用数学证明回复出自哪个模型：Anthropic 开源 FlashProve，自己暂不部署

你付的是旗舰价，收到的是谁的回答

调用大模型时，用户能看到的只有一个模型名和一段文字。后端是不是真跑了那个模型，外面的人基本查不了。TechCrunch 转述的研究人员场景大致有三类：

• 服务商为了省成本，悄悄把请求路由到更便宜的模型；
• 反过来，跑分时临时换上更贵的模型，把测试成绩做高；
• 第三方宣称「我们的代码库经过前沿安全模型扫描」，或者「商业计划已由某个模型审过」，别人无从核对。

值得多看一眼的是威胁模型的范围：研究人员希望它连训练并运营该模型的实验室本身也能防住。也就是说，这套东西防的不只是外面的冒牌货，发起方把自己也放进了被怀疑的名单。这个立场比功能本身更有意思，因为大模型行业长期以来的默认安排，是用户相信厂商的一句「我们没换」。

类似给邮件签名，难点在证明这一步

TechCrunch 用加密邮件签名打了个比方。按 GitHub 上的说明，实际流程分三步：

• Commit：服务商发布承诺 ID，把服务绑定到一组权重，依赖权重的公开数值都经过掩码（少数例外另有文档列出）；
• Prove：每次回复，服务商的 GPU 额外生成一份证明；
• Verify：任何人用 cp_verify 在 CPU 上几秒验完，全程不接触权重。

验证便宜、证明昂贵，这是零知识证明的常见分工，也是它一直难以用到大模型上的原因：这类模型的计算量太大。论文第六节的标题就是在单张 GPU 上跑 4000 亿参数的模型，算是这个项目最想展示的成绩。协议的可靠性在 Lean 4 里做了形式化证明，服务商作弊被放过的概率约为 q/2^124 + 2^-101，q 是哈希查询次数。

一张 H100 能做到什么程度

README 的性能表用的不是 Claude，而是 Meta 开放权重的 Llama 4 Maverick，这也说明它眼下还是一份能公开复现的研究材料，而不是 Claude 的线上功能：

• 全尺寸模型、1024 token 上下文、单张 H100：预填充约 110 tokens/s（batch 24）；
• 4-bit 量化的真实权重 232 GB，搭建需要 330 GB 内存、245 GB 磁盘，耗时数小时；
• 每个承诺可服务的批次有上限，全尺寸默认设置下约 68.8 万批，到顶不会预警，也不能延长。

最后这条很容易被漏掉。68.8 万批对实验足够，放到每天处理海量请求的商业服务上就得频繁换承诺，而承诺 ID 恰恰需要用户从可信渠道拿到，换得越勤，分发和核对就越麻烦。

项目文档自己列出的保留意见

比起宣传语，guide/known-limits.md 这份已知局限更值得读。里面有几条直接影响对验证结果的理解：

• 被证明的是量化后的定点「整数模型」，不是原始浮点模型；一次 Python 实现的测量里，两者的首选 token 有 6.81% 的位置不同，这个差距不在任何证明之内；
• 服务商可以承诺任意模型，包括很小或退化的模型，所以承诺 ID 必须来自可信方，不能来自被检查的服务器；
• 验证结果为 WITHIN LIMITS 并不等于回复就是该模型的输出，文档建议评估不了限制时只接受精确匹配；
• 被截断的回复可能当作较短回复通过，要自己检查结束 token；
• 权重隐藏只是「预期」成立，没有证明，也没有独立安全审计。

第二条决定了这套方案的边界：它能证明「这段话出自承诺 ID 对应的那组权重」，但那组权重是不是用户以为的 Opus 或 Sonnet，还得靠厂商公开声明。信任并没有消失，而是从每次调用挪到了一次发布上，这已经是不小的进步，只是和「不用相信任何人」还差一截。

还有一个小小的反差：研究人员对 TechCrunch 说，公开的目的是让别人拿去改进；仓库页面则标明这是不再维护、不接受贡献的研究成果。想接着做的人只能 fork。至于最大的悬念，文档回答不了：愿意为每条回复多掏一份 GPU 成本来自证清白的，大概率本来就没换模型，而真正想偷换的那些，又有什么理由接入？