Anthropic 在 2026 年 11 月公開 FlashProve 技術報告與程式碼，示範如何替大型語言模型的推論附上密碼學證明。報告以 Llama 4 Maverick 為例：提供者先對一組模型權重作出承諾，收到提示後，再為模型輸出產生證明，讓使用者檢查輸出是否符合先前承諾的權重。這項研究原型要處理的問題很具體：API 回傳了答案和模型名稱，使用者能不能獨立確認，後端確實執行了所宣稱的模型？
這也延伸了開放權重模型的部署檢查。想從網路與工具權限確認本機模型的行為，可參考開放權重模型本機部署的五項檢查；FlashProve 處理的是權重不公開時如何核對推論，仍不會自動建立完整信任鏈。
FlashProve 原型展示了什麼？從模型證明看信任問題
FlashProve 示範在模型權重不公開時，仍能驗證特定提示與輸出是否符合一組已承諾的權重。它目前是研究原型，報告數字描述特定測試設定，不代表一般 AI API 已能直接提供這項功能。
一般 API 使用者通常只能讀到服務商回報的模型名稱，無法直接檢查推論伺服器載入哪個權重檔。若服務商更換較小模型、路由到另一個版本，或伺服器遭到入侵，光看答案文字未必能察覺。FlashProve 把「相信服務商標示的模型名稱」轉成「拿到可獨立檢查的密碼學證明」：驗證者不需取得權重，也不必自行執行大型模型。
Anthropic 以 Llama 4 Maverick 測試。依 Meta 官方模型說明，它是混合專家模型，總參數 400B，每個 token 啟用 17B 參數。公開的 4-bit 權重轉成整數模型，在一張 H100 GPU 上產生證明。每個 1,024 token 請求窗口的基準設定只檢查一個指定輸出 token；24 個請求一批約 223 秒，每份證明約 18.78 MB。若檢查回覆中的每個 token，按受檢 token 計約每秒 39.1 個。兩種速度的分母不同。
模型提供端的一次性離線階段約需 39 分鐘，產生承諾與相關檔案；使用者端只需 CPU，報告所列 24 執行緒驗證時間約 17 秒。這些是原型的實測，不是服務等候時間保證：FlashProve採取事後產生證明，回答可先送達，證明稍後才完成。Anthropic 在技術報告中將其定位為「對可驗證推論目前能力的一次展示」，而非完成的產品研究計畫。
「FlashProve 展示了現階段可驗證推論能做到什麼。」（Anthropic 研究團隊，技術報告中文譯述）
模型身分證明怎麼運作？先承諾權重，再驗證回答
驗證者需要模型承諾、原始提示、模型回覆與對應證明。證明成立時，代表該回覆符合被承諾權重在指定運算條件下的推論結果；可信度仍取決於承諾來源是否可靠。
「承諾」可理解為權重的加密指紋。提供者固定權重版本並發布承諾，日後可證明計算沿用同一組權重，卻不必把權重交給使用者。收到請求後，提供者以提示與輸出建立證明，使用者交由驗證器檢查：輸出是否符合承諾所指向的模型計算？
流程有兩個前提。第一，承諾須由可信管道發布，例如可查的版本清單、獨立稽核紀錄或合約約定的模型識別碼；若服務商只提供無法交叉確認的承諾，驗證器仍可能替不明對象背書。第二，須明訂證明涵蓋哪些輸入、輸出和推論設定。FlashProve 以整數量化權重與貪婪解碼為核心；浮點推論或隨機取樣可能產生不同輸出，需另訂處理方式。
零知識描述證明揭露資訊的範圍。FlashProve 報告表示，證明不揭露模型權重和中間計算資訊，但模型架構本身並非隱藏目標。這項性質不表示答案正確、符合事實、沒有偏見或足夠安全。模型可能忠實地對已承諾權重完成推論，卻仍產生錯誤答案。就像簽章能確認檔案來自某個金鑰，不能替檔案內容背書，推論證明也只回答它明確定義的命題。
FlashProve 與既有研究差在哪裡？效能數字要連條件一起看
不能只按每秒 token 數排列。模型大小、硬體、量化、被證明的 token 數、批次方式與證明範圍都會改變結果，應先確認比較的是同一種工作。
2021 年，Tianyi Liu、Xiang Xie 與 Yupeng Zhang 研究如何在不揭露模型資訊下驗證卷積神經網路的預測。他們提出 zkCNN，並在 1,500 萬參數的 VGG16 上產生預測證明，耗時 88.3 秒、證明大小 341 KB、驗證需 59.3 毫秒；論文也展示了以同一模型證明 20 張影像準確度的做法（ACM 論文）。這是卷積模型的研究案例，與後來大型語言模型的推論證明面對不同運算結構。
2024 年，University of Waterloo 的 Haochen Sun、Jason Li 與 Hongyang Zhang 發表 zkLLM，處理大型語言模型權重不公開時如何驗證完整推論。他們以 CUDA 實作，在 13B 參數模型上為完整推論產生證明，耗時不到 15 分鐘、證明小於 200 KB（論文原文）。這項結果對應特定模型與完整推論設定，和 FlashProve 使用 400B 總參數的混合專家模型、批次證明指定輸出 token 的工作並不相同。
FlashProve 則把驗證推進到大型混合專家語言模型。Anthropic 的研究團隊以 Llama 4 Maverick 展示承諾權重、為輸出產生證明及由 CPU 驗證的流程，並報告在指定批次與量化條件下的效能。三項研究分別處理卷積網路預測、13B 語言模型完整推論，以及大型混合專家模型的指定推論證明，呈現了問題規模與方法逐步擴展的路徑。
