AREX Feed Article
StarkWare 发帖宣传 Anthropic 的 FlashProve：用 STARK 验证模型产出而不公开权重
2026 年 11 月 3 日 23 时 20 分（北京时间），发帖，公开宣传 Anthropic 的 FlashProve 工作：一套基于 STARK 的密码学证明，可以在不公开模型权重的前提下，证明某个特定模型产出了某一输出。帖文特别指出，StarkWare 联合创始人 Alessandro Chiesa（EPFL，洛桑联邦理工学院）是这份报告的共同作者之一，并把这项工作称作「对我们证明系统的又一次重要验证」。
这份题为《Progress on provable inference for large language models》的标注的日期为 2026 年 11 月 2 日；作者名单由 Anthropic、EPFL、MIT（麻省理工学院）等机构的研究者组成，Chiesa 的署名机构为「EPFL, StarkWare」。按报告页自述，FlashProve 在单张 H100 GPU 上对 4,000 亿参数的 Llama 4 Maverick（4-bit 量化）实现约 110 tokens/second 的证明生成，证明文件约 19 MB，验证者在普通 CPU 上十几秒即可核验。
一次来自 STARK 共同发明方的公开宣传
帖文写道：「Anthropic 正在使用 StarkWare 创始人共同发明的密码学，来证明回答你的是哪一个 AI 模型。」「借助 FlashProve，你可以验证一个特定模型产出了某个输出，同时保持其权重私密。」帖文还称，报告引用了最初的 STARK 论文，强调了 STARK 在 Starknet 上的使用，并引用了围绕 Cairo 的形式化验证工作与 S-two AIR；帖子的结尾是：「帮助区块链扩容的同一套密码学思想，如今正被用来让 AI 推理变得可验证。」
报告页面日期比帖子早一天：本次进入公众视野的不是 Anthropic 的新公告，而是 StarkWare 作为利益相关方的宣传。
你无法核实回答你的到底是哪个模型
FlashProve 针对的问题，报告页写得直白：用户向模型发请求时，无法核实响应是否真的来自开发者声称的那个模型——路由服务可能出于成本考虑偷偷换用别的模型，攻击者也可能篡改 token（词元）流；仅凭输出的质量判断并不可靠。页面列举的适用场景包括：独立评估者需要确认被评估的就是被服务的模型；经第三方路由调用模型的客户需要确认 token 来自自己付费的那个模型；攻击者攻破推理服务器后，可以把恶意回复混在正常响应里而不被察觉。
机制分两个阶段。离线阶段，模型提供方发布一份对权重的承诺（commitment）——一个把权重锁定为「某一种确切选择」的短指纹，权重本身保持隐藏；在线阶段，对每个请求，提供方生成一份证明文件，所证明的语句是「被承诺的模型在求值时产出这些输出 token」。任何持有承诺、提示词和回复的人都可以核验这份证明，不需要拿到权重，也不需要大量算力。
这是通过一类叫 zkSNARK（零知识简洁论证，zero-knowledge succinct argument of knowledge）的密码学对象实现的。报告页称，它的非平凡之处在于两条性质的组合：证明是零知识的，不泄露权重、计算的中间值或每一层启用了哪些混合专家（Mixture-of-Experts，MoE）——模型架构不在隐藏之列；证明又是简洁的——被证明的计算是量化后约 232 GB 的模型在 H100 上的一次完整运行，验证者拿到的文件只有约 19 MB。可靠性方面，报告页称伪造有效证明等同于破坏被广泛相信的密码学假设；页面给出更具体的界：q 次哈希查询后，作弊被漏掉的概率约为 q/2^124 + 2^-101，该定理在 Lean 4（一种形式化验证语言）中证明。
实测：证明的 GPU 耗时约为 vLLM 推理的 70～95 倍
以下性能数字均为 Anthropic 报告页自述的测量结果。测试对象是 Llama 4 Maverick——一个 4,000 亿参数的 MoE 模型，每个 token 实际动用约 170 亿参数，使用公开渠道的 4-bit 权重；每个请求为 1,024 token 的窗口，每份证明对应一个 token。
证明端跑在配备单张 H100 和 24 个 CPU 核的服务器上：离线承诺每个模型只需执行一次，约 39 分钟，生成的承诺对约 1,600 万次请求有效，之后需重新承诺；在线阶段对 24 个请求的一批出证明约需 223 秒，折合约 110 tokens/second，每份证明 18.78 MB。验证端只需普通 CPU：先下载约 6.5 MB 的承诺，之后 24 线程 17 秒（单线程 21 秒）核验一份证明，含离线阶段的检查。
