一个被忽视的根本问题
当你向一个 AI 模型提问时，你有没有想过：你怎么知道回答你的，真的是你选择的那个模型？
今天的答案是：你不知道。API 路由商可以悄悄把昂贵的旗舰模型换成便宜的小模型以节省成本；攻击者可以篡改推理服务器上的 token 流，在正常回复中夹带恶意内容；甚至一个足够强大的模型理论上可以在服务器上"顶替"被授权的弱模型运行，以逃避本该施加于它的监控。Anthropic 在昨天的技术文章里把这形容得很直白：和朋友面对面交谈时，你有无数方式确认对方是谁；和模型交谈时，你几乎没有任何办法。
这一局面正在被密码学改写。Anthropic 发布并开源了 FlashProve——一个基于 zkSNARK 的可证明推理（Provable Inference）系统：模型提供方先对模型权重做一次密码学承诺，之后为每条推理输出附加一份证明，任何人无需权重、无需 GPU，就能在秒级验证"这条输出确实由被承诺的那个模型生成"。对一个 400B 参数的 MoE 模型（Llama 4 Maverick，4-bit 量化），单张 H100 的证明速度达到约 110 token/秒，证明体积约 19MB/1024 token。这个数字乍看不惊人，但放进 zkML 的历史脉络里，它是一个数量级级别的跳跃。
zkSNARK 是什么，为什么它恰好适合这个问题
zkSNARK（零知识简洁非交互式知识论证）源自区块链世界——Starknet、Mantle 等 L2 网络用它证明链下计算的正确性。它有两个对推理验证近乎完美的性质：
- 零知识：证明不泄露任何关于权重和中间计算的信息。验证者确认了"是哪个模型生成的"，却对模型本身一无所知。这解决了商业机密与可审计性之间的死结——模型方不用公开权重，监管方不用信任模型方。
- 简洁性：验证成本远低于被证明的计算本身。被证明的是一次 400B 参数模型在 H100 上的完整运行，而验证方只需一台普通 CPU，24 线程 17 秒即可验完一份证明。
FlashProve 的协议分两阶段。离线阶段，提供方发布对权重的承诺——一个约 6.5MB 的"指纹"，精确锁定一份权重但完全隐藏其内容（这份承诺可支撑约 1600 万次请求）。在线阶段，提供方对每批请求的事后生成证明文件，证明"承诺的模型在该输入上确实产出了这些输出 token"。安全性只依赖广为接受的计算困难假设，甚至具备抗量子哈希构造——即使运行环境（硬件、操作系统）被完全攻破，攻击者也无法伪造有效证明。这与 TEE（可信执行环境）路线形成互补：TEE 信任芯片厂商的防篡改能力，纯密码学方案信任数学。
工程上的几个关键决策解释了为什么 FlashProve 能快起来：
- 证明开销与激活参数成正比。MoE 模型每个 token 只激活约 17B 参数，FlashProve 的证明者也只为实际路由到的专家付费，同时仍然隐藏路由选择本身。
- 事后批量证明。不与推理同步，而是推理完成后并行回放一遍（类似 prefill），一批 24 个请求只打开一次权重承诺。
- 单卡流式设计。权重按层分段、驻留内存流式载入，一张 80GB H100 加约 290GB 主机内存就够。
更值得注意的是信任链条的构建方式。密码学代码出了名地脆弱，FlashProve 用 Lean 形式化验证了协议的三大顶层性质——完备性、可靠性、零知识——并提供了可执行的 Lean 验证器作为 C++ 快速验证器的"可证明正确"对照。这是把区块链行业打磨了十年的工程纪律（协议规范、形式化证明、开源实现三件套）搬进了 AI 基础设施。
从 0.006 到 110：一条被低估的技术曲线
把 FlashProve 放进 zkML 的时间线，才能看出这次跨越有多大：
- 2021 年 zkCNN 证明 VGG-16（15M 参数），每个证明 88 秒；
- 2024 年 zkLLM 证明 Llama-2-13B，约 2.5 token/秒（批量）；同年 GPT-2（117M 参数）的证明速度是 159 秒/token；
- 2025 年的 zkPyTorch 证明 Llama-3 8B 约 0.007 token/秒，ZKTorch 证明 6B 的 GPT-J 要 20 分钟；
