Anthropic FlashProve：證明回答你的是哪個模型

你剛剛問了一個問題，畫面上回了一段文字。你怎麼知道回答你的，真的是你以為的那個模型？

這聽起來像是吹毛求疵，但它其實是整個 AI 服務鏈上最沒被處理的一個空白。你在某個應用裡選了標示為高階的那個模型，中間經過一層路由服務、一層 API 轉售、一層企業內部閘道，最後吐出來的字串上面沒有任何標記。它可能真的來自你選的模型，也可能來自某個便宜五倍、品質差一截的替代品，而你永遠不會知道。

2026 年 11 月 3 日，Anthropic 發布了一份研究貼文，提出一套叫 FlashProve 的原型，試圖把這個空白補起來：用密碼學證明「這段輸出確實由這個模型產生」，而且不必公開模型權重。程式碼、技術規格與 Lean 形式化證明都以開源授權放上 GitHub。

Photo by Olha Vilkha on Unsplash

問題不是模型不夠好，是沒人能查

Anthropic 的研究者把問題講得很直白：今天任何人送一個請求給 AI 模型，都沒有辦法驗證被選中的那個模型真的生成了這段回應。

這個空白至少有三種被利用的方式。

第一種是往下換。服務商或中介為了壓低成本，偷偷把請求導去較便宜的模型。使用者端看不出差別，帳單照舊，品質悄悄縮水。對於靠模型做法遵審查、合約比對、醫療文獻整理這類工作的團隊來說，這不只是花冤枉錢，而是結論的可信度整個被抽掉底。

第二種是往上換。這一種比較少被提到，但 Anthropic 特別點名了：在跑評測或展示成績時，把請求導去更貴、更強的模型，讓報出來的數字比實際服務好看。評測本來就是靠自陳，沒有驗證機制，這種作法幾乎無從查核。

第三種是被動竄改。模型沒換，但伺服器被入侵、傳輸過程被插手，輸出在路上被改掉。業者自己也查不出來。

還有一層更遠的問題：第三方的宣稱。研究者舉的例子是，某個軟體函式庫宣稱已經由某個前沿的資安模型掃描過。使用者要怎麼驗證這句話？今天的答案是：不能，只能信。

做法：給模型一枚指紋，給每個回應一張收據

FlashProve 用的技術是 zkSNARK，一種零知識簡潔證明。整體流程拆成兩段。

第一段是模型方替自己每一個發布的模型產生一枚指紋，這枚指紋由權重計算而來，公開出去，但反推不出權重本身。這點很關鍵——閉源商業模型最值錢的就是權重，如果驗證機制要求公開權重，那整套機制從一開始就不會有人參加。

第二段是每次產生回應時，順便附上一份精簡的證明。拿到這份證明的人，可以用一般電腦比對指紋，確認這段輸出確實由那個模型跑出來，而過程中看不到權重的任何內容。

Anthropic 自己用的類比是電子郵件的 DKIM 簽章：收件方可以確認這封信真的來自宣稱的寄件網域。FlashProve 想做的是同一件事，差別在於它連「跑這個模型的實驗室本人」都要能防——也就是說，業者不能自己偽造一份證明說某段輸出來自某個模型。

Photo by Abror Alarice on Unsplash

數字：快了很多，但還是慢得離譜

零知識證明套在大型語言模型上，最大的問題一直是成本。這也是 FlashProve 這次真正的進展所在。

測試對象是 Meta 的 Llama 4 Maverick，4,000 億參數。在單張 H100 GPU 上，證明生成速度約為每秒 110 個 token；產生出來的證明檔約 19 MB；用一般 CPU 驗證約需 17 秒。

對照組是先前的開源方案：處理 1,000 個 token 要超過 14 小時，證明檔 93.6 GB，驗證幾乎要花掉一整天。兩相比較，差距以數量級計。

但換個角度看，這套機制相對於一般推論，額外成本大約是 70 到 95 倍。也就是說，每生成一段附帶證明的回應，背後要燒掉大約七十倍以上的算力。對一般的聊天或客服場景，這個代價完全不成比例；只有在「證明本身比回答更值錢」的場合，這筆帳才划得來。

