AI 说人话：「可证明推理」是什么——给 AI 的回答按个手印，证明它没被掉包
· AI Hot 编辑部
你付钱调用的，真是约定的那个模型吗？本文解读 Anthropic 于 2026 年 11 月 2 日发布的 FlashProve 研究：它尝试给推理过程附上可验证的密码学证明。这是对当次研究发布的解释，不是新的产品上线消息。
「可证明推理」（provable inference）是让模型厂商给每次回答附一份密码学证明：你能用一台普通 CPU 在十几秒内确认「这段输出确实是承诺过的那组权重算出来的」，同时完全看不到权重。Anthropic 11 月 2 日开源了原型 FlashProve，用 zkSNARK 实现：单张 H100 约 110 token/秒，单个证明 18.78 MB，24 线程验证 17 秒。代价是比直接推理慢 70 到 95 倍，而且目前只支持 1024 token 上下文、整数模型的贪心解码、MoE 架构，还是研究原型，没有在任何实验室部署。
只看一段回答，你很难知道背后跑的是不是约定的模型。Anthropic 在 2026 年 11 月 2 日发布 FlashProve 研究，尝试用密码学证明补上这道缺口：先承诺模型，再证明输出确实由它计算。本篇解释的是这次研究发布及其边界，不代表今天又有了新的部署进展，也不是说回答内容因此就一定正确。
1. 发生了什么
11 月 2 日，Anthropic 的 Frontier Red Team 挂出研究博客《Progress on provable inference for large language models》，同时开源了技术报告、Claude 写的协议规范、可执行代码、顶层数学陈述的 Lean 证明和一个可视化页面。全部 Apache 2.0 授权。
作者里有 EPFL 密码学学者 Alessandro Chiesa、MIT 的 Miranda Christ。原文点明：协议规范是 Claude 写的，Lean 安全性质也是 Claude 参与推导的。
边界先摆出来——这不是产品发布，是研究原型。原文写着：研究仍在进行中，Anthropic 没有计划在自家或任何其他实验室部署它。
2. 人话翻译：它到底在解决什么问题
先说痛点。今天你调 API，回答背后是哪个模型，你基本没办法确认。原文列了几种场景：你花钱买的模型可能被中转路由换成便宜的；有人改了 token 流塞恶意内容，光看输出发现不了；评测方测试时得确认被测的就是线上那个；公司宣称「代码被前沿模型扫过」，你也没法验证。
共同点是：光看输出不足以判断来源。要判断，你得拿到权重自己跑一遍。
「可证明推理」要解决的就是这一步：用普通 CPU 在十几秒内确认「这段输出确实是这组权重算的」，同时完全不知道权重长什么样。
3. 概念翻译：zkSNARK 是一张什么收据
原文用的技术叫 zkSNARK，全称 zero-knowledge succinct argument of knowledge。三个词拆开看：
零知识：收据不泄露模型内部任何信息——不泄露权重、不泄露中间值、也不泄露每层激活了哪几个专家。架构本身不隐藏。
简洁：被证明的那次计算要跑几十分钟，收据只有约 19 MB，24 线程 CPU 十几秒就验完。这是眼下能用的关键。
知识：不是厂商签个名了事，是一份可验证的计算正确性证明。想伪造一张有效收据，等价于破解被广泛接受的密码学假设，实际做不到——你不需要相信厂商，跑一下验证器就行。
流程分两步。离线阶段，厂商发布一份 commitment，相当于权重的「指纹」，锁死是哪组权重，权重本身仍藏着。在线阶段，针对具体请求生成证明，证明「这组权重在这段 prompt 上算出来的就是这些 token」。
跟邮件签名比：DKIM 告诉你「这封邮件确实来自这个域」，zkSNARK 证明的是「这个计算确实被正确执行了」。
4. 数字到底什么水平
实测用的是 Llama 4 Maverick（Meta 的 400B 参数 MoE 模型，4-bit 量化），证明端跑在单张 H100 上，验证端只用 CPU：证明速度约 110 token/秒；单个证明文件 18.78 MB；24 线程验证 17 秒、单线程 21 秒；离线承诺约 39 分钟跑一次，覆盖约 1600 万次请求。
代价明摆着：证明比直接推理贵 70 到 95 倍 GPU 时间。对照实验用 vLLM 跑同一模型的 FP8 版（八张 H100），按每张卡折算慢约 72 倍，满载时约 94 倍。跟旧作比进步是真的猛：VerInf 证明同一个 Llama 4 Maverick 要 14.3 小时跑 1000 个 token，验证要接近一天。原文说这套开销「大约两个数量级，比以前预期的小得多」。
5. 它现在还管不了什么
原文列的限制很实在，翻译一下：只能证明 1024 token 的上下文，跟几十万、几百万 token 的现代窗口比很小。证明的是整数版模型加贪心解码，真实服务多用浮点加采样解码，某个位置对不上整张收据便不成立。
架构没隐藏，系统还假设模型是 MoE 结构。稠密模型同样常用，厂商也不想暴露架构。侧信道攻击不在范围内。
是事后证明（post-hoc），不是边算边证明。好处是可以慢、可以晚点再给保证；坏处是延迟、重算复杂度，还有原文说的「非确定性」。
最要紧的两条：它只能证明「这段输出由这组权重算出」，证明不了「这台机器没在偷偷训练别的模型」；以及 Lean 证明、论文、那份快速 C++ 代码三者不保证一致，日常用的 C++ 验证器没有形式化保证。
6. 下一步怎么做
按角色分。只是用 AI：现在什么都不用做。
做 AI 应用、且用第三方中转路由：这是你该盯的方向。原文说的「你付钱买的模型是不是真的那个」正是路由场景的核心风险，可以先在合同和验收里加一句：能不能提供推理证明。
做评测：原文提到 Anthropic 在 Frontier Safety Roadmap 里公开承诺过 9 月 30 日前做出推理验证原型，已用「给推理流量签名 + 在可信服务器上重算」的相关项目达成。那个目标名在 10 月 19 日改成了「inference verification」。
做安全或合规：价值在两处——证明输出没被篡改，以及原文说的 Proof-of-Failure：厂商可以证明自己在某个指定模型上花了至少 X 个 token，而且确实没找出某个漏洞。
想动手的：代码在 GitHub 上是 Apache 2.0，权重不在发布里，要自己去 Hugging Face 按 Meta 的 Llama 4 许可下载。
常见问题
可证明推理能证明模型「没在偷偷训练」吗？
不能。原文在讲 AI 发展节奏监管那一节直接写明：这套证明能验证「硬件在跑推理」，但不能确立「硬件没有在顺带训练模型」。想要这层保证，得靠别的手段。
现在能用它验证 Anthropic 或 OpenAI 的回答吗？
不能。这是开源研究原型，Anthropic 明说没有计划在自家或任何其他实验室部署它。你现在能拿到的是代码、技术报告和协议规范，不是每条回答都附着的证明文件。
这跟给 AI 回答加个数字签名有什么区别？
邮件签名（DKIM 那类）证明的是「谁签的」；zkSNARK 证明的是「这个计算确实被正确执行了」。前者你得相信签名人，后者不需要相信厂商——但前提是你手里同时有承诺文件和验证器，而这两样目前都不在普通用户的口袋里。
「可证明推理」这名字听着像吹牛，但它对应的痛点是真的——今天你花的钱和拿到的答案之间，隔着一个你验不了的环节。Anthropic 这次把账摊开给了：110 token/秒、19 MB、17 秒验证、70 到 95 倍开销，还有一堆没解决的限制。先别当产品用。