Сегодня пользователь не может понять, не подменил ли маршрутизатор незаметно модель на более дешёвую и не вмешался ли злоумышленник в ответы. FlashProve решает эту проблему с помощью «доказуемого инференса». Провайдер публикует отпечаток весов своей модели. Затем к каждому ответу прилагается криптографическое доказательство того, что он получен именно с этими весами.
По словам Anthropic, доказательство ничего не раскрывает о самих весах. Это важно для таких лабораторий, как Anthropic и OpenAI, которые держат свои веса в закрытом доступе.
«Эта исследовательская публикация призвана поделиться промежуточными результатами, а не завершённой исследовательской программой». Anthropic
Насколько это быстро
FlashProve использует разновидность доказательства с нулевым разглашением под названием zkSNARK. Anthropic протестировала систему на открытой модели Meta Llama 4 Maverick — модели типа mixture-of-experts с 400 млрд параметров. Один Nvidia H100 генерировал доказательства со скоростью около 110 токенов в секунду, при этом размер доказательства для каждого запроса в 1 024 токена составлял около 19 МБ.
По данным Anthropic, это в 70–95 раз больше GPU-времени, чем при обычном запуске модели. Проверка доказательства занимает около 17 секунд на обычном CPU — без GPU и без доступа к весам. Как говорится в публикации, единственное ранее полученное доказательство для той же модели потребовало 14,3 часа на 1 000 токенов.
По словам Anthropic, в создании системы помогал Claude. Поскольку решения Claude бывает сложно проверить, команда записала ключевые гарантии безопасности в виде машинно проверяемых доказательств на Lean — языке формальной верификации. Код распространяется под лицензией Apache 2.0.
Применение и ограничения
Anthropic видит несколько вариантов применения. Независимые оценщики, которые уже тестируют модели лабораторий, смогут подтверждать, что тестируют именно ту модель, которая обслуживает пользователей. Клиенты сервисов маршрутизации смогут проверять, что получили оплаченную модель, а не более дешёвую или дистиллированную. В этом году лаборатории уже обвиняли конкурентов в кампаниях по дистилляции.
Регуляторы также смогут проверять, что чипы провайдера обслуживают одобренные модели. Это связывает работу с призывом Дарио Амодеи регулировать темп развития передовых систем ИИ.
У прототипа есть очевидные ограничения. Он поддерживает контекст всего в 1 024 токена — намного меньше, чем используют чат-боты. Он работает только с моделями типа mixture-of-experts и скрывает веса, но не архитектуру модели. Не защищает он и от атак по времени.
Как сообщает TechCrunch, планов внедрять систему ни в Anthropic, ни в какой-либо другой лаборатории нет. Anthropic заявила, что достигла собственной цели по верификации выходных данных моделей в рамках отдельного проекта, который подписывает трафик и перепроверяет его на доверенном сервере.
Опубликовано 5 ноября 2026 - 06:26 Наверх