Photo by OMAR SABRA on Unsplash

三道還沒跨過的門檻

Anthropic 自己把限制列得很清楚，這份坦白值得一提。

一、上下文只到 1,024 個 token。現在主流模型的上下文動輒數十萬 token，1,024 大概只夠放一段短對話。真實世界的長文件審查、程式碼庫掃描，目前完全不在射程內。

二、藏得住權重，藏不住架構。指紋機制保護的是權重數值，模型的底層架構仍然會暴露。對某些實驗室來說，架構本身也是機密。

三、只支援貪婪解碼。這一條可能最致命。FlashProve 目前只能處理「每一步都挑機率最高的那個 token」的生成方式，而我們日常用的聊天機器人幾乎都開著隨機取樣（temperature 大於零），同一個問題問兩次答案就不一樣。這部分要怎麼納入證明，還沒有解。

Anthropic 也說得很清楚：目前沒有在 Anthropic 或任何其他實驗室部署 FlashProve 的計畫。研究者在貼文裡寫道，這篇是分享階段性進展，不是一份完成的研究議程；他們公開的目的，就是希望其他人拿去看、拿去改。

背後還有一條路線

值得注意的是，這不是 Anthropic 在這個題目上的唯一嘗試。

該公司的 Frontier Safety Roadmap 原本就把「2026 年 9 月前做出推論驗證原型」列為目標，而 Anthropic 表示這個目標是由另一個專案達成的——那條路線的作法是替推論流量簽章，並在一台可信任的伺服器上追蹤運算過程。

兩條路線的差別在信任的落點。可信硬體路線速度快、可用性高，但你必須相信那台伺服器、相信製造晶片的廠商、相信整條供應鏈沒有被動手腳。FlashProve 走的是純密碼學路線，不需要任何可信硬體，代價就是那七十到九十五倍的算力。

一邊是快但要信人，一邊是慢但只要信數學。短期內顯然是前者會先落地，但後者是那種一旦成本降下來，就會重新定義遊戲規則的東西。

誰會先需要這個

從目前的規格推，最先用得上的不會是一般使用者，而是以下幾類場景。

監管機關。各國陸續出現「高風險應用只能使用通過審查的模型」這類規定。目前稽核方式仰賴業者自行申報與文件佐證，而驗證機制可以讓稽核從「看文件」變成「驗數學」。

有舉證責任的企業。如果一家公司必須向客戶或主管機關證明某份程式碼確實經過特定安全模型審查，一份可驗證的證明比一句宣稱有力得多。

服務商自保。業者也可以用這套機制偵測自家伺服器是否被竄改——如果某段輸出的證明對不上，代表中間出了問題。

比較遠的，是整個 AI 中介層。隨著模型路由、代理人編排、多模型混用成為常態，「這段輸出到底是誰生的」會變成一個越來越頻繁被問到的問題。

一點觀察

FlashProve 現在還不是一個能用的東西，這點必須講清楚。1,024 token 的上限、不支援隨機取樣、七十倍的成本，任何一條都足以讓它離生產環境很遠。

但它標誌的方向值得注意：過去三年，AI 產業的信任幾乎完全建立在品牌與自陳之上。某家實驗室說它的模型分數是多少，我們就信；某個服務說它用的是哪個模型，我們也只能信。這在技術還在爆炸成長、大家忙著比大小的階段是可以接受的，但當 AI 開始被塞進法遵、醫療、金融這些有舉證責任的環節，「信任」就必須變成「可驗證」。

密碼學在網路上做過一次同樣的事。HTTPS 剛出現時也被嫌慢、嫌麻煩、嫌沒必要，二十年後它成了預設值。AI 的輸出會不會走上同一條路，現在下結論還太早，但至少有人開始認真算這筆帳了。

而對任何正在把 AI 嵌進自己流程裡的團隊來說，眼下更實際的一件事或許是：如果你透過中介服務取用模型，你手上有沒有任何方法可以確認，你付的錢和你拿到的東西是同一個等級的？今天這個問題的答案多半是沒有。知道這一點，本身就有價值。