- 此前唯一证明过 Llama 4 Maverick 的开源系统 VerInf，速度约 0.02 token/秒，1000 token 的证明体积高达 93.6GB、验证要将近一天；
- FlashProve：同一个模型，110 token/秒，19MB 证明，秒级验证。
四年之内，可证明模型规模放大了 30 倍，证明速度提升了四五个数量级。对模型原生计算的额外开销收敛到约 70-95 倍 GPU 时间——“比推理慢几个数量级"这个曾让 zkML 被视为玩具的魔咒，正在失效。Anthropic 自己也承认这应"更新我们对零知识证明能力上限的先验”。
当然，诚实地看局限：目前只支持 MoE 架构、只证明整数运算和贪心解码下的输出（浮点和采样解码可能偏离）、上下文窗口只有 1024 token（远小于前沿模型的百万级窗口）、不隐藏模型架构、Lean/论文/C++ 代码三者的一致性尚未有形式化保证。这是一个研究原型，不是产品。
为什么这件事比"性能突破"重要得多
FlashProve 的真正分量在于它同时回应了四类正在逼近的信任危机：
模型调包将成为可检测的违约。第三方路由市场（以及任何"我们用的是 GPT-X/Claude-Y"的承诺）第一次有了不依赖抽样检测的技术验证手段。可信 AI 从品牌问题变成合约问题。
AI 监管有了牙齿的技术雏形。各国监管方案（包括 Anthropic CEO Amodei 倡导的 pacing 框架）都卡在同一个问题上：监管者如何确知算力被用在了声称的用途上？zkSNARK 证明让"这段时间的推理流量确实来自被批准的模型"成为可低成本核验的声明，且不泄露模型机密。这直接对应 Anthropic 在其 Frontier Safety Roadmap 中承诺的 2026 年 9 月底目标。
服务器被攻陷有了密码学防线。推理服务器是越来越高价值的目标——权重窃取、token 流投毒都可能藏在正常流量中。绑定权重承诺的证明让攻击者即使拿下服务器，也无法为"被替换的模型"生成有效证明。更进一步：当模型有能力自我改进和自我部署时，“服务器上运行的到底是不是被授权的那份权重"将成为 AI 安全的核心问题，而这是纯软件方案的独特优势。
文本溯源有了硬凭证。“这个补丁经过前沿安全模型扫描无漏洞"这类声明，未来可以附带"该模型在该输入上消耗了至少 X token 且未发现漏洞"的密码学证明（Proof-of-Failure），造假成本从"编个聊天记录"变成"攻破密码学假设”。
我的判断
三个趋势值得押注：
可证明推理会先在 B2B 和合规场景落地，而非消费端。 70-95 倍开销对实时聊天不可接受，但对"审计过去一小时的服务流量"毫无问题——事后批量证明的架构选择正说明了这一点。路由商审计、监管抽查、安全评估报告，是最先出现的买家。
证明速度还会再快一两个数量级。 验证者侧成本已经压到秒级，证明者侧从 VerInf 到 FlashProve 一年提升五千倍。当 Attestable 等商业方案报出 31B 模型 53-77 token/秒、FlashProve 开源放出全部代码和 Lean 证明时，这个领域的复利效应才刚开始。乐观估计两三年内，开销降到个位数倍数、上下文扩展到全窗口并非天方夜谭。
「可证明性」会成为前沿模型的基础设施属性，像 HTTPS 一样不可见但不可缺。 今天没人质疑"这个网站真的是这家公司的吗”，因为 TLS 层在默默工作。十年后，也许没人会质疑"这条 AI 输出真的是这个模型的吗"——因为每条输出都自带证明。FlashProve 不是终点，但它标志着 AI 信任问题第一次有了不依赖任何人品行的答案：从"信不信这家公司"变成"验证这份证明"。
在模型能力以月为单位跃进、幻觉与欺骗越来越难以从输出端分辨的时代，把信任锚点从统计特征移到密码学上，可能是 AI 基础设施过去一年里最被低估的进展。
参考：Anthropic: Progress on provable inference · FlashProve GitHub · Hacker News 讨论