TechMoon 科技月球
WordPress、SEO 與 AI 工具實測指南
Anthropic 開源 FlashProve，讓 AI 回覆附上可驗證的模型身分
Anthropic 於 2026 年 11 月 2 日發布並開源 FlashProve：單張 H100 能為 Llama 4 Maverick 的回覆產生與權重綁定的 zkSNARK 證明，普通 CPU 約 17 到 21 秒驗完；但證明的是整數版模型的貪婪解碼，一般 vLLM 回覆在精確比對下 0 條通過，證明開銷約 70 到 95 倍，近期定位是稽核與抽查工具而非逐則回覆保證。
用 AI 摘要這篇文章：
11 月 2 日，Anthropic 在官方研究頁發表《Progress on provable inference for large language models》，搭配一個已於 10 月 30 日建立、Apache-2.0 授權的開源儲存庫 FlashProve。一句話講完這次發布的變動本體：模型供應商現在可以用密碼學證明，替每一則回覆背書「這是那一組權重算出來的」，而驗證這份背書只需要普通電腦的 CPU 與十幾秒。
判斷先講：這是把「模型身分可驗證」從論文裡的理論演示，推進到稽核現場可用速度區間的一次跳躍，但它證明的對象與成本結構，決定了近期的位置是評測機構與採購方的抽查工具，還輪不到消費者逐則驗證自己收到的回覆。要理解這則新聞的分量，關鍵不在 110 這個數字，而在「證明的是什麼」與「要價多少」兩條邊界。
誰該現在關注，誰可以照常生活
官方研究頁給出的四個應用情境，正好畫出受影響族群。獨立評測機構需要在發布前後確認受測版本與實際供應版本一致；透過路由服務採買模型的企業，採購契約若要綁定「實際供應的模型版本」，現在多了可查核的證據形式；需要向監理者證明「算力確實用於推論服務」的供應商，能用批次證明覆蓋一段時間內的請求，而且監理端查驗時拿不到任何專有模型資訊；資安場景涵蓋攻擊者入侵伺服器、或更強的模型冒充獲授權的弱模型來躲過監控的情況，因為攻擊者交不出對得上預期權重的有效證明。
官方還畫了一個更遠的想像：開發者宣稱「前線資安模型掃過這個套件沒找到漏洞」時，可以附上花了至少一定 token 數、且在指定模型上運算的證明，讓「用過哪個模型」本身變成可查的宣稱。這類用法離落地更遠，但顯示這套技術的射程不止於防調包。
一般使用者近期不需要做任何事。FlashProve 是研究原型，官方在儲存庫標明不維護、不接受貢獻，也未宣布任何 Claude 產品整合；它支援的是 Llama 4 Maverick 這種混合專家架構（MoE）模型，產生證明需要 x86-64 Linux 加一張 H100，與日常 API 呼叫隔著好幾層。監理情境裡官方也誠實補了一句：證明能確認硬體在服務推論，不能排除它同時在旁邊訓練別的東西。
三段式協議：先押指紋，再逐批證明，驗證端不用 GPU
FlashProve 的運作拆成三步。供應商先對模型權重產生一份承諾（commitment），像幫這一版權重按指紋，之後所有證明都對得上它；之後每批請求，供應商的 GPU 產生證明檔，聲明「承諾的那個模型，在這個輸入上，算出的就是這些輸出 token」；任何人拿著承諾、輸入與回覆，都能用一支叫 cp_verify 的驗證器檢查證明，全程不需要 GPU，也不需要拿到權重。
這條信任鏈的地基，官方文件講得比大多數報導仔細：承諾識別碼必須從你自己信任的一方取得，而且要走受查伺服器管不到的管道，絕不能跟著證明檔一起由受查對象附上。整份密碼學運算再嚴謹，如果指紋本身就是受查平台遞給你的，身分對照就繞回了原地。採購與工程兩邊都得參與，原因就在這裡。
底層技術是 zkSNARK，一種零知識簡潔證明：它能讓驗證者相信計算正確，同時不揭露權重與中間運算值。這類技術早已用在以太坊等區塊鏈上，FlashProve 的貢獻是把它裁剪到大型語言模型的推論計算上，並吃滿混合專家架構的特性：每個 token 只動用約 17B 參數（Llama 4 Maverick 總量 400B），產生證明的工作量就只按實際動用的專家算，同時證明仍不揭露選了哪些專家。系統隱藏權重，模型架構則不在隱藏範圍，這是供應商導入前要算進去的揭露面。
