Anthropic开源新工具:AI模型也能验明正身

这是Anthropic最近在研究的问题。它公开了一个叫FlashProve的开源系统，目标很具体：用密码学方法证明，某个输出确实来自指定的模型。

它解决的是什么问题

大多数时候，用户调用AI服务，看不到背后发生了什么。

你买的是某个顶级模型的API，但服务商完全可以在后台把你路由到一个更便宜的模型，返回一个看起来差不多的答案。成本降下来了，你付的钱没变。你很难发现，因为你没法验证。

反过来，也有人在借模型的名头。一家公司可以说“我们的代码被顶级安全模型扫描过”，一个开发者可以说“这个方案由前沿模型审过”。这些说法听起来很有分量，但外部通常缺少可靠、可独立验证的工具。

FlashProve想做的就是这件事：让“这个输出来自这个模型”变成一句可以被验证的话，而不是一句只能被相信的话。

它怎么工作

模型厂商为每个发布的模型生成一个密码学承诺，可以理解为一枚针对这组权重的“指纹”。这个指纹不会泄露模型权重，也不以隐藏模型架构为目标。当模型产生输出时，系统可以生成一个密码学证明，把输出和这组被承诺的权重对应起来。用户拿到证明，可以在本地设备上验证。

Anthropic的研究人员打了个比方：这就像电子邮件的密码学签名，收件人能确认消息真的来自声称的发件人。

FlashProve的特别之处在于，在模型厂商已经对外承诺某组权重、并提供验证机制的前提下，用户可以发现输出是否被替换。即使提供服务的就是模型公司本身，只要它希望用户能够验证输出，就不能在不被发现的情况下，把承诺模型的输出替换成另一组权重生成的结果。

不过，这套机制有一个前提：模型指纹必须能与一个可信的模型名称和版本对应起来。FlashProve能证明输出来自哪一组被承诺的权重，但模型名称与这组权重之间的对应关系，仍需要可信的发布机制来建立。换句话说，它证明的是“这段输出来自这组权重”，不是“这组权重就是它宣称的那个模型”。

为什么这件事值得关注

因为模型正在变成一种被调用、被转售、被蒸馏、被封装的东西。

企业采购AI服务，越来越难从输出结果直接判断模型身份。两个不同的模型，回答同一个问题的质量可能很接近。一个被微调过的开源模型，输出风格可能和闭源模型几乎一样。当模型能力越来越接近，靠“看起来像”来判断“是不是”，已经不靠谱了。

这就产生了一个新的信任问题：不只是“这个模型好不好”，还有“我用的是不是这个模型”。

模型身份验证，可能会成为AI基础设施里一个独立的一层。就像云服务有SLA，有审计日志，有合规证明，AI模型也需要一种机制，能证明某次输出确实由承诺的模型权重生成。

但要泼一盆冷水

FlashProve现在还是一个研究项目，不是已经上线的商业产品。Anthropic公开了技术规格和部分代码，希望社区继续研究，但没有宣布要在Claude服务里部署它。GitHub仓库目前标注为“Not maintained”，它是一个研究原型，不是正在积极迭代的成熟开源项目。

它证明的是模型身份和输出来源，不是回答本身正确。一个输出被证明来自某个模型，不代表这个答案是准确的、安全的、合规的。它只回答“是谁说的”，不回答“说得对不对”。

它依赖模型厂商主动发布指纹。如果一家公司不愿意公开指纹，这套系统就没法用在它身上。对闭源模型厂商来说，发布指纹虽然不等于公开模型权重，但仍意味着需要建立一套可供外部验证的模型版本登记机制。这愿不愿意做，是商业选择，不是技术问题。

还有一个更实际的问题：性能和成本。FlashProve已经公布了原型测试数据。测试对象是Meta的Llama 4 Maverick，一个4000亿参数的MoE模型，采用4-bit量化。单张H100 GPU每秒可以生成约110个token的证明，每个1024-token请求对应的证明文件约19MB。但生成证明所需的GPU时间，是直接运行模型的约70到95倍。验证端不需要GPU，可以在CPU上完成，24线程验证一次约需17秒。

这说明它已经展示了技术可行性，但距离低成本、大规模部署还有距离。尤其是在实时推理场景中，证明生成带来的额外算力开销，可能成为商业化的一道门槛。

模型身份验证是不是一个伪需求

有人会说，用户真正关心的是答案好不好，不是哪个模型说的。如果便宜的模型回答得一样好，为什么要验证？

这个质疑有道理，但它忽略了几种场景。

第一，企业采购。一家公司花高价买顶级模型的API，如果服务商偷偷换成便宜模型，这是商业欺诈。身份验证是采购合同执行的一部分。

第二，模型评测。研究者比较不同模型的能力，如果无法确认输出到底来自哪个模型，评测结果就不可信。

第三，责任归属。当一个AI系统出了事故，需要追溯是哪个模型、哪个版本、在什么配置下产生的输出。身份验证是追责的基础。

这些场景不一定需要每个普通用户都用上FlashProve，但它们是真实存在的需求。

真正的信号

Anthropic做FlashProve，指向一个正在出现的问题：AI模型的可信，不只是能力可信，还包括来源可信。

当模型可以被调用、转售、蒸馏和封装，产业需要的不只是一套衡量“谁更聪明”的评测，还需要一套验证“这个输出到底是谁产生的”机制。

更准确地说，AI模型的可信度，正在从“输出是否正确”扩展到“服务是否按承诺运行”。模型身份验证不是要替代模型评测，而是补上模型服务链条中的可验证性。

FlashProve未必会成为标准，它现在只是一个研究项目，性能开销也还不适合大规模部署。但它提出的问题是真实的：在一个模型越来越像、越来越容易被替换的市场里，怎么证明你拿到的东西，真的来自你以为的那个地方。

模型需要身份证。这个需求，可能比我们以为的更早到来。