Anthropic（Frontier Red Team）於 11 月 2 日開源發布 FlashProve，一套以 zkSNARK（零知識簡潔論證） 為核心的「可驗證推理（provable inference）」研究原型，正面回應一個日益尖銳的問題：當你呼叫一個 LLM API 時，如何確信回應真的來自宣稱的那個模型？
運作原理
FlashProve 採用「承諾與證明（commit-and-prove）」兩階段設計，涉及模型提供者（prover）與使用者（verifier）兩方：
- 離線階段：提供者對模型權重發布一組簡短的密碼學承諾（commitment，用戶端約需下載 6.5MB），釘住「唯一一組權重」而完全不揭露內容；單次承諾在「1 張 H100 + 24 核心 CPU」上約需 39 分鐘，可支撐約 1,600 萬次請求，之後需重新承諾。
- 線上階段：每次推論後，GPU 產生一份證明檔，宣稱「這組承諾權重針對該提示確實產出這些輸出 token」。任何持有承諾、提示與回應的人，都能在普通 CPU 上於約 17–21 秒內完成驗證——無需權重、無需 GPU、無需重跑模型。
證明具備零知識特性：除「推論正確」外，不揭露權重、中間運算或 MoE 的專家路由選擇。系統以雜湊函數建構並經 Fiat–Shamir 轉化，宣稱具後量子安全；其安全性主張另以形式化驗證語言 Lean 4 撰寫成可稽核的定理。
效能數據（Llama 4 Maverick）
- 測試對象為 Meta Llama 4 Maverick（400B MoE、每 token 活化約 17B 參數）的公開 4-bit 量化權重，以整數運算確保跨機器位準一致。
- 單張 H100 約 110 token／秒（24 請求批次約 223 秒）；每份 1,024-token 請求的證明約 18.78MB。
- 對比先前開源 zkML 系統快上數個數量級（如 VerInf 在 DGX Spark 處理 1,000 token 需 14.3 小時）；但生成證明的成本仍是純推論（vLLM）GPU 時間的約 70–95 倍。
為何重要
FlashProve 直接回應兩類風險。第一，模型替換（model substitution）：若 API 供應商將流量偷偷換成較便宜的小模型，使用者難以察覺；有了綁定權重承諾的證明，替換者必須對「正確權重」產生有效證明才能蒙混過關，這亦限制了攻擊者竊取權重後冒充服務的空間。第二，權重外洩與審計：Anthropic 近日在 S-1 中披露為防範權重外洩而延遲新模型預訓練逾一個月；可驗證推理正是「證明你跑的是什麼模型」的能力基礎，對 Agent 生態、企業合規與模型認證（model attestation）意義深遠。
局限
- 成本高昂：生成證明耗費約 70–95 倍於推論的 GPU 時間，目前僅適用高價值、低頻率場景；上下文亦限於每請求 1,024 token。
- 研究原型：官方 GitHub 明確標示「未維護、未經獨立審計」，宜視為可行性驗證而非生產組件。
- 覆蓋範圍有限：暫僅支援 Llama 4 Maverick 規格的 MoE 模型，且模型架構本身不在隱藏範圍內。
對香港開發者與企業而言，FlashProve 的意義在於：「模型身分證明」正從理論走向可執行原型——當關鍵流程交由外部或第三方模型執行時，未來或可要求附上「可驗證的推理證明」，而非僅信任供應商的 SLA 承諾。
本文信息來源：Anthropic（FlashProve 技術報告與研究部落格）、GitHub。