與前人的差距是數量級，不是百分比
官方研究頁引述的前身工作，畫出這條路的爬坡軌跡：2017 年的先驅只驗得動兩層卷積的 MNIST 分類器；2023 年的 EZKL 證明百萬參數級模型要 966 秒一個 token；2024 年 zkLLM 在 A100 上驗 13B 模型約每秒 2.5 個 token；而同一個 Llama 4 Maverick，先前的 VerInf 每 1,000 個 token 要 14.3 小時，證明檔 93.6 GB，驗證近一天。
| 系統 | 模型規模 | 證明速度 | 證明大小 | 驗證成本 |
|---|---|---|---|---|
| zkLLM（2024） | 13B 密集模型 | 約 2.5 token/秒（A100） | 官方頁未列 | 官方頁未列 |
| VerInf | Llama 4 Maverick 400B | 1,000 token 需 14.3 小時 | 93.6 GB | 近一天 |
| FlashProve | Llama 4 Maverick 400B | 約 110 token/秒（單張 H100） | 18.78 MB | CPU 約 17 到 21 秒 |
數字要讀得節制：這些都是各團隊自報的量測，條件不一，Anthropic 自己也標明 vLLM 基線跑的是 FP8 版本、以八張 H100 對照，基線偏保守會讓倍數好看。即便打折，從 14.3 小時到每秒 110 個 token 的差距仍足以改變「這件事做得到做不到」的答案。官方也引述了商業公司 Attestable 對 31B 密集模型做到每秒 53 到 77 個 token，但該公司沒有開源程式碼，數字無法獨立複查。
通過證明的回覆，並非你平常收到的那種
這是整份發布裡最常受人忽略、也最影響解讀的邊界。FlashProve 證明的是「承諾權重的整數版本模型，在貪婪解碼下算出這些 token」。實際測試裡，官方拿了 96 條 vLLM 產生的回覆（16-bit 與 FP8 兩種設定）做精確比對，0 條通過；整數版模型的最高機率 token 與 16-bit 版在 6.81% 的位置上不同（官方以 Python 實作標記此數）。換句話說，直接拿市面上推理引擎的輸出來驗，全部會退件。
要讓回覆真的能附證明，得照官方提供的 vLLM 整數外掛重跑，那條路徑 48 條短回覆全數通過，代價是每個 token 0.58 到 1.46 秒的服務速度。日常對話常見的取樣解碼與浮點運算，都會讓回覆偏離證明涵蓋的那個計算。若要驗整段回覆，得換用較寬鬆的差距政策，速度約每秒 108 個 token。這不是缺陷，是設計取捨：密碼學證明需要確定的整數運算，但讀到「可驗證推論」四個字時，該知道驗的是特別建構的版本，不是你平常的聊天體驗。加上目前每個請求視窗只有 1,024 個 token，距離前線模型動輒數十萬起的脈絡長度還很遠。
每個 token 的證明要價七十倍起跳
速度突破的另一面是成本。官方量測，逐 GPU 計算，證明 24 個請求的批次比 vLLM 直接處理同批慢 71.4 倍，在高負載對照下差距拉到 93 倍，研究頁的概括區間是 70 到 95 倍。這也是 FlashProve 採用「事後批次證明」設計的原因：先讓模型正常服務，再對完成的文字批次補證明，而非邊服務邊證明。事後路線的代價是保證會延遲到手、重算流程更複雜；隨行路線速度快，卻可能為了效率犧牲安全假設。官方的服務端整合會先讓驗證器驗完同批每份證明，才把回覆交出去。
