Прототип Anthropic доказывает, какая модель написала ответ

Anthropic вместе с исследователями из EPFL и MIT 4 ноября показала FlashProve. Система прикладывает к ответу языковой модели криптографическое доказательство того, что эти токены выдала именно та модель, чьи веса провайдер заранее зафиксировал, а проверить его можно на обычном процессоре за секунды, не видя весов. Цифры при этом сняты в узких условиях (Llama 4 Maverick в 4-битных весах, окно до 1 024 токенов, жадное декодирование), и сама компания называет FlashProve исследовательским прототипом и промежуточным результатом.

Сценарии компания называет сама. Независимому оценщику нужно знать, что он тестирует ту же модель, которая обслуживает пользователей. Клиенту роутера нужно знать, что токены пришли от оплаченной модели. Провайдеру нужно знать, что на его серверах работают нужные веса, которые не подменил атакующий или сама модель. Код прувера и двух верификаторов, доказательства на Lean с интерактивным визуализатором теорем и спецификацию протокола, написанную Claude, Anthropic открыла под лицензией Apache 2.0; подробности есть в посте Anthropic и техническом отчёте. Улучшения в схеме доказательств, по словам компании, нашёл Claude, а чтобы его решения можно было проверить, итоговые гарантии безопасности сформулированы и доказаны на Lean.

В Frontier Safety Roadmap Anthropic обещала к 30 сентября 2026 года прототип, который «подписывает» ответы и привязывает их к конкретным весам. Эту цель, как сообщает компания, закрыл другой проект: он подписывает трафик и пересчитывает инференс на доверенном сервере. FlashProve идёт к той же цели чисто программно, без доверенного железа.

Как устроена проверка

Провайдер один раз публикует коммитмент - короткий отпечаток, который однозначно фиксирует конкретные веса, но не раскрывает их. Для Maverick эта офлайн-фаза занимает около 39 минут, и коммитмента хватает примерно на 16 миллионов запросов, после чего его нужно делать заново. Дальше на каждый запрос прувер выдаёт файл, который доказывает одно утверждение: зафиксированная модель на этом промпте выдаёт ровно эти токены.

Клиенту GPU не нужен. Он скачивает коммитмент, около 6,5 МБ, и по одному доказательству на запрос. Проверка занимает 17 секунд на 24 потоках и 21 секунду на одном, включая проверки офлайн-фазы. Доказательство не раскрывает ни веса, ни промежуточные значения, ни то, какие эксперты сработали на каждом слое. Архитектуру модели система скрывать и не пытается.

Внутри работает zkSNARK, класс доказательств с коротким сертификатом, который проверяется несравнимо быстрее самого вычисления; такие же стоят в L2-сетях вроде Starknet. Интерактивное доказательство компилируется в криптографическое через хеш-функции, что, по словам авторов, даёт и постквантовую стойкость. Скорость дают инженерные решения. Работа прувера пропорциональна примерно 17 млрд параметров, которые участвуют в токене, из 400 млрд. Запросы доказываются пачками и задним числом, одним параллельным проходом по готовому тексту, как при префилле. Веса лежат в обычной памяти и подгружаются по частям, поэтому хватает одной GPU на 80 ГБ и около 290 ГБ оперативной памяти рядом, хотя квантованная модель весит около 232 ГБ.

Во что обходится доказательство

Прувер работал на сервере с одной H100 и 24 ядрами CPU. Пачку из 24 запросов он доказал примерно за 223 секунды, что даёт 110 токенов в секунду, и каждое доказательство весит 18,78 МБ. Платить приходится GPU-временем. Для сравнения Anthropic запустила vLLM с FP8-версией той же модели на восьми H100: в пересчёте на одну GPU доказательство пачки заняло примерно в 72 раза больше времени, чем её обработка в vLLM (от 66 до 77 в разных прогонах), и примерно в 94 раза больше при самой высокой из опробованных нагрузок на vLLM.

Предыдущая система, которая доказывала ту же модель, VerInf, тратила 14,3 часа на 1 000 токенов на DGX Spark и выдавала доказательство на 93,6 ГБ, которое проверялось почти сутки. Файл FlashProve примерно в 5 000 раз меньше. Из коммерческих систем Anthropic приводит Attestable: 53-77 токенов в секунду на одной H100, но на плотной Gemma 4 31B, и открытой библиотеки Attestable на момент публикации не выпустила.

Где прототип заканчивается

Доказывается целочисленная версия опубликованных весов, и доказательство утверждает, что каждый проверенный токен - жадный выбор этой модели. Ответ из реализации с плавающей точкой или с семплированием может в какой-то позиции разойтись с доказанным вычислением. По тестам Anthropic, целочисленная версия держится в пределах небольшой доли ошибок от обычного инференса, но эта оценка не распространяется на промпты, подобранные злонамеренно.

Контекст пока всего до 1 024 токенов, при том что у фронтирных моделей окна в сотни тысяч и миллионы токенов. Система предполагает, что модель устроена как MoE, и на этом строит свою скорость. Атаки по побочным каналам, например замер времени генерации доказательства, могут выдать что-то о весах, и авторы вынесли их за рамки релиза. Доказательства строятся задним числом, так что гарантия о трафике приходит с задержкой. А регулятору, который проверяет, что железо занято инференсом, сертификаты покажут именно это, но не докажут, что на том же железе параллельно никто не обучает модель.

Для повседневной проверки авторы предлагают C++-верификатор. Формальных гарантий у него нет, хотя в тестах он совпал с Lean-верификатором на каждом доказательстве. Lean-версия медленнее, зато доказано, что она принимает только то, что принимает верификатор из теоремы о стойкости. Совпадение Lean-протокола, статьи и быстрого кода авторы не гарантируют, а сокрытие весов зависит от прувера, которого на Lean нет: проверять его эквивалентность Anthropic оставляет самому провайдеру, через аудит людьми или агентами.