明对象，意味着电路需要处理专家路由等动态计算路径，难度高于稠密模型；同时“单卡 H100 完成证明”的表述说明原型并未依赖多卡并行，对硬件门槛的控制是其实用性叙事的一部分。

技术路径与开放策略

FlashProve 以 Apache 2.0 许可证发布，这一点在 Anthropic 的产品序列里并不常见。选择宽松开源许可，意味着研究者和企业可以自由修改、集成甚至商用，这有助于可验证推理生态的快速形成。

从设计取向看，FlashProve 把"权重承诺"作为信任锚点：模型提供方先对权重做密码学承诺，推理时生成证明，验证方只需持有承诺值即可校验。这种结构与现有的模型分发流程可以解耦，不需要改变推理引擎的内部实现，降低了落地门槛。

zkSNARK 方案本身也有固有约束。证明生成会带来额外计算开销，电路设计需要适配不同模型架构，权重的承诺机制依赖可信设置或透明设置的取舍。FlashProve 作为原型，更多是在验证这条路线的工程可行性，而非提供完整的生产方案。

可信设置与透明设置 是 zkSNARK 系统在初始化阶段的两种取舍。可信设置需要一组参与方共同生成公共参数，只要有一方诚实即可保证安全，但引入了“一次性信任仪式”的假设；透明设置则不需要任何秘密，仅依赖公开随机性，安全假设更干净，但通常带来更大的证明体积或更高的验证开销。FlashProve 的权重承诺机制具体采用哪一种，直接决定其安全模型强弱与工程成本，这也是原文指出“依赖可信设置或透明设置的取舍”的原因，公开信息中尚未明确其选择。

对行业的影响

FlashProve 触及的是AI供应链的信任基础设施。如果可验证推理的成本继续下降，几类场景会直接受益：模型托管平台可以向客户证明自己没有偷偷替换模型；开源模型发布者可以附带可验证的输出凭证；监管与审计环节则获得一种不依赖服务商自述的技术手段。

对 Anthropic 自身而言，开源这样一个与核心商业模型无直接冲突的密码学工具，既能积累可验证AI领域的话语权，也能推动行业对模型溯源标准的讨论。真正的考验在于后续能否把原型推进到覆盖更多模型架构、更低证明开销的阶段。

仍需观察的问题

FlashProve 的公开信息集中在一个模型、一组性能指标上。多模型适配性、不同精度设置下的证明表现、承诺机制的安全假设，都还没有充分披露。19 MB 的证明体积在大规模并发场景下的带宽成本也需要评估。

可以确定的是，把密码学证明引入大模型推理链路，已经从论文概念进入了可运行原型的阶段。FlashProve 是否会成为标准组件尚不可知，但它提出的问题——如何在不暴露权重的前提下证明输出归属——会成为可验证AI绕不开的基础议题。