其他成本欄位同樣具體：對權重做一次承諾要約 39 分鐘，一份承諾約可覆蓋 1,600 萬個請求；客戶端每份承諾下載約 6.5 MB，之後每個請求一份 18.78 MB 的證明檔；供應商端每份承諾要保存 2.15 GB。硬體門檻也不只是那張 GPU：權重以串流方式進顯示卡，主機記憶體量測落在約 270 到 300 GB，官方腳本要求可用記憶體 330 GB、磁碟 245 GB，完整跑一遍 Llama 4 Maverick 路線以小時計。這組數字解釋了它近期的合理用途：抽查、稽核、對特定批次的事後核可，比全量即時隨附證明划算太多。
官方攤開自己沒驗證的部分
這份發布的誠實度值得單獨一提，因為它直接影響採用判斷。安全性的核心保證（偽造證明通過的機率約 q/2^124 加 2^-101）是在 Lean 證明助理裡機器驗證的，但官方明說：形式化證明只涵蓋 Lean 版協定，實際跑的 C++ 驗證器與 CUDA 產生器只是對照 Lean 測試過，本身未被形式化證明，Lean、論文、程式三者也未保證完全一致。責任還要拆開算：防偽靠驗證器，零知識靠產生器，兩邊程式各自要對得上各自的定理。權重隱藏方面，文件列出至少 11 項設計上就可見的資訊（回覆內容、服務時間、請求量、批次同伴等），並直白承認沒人證明過這份清單完整；量測回應時間之類的側通道攻擊也明列在範圍外。清單生效還掛著四個前提：誠實運行、供應商遵守十三項操作責任、機器無故障、承諾種子保密，任一失守，外界能看到的就不止這 11 項。
有個耐人尋味的細節：官方在文章裡說，這套系統的許多最佳化是 Claude 做的，而正因 AI 做的最佳化難以人工評估，他們用 Lean 的機器可查定理來補償信任缺口。這等於把「AI 寫的密碼學程式碼能不能信」這個問題，變成「定理有沒有經機器驗過」，後者至少是可以按住檢查的。儲存庫 README 甚至專門寫了一段給編碼代理的操作指引，驗證路線一（在 Linux CPU 上檢查存證明，記憶體 2 GB 以下，建置一兩分鐘）就是設計給代理或任何人低成本入場用的。
脈絡上也別過度引申。Anthropic 在政策承諾裡曾訂下 2026 年 9 月 30 日前做出可驗證推論原型的目標，官方說目標已由另一個專案達成：對推論流量簽章、在受信伺服器上重算，FlashProve 走的是同一目標的另一條路。10 月 19 日的更新還把目標名稱從「可驗證推論」改成「推論驗證」，理由是原始名稱暗示了單一做法。把它讀成「Claude 產品即將附證明」，會超出官方說過的每一句話。
現在可以做的三件事
多數讀者這一條就夠：知道有這個東西，不必安裝或改動任何工作流程。需要做模型稽核的團隊，可以從儲存庫的路線一開始，在 Linux 機器上建置 cp_verify、驗一份存證明，把驗證器版本、指令與退出碼做成可重現的紀錄，這是評估導入成本最低的起點。負責採購的人則可以把三個問題寫進契約：證明涵蓋哪些請求、保存多久、模型更新時承諾如何換發，這比技術驗收更能決定證據的實際效力。
已經在用開放權重模型的讀者，可以對照 Mistral Large 4 開放權重時的授權邊界討論：拿得到權重與驗得了權重是兩件事，前者看授權條款，後者看有沒有人出證明。回覆來源可驗證這個題目，與先前把市場研究資料接進 Claude 回答的作法是同一個方向的兩端，兩者都在回答「AI 的回答憑什麼信」。
還沒定案的部分，與這篇文章的保存期限
三件事截至 11 月 5 日仍無定論：沒有第三方獨立重現官方的 110 token/秒量測；Attestable 的商業數字無開源碼可查；儲存庫標明不維護，之後是否有人接手或衍生改進都未知。Anthropic 自己也把這次發布定位為中期研究進展，明說是攤開給其他人接手改進用的。
給這篇文章定個期限：11 月底前值得回看三個指標，儲存庫是否維持不維護狀態、1,024-token 視窗有沒有延長、有沒有其他團隊開源可比較的實作。任何一項變動，成本與定位的判斷都要重算。在那之前，把 FlashProve 記成一個把「模型身分驗證」拉進可用區間、但邊界劃得很清楚的研究原型，是最貼近事實的讀法。