FlashProve 的特殊設計也來自其證明範圍：它把大型混合專家模型的權重分段處理，並讓同批請求共享部分工作；證明可事後重算，不必卡在使用者等待回答的即時路徑。代價是提供端要多耗 GPU 時間，產生與保存證明檔，使用者需等待驗證結果。報告以 FP8 版本的 vLLM 作為一般推論對照，估計同批證明所需 GPU 時間約為一般推論的 70 至 95 倍。這反映研究原型的額外成本，不是所有模型服務導入後都會固定付出相同比例。
「我們將事後證明視為縱深防禦的一環。」（Anthropic 研究團隊，技術報告中文譯述）
| 研究案例 | 模型與條件概況 | 公布的結果 | 閱讀時要注意 |
|---|---|---|---|
| zkCNN（2021） | VGG16 卷積網路，1,500 萬參數 | 預測證明 88.3 秒，證明 341 KB，驗證 59.3 毫秒 | 研究對象是卷積網路預測 |
| zkLLM（2024） | 13B 參數語言模型，CUDA 實作 | 整段推論證明不到 15 分鐘，證明小於 200 KB | 與 FlashProve 的模型和證明工作不同 |
| FlashProve（2026） | Llama 4 Maverick，4-bit 整數權重、單張 H100 | 批次 24 個請求約 223 秒，每份證明約 18.78 MB | 基準設定每個請求窗口檢查一個 token；全 token 測試速度另計 |
API、代理流程與第三方稽核可以怎麼使用模型證明？
API 可把證明與回答、提示和權重承諾關聯；代理流程可逐次記錄模型呼叫；第三方可抽查證明與失敗紀錄。每種整合都要先定義責任人與證明缺漏時的處理方式。
在 API 服務裡，使用者除回覆外還需取得承諾識別碼、證明及驗證方式。服務商須說明承諾代表哪個版本、生效與撤換時間。若版本變更卻沿用舊名稱，驗證可能通過，實際版本卻與使用者理解不同。承諾清單要留版本紀錄，回覆也須把請求 ID、提示、輸出和證明綁定，供稽核者查驗。
代理可能呼叫多個模型、工具和資料來源。FlashProve 類證明只核對一次模型推論，不會自動證明代理未改寫提示、未呼叫未授權工具、工具資料正確，或流程符合政策。稽核時須為每次模型呼叫保留證明，再以可信日誌串起工具紀錄和決策。這也呼應代理任務經驗的評估，須分辨模型、工具與外部記憶的責任。
第三方稽核可抽查證明、承諾發布者與失敗紀錄。事後生成代表服務商可能先回覆、晚些才交證明；若證明失敗，回答可能已被使用。合約須明訂證明延遲或缺席時的暫停、通知、留存紀錄與修復責任。模型更新後評測可參考重新驗證步驟。
原型距離產品部署還有哪些關卡？用六項問題評估
先核對承諾由誰發布、證明涵蓋哪些模型與運算設定，再評估驗證器、延遲成本及失敗處理。只確認證明有效，還不足以判斷服務整體可信。
- 追查承諾來源：模型版本識別碼是否由可信管道發布，第三方能否獨立查驗與比對更新紀錄？
- 界定證明範圍：提示、回覆、模型版本、權重量化、解碼方式及批次條件，哪些明確納入證明？
- 確認推論是否一致：服務端實際輸出與被證明的整數或量化模型可能不同嗎？差異如何檢查與告知？
- 檢查驗證器的可信邊界：使用哪個版本的程式？程式碼是否公開，形式化證明覆蓋到哪一層，執行環境還需要信任什麼？
- 估算營運成本與延遲：證明生成所需 GPU、證明檔傳輸儲存、使用者驗證時間和模型版本重新承諾成本，是否能配合服務量？
- 預先訂定失敗流程：證明未到、無效或模型版本更動時，誰暫停使用、通知客戶、留存日誌並啟動稽核？
公開版本仍有研究限制：報告指出，部分形式化零知識證明尚未涵蓋批次情境；GPU 證明者和 CPU 快速驗證器由 AI 從 Lean 表示生成，未證明與規格完全等價。另提供 Lean 驗證器作為較高保證選項。協定性質經形式化，不代表部署中的每段程式都受同等驗證；評估成熟度仍須分看協定、實作、硬體、日誌和營運責任。
- FlashProve 把模型權重固定成可核對的承諾，讓驗證者在不取得權重的情況下檢查特定推論。
- 證明不代表答案正確、安全，也不涵蓋代理的工具呼叫；承諾來源、推論設定與失敗流程仍需另行治理。
對 AI 系統驗證、模型治理或工作流程整合有興趣，可從承諾發布、證明交付、驗證失敗責任這三個環節開始討論與試行。
常見問題：模型身分證明的限制
不能。它核對的是輸出是否符合特定承諾模型在指定條件下的推論，不判斷內容是否符合事實或是否安全。
常見問題
Q1：零知識證明能保證 AI 回答正確嗎？
不能。有效證明表示答案符合被承諾權重的計算結果；模型仍可能產生錯誤、偏誤或不適當內容。
Q2：驗證者需要取得模型權重嗎？
不需要。FlashProve 的設計讓驗證者使用模型承諾、提示、輸出和證明進行檢查，權重仍由提供者保管。
Q3：FlashProve 現在能直接用在一般 AI API 嗎？
公開版本定位為研究原型。API 服務仍需整合承諾發布、證明傳遞、版本管理、驗證器和失敗處理，不能把原型實測視為已普遍支援。
Q4：模型證明能驗證代理整段工作流程嗎？
不能。單次模型推論證明不涵蓋代理的提示改寫、外部工具呼叫、工具資料或日誌完整性；這些環節要用其他紀錄與控制方法稽核。