开销也写得具体。报告页以 vLLM（一个常用的开源推理引擎）在八张 H100 上以 FP8 权重运行同一模型作参照：单卡口径下，证明一批 24 个请求的 GPU 时间约为 vLLM 处理同批请求的 72 倍（多次运行介于 66～77 倍），vLLM 满负载时约 94 倍；页面将其概括为大约两个数量级（实测 70～95 倍）的开销，并称远低于此前预期。工程上的取舍包括：证明工作量只与每个 token 实际激活的专家成正比；请求事后成批证明，每批只打开一次承诺；权重按层分段从主存流式送入，单张 80 GB GPU 配约 290 GB 主机内存即可运行。
报告页还给出纵向参照：2024 年的 zkLLM 在一张 A100 上以批量约 2.5 tokens/second 证明 13B 参数模型；据页面所知，此前唯一证明过 Llama 4 Maverick 的 VerInf 在 DGX Spark 上生成 1,000 个 token 的证明需 14.3 小时，93.6 GB 的证明文件花了近一天才验证完；被页面称为同行评审现有最好成绩的 DeepProve 在 GPT-2 上约 2.9 tokens/second、分布式 31 tokens/second；商业公司 Attestable 报告单张 H100 上对 31B 稠密模型达到 53～77 tokens/second，但截至报告撰写时未发布开源库。
安全声明写成 Lean 定理，代码与证明一起开源
报告页对代码可信度的处理方式是形式化验证：用 Lean 证明助手把协议与目标安全性质写成机器可检查的形式，覆盖完备性（诚实的证明会被接受）、可靠性（伪造的证明会被拒绝，除非概率可忽略）和零知识（证明不泄露权重的任何信息）三个顶层性质，在随机预言机模型（random oracle model）中陈述。
报告发布时放出五个工件：博客文章本身、一份、一份协议描述、可执行代码——含证明器、C++ 快速验证器和一个「可证明正确」的 Lean 验证器——以及 Lean 证明和辅助人工审计的交互式定理可视化器；代码、Lean 证明与文档以 Apache 2.0 许可发布。
页面同时承认两个尚存的信任缺口：形式化陈述本身需要人工审计来确认符合意图，可视化器为此而设；可执行代码需要审计来确认与形式化协议一致。日常使用的 C++ 验证器不带形式保证，但在测试中与 Lean 验证器对所有证明的结果一致；零知识性质依赖证明器正确，而为昂贵的证明器做 Lean 版本并不现实，页面表示这要靠资源充足的证明方自行安排审计。
为什么一家区块链公司来宣传这项工作
这条技术线索在报告页里有对应描述：FlashProve 的底层机制，正是已部署在 Starknet、Mantle 等以太坊 L2 网络上的那一类 zkSNARK——先用信息论对象 IOP（交互式预言机证明）组装，再借助哈希函数编译成密码学证明，甚至提供后量子安全。
作者名单里能看到两边的交集。报告页与技术报告 PDF 的署名一致：Roy Rinberg、Alex Allain（Anthropic）、Alessandro Chiesa（EPFL、StarkWare）、Miranda Christ（MIT、RESI）、Rahul Dalal（Anthropic STEM Fellows Program、Succinct）、Giacomo Fenzi（EPFL）、Ben Mayer（Anthropic Fellows Program、MIT）、Guy Weissenberg（EPFL）。
Anthropic 一侧的动机，报告页给了四个场景：篡改检测、AI 步调（pacing）监管、文本出处与模型审批。页面还回顾：Anthropic 曾在其 Frontier Safety Roadmap 中公开承诺在 2026 年 9 月 30 日前做出可证明推理原型；按其 RSP（负责任扩展政策）更新，该目标已由另一个相关项目达成——对推理流量签名并在可信服务器上重算——本报告以另一种方法追求同一目标；2026 年 10 月 19 日的更新把这一目标更名为「inference verification」（推理验证）。
报告自己列出的边界
页面在限制一节写明：这是一个研究原型；快速可执行代码没有形式保证——「我们不保证 Lean、论文、代码三者彼此一致」；被证明的是整数版模型在贪心解码（greedy decoding）下的输出，浮点实现或采样解码可能在某些位置偏离被证明的计算，整数版与真实浮点推理的差异通常在小误差内，但这不覆盖对抗性设计的提示词；系统假设 MoE 架构，模型架构不隐藏；侧信道攻击（例如测量证明生成的耗时）不在本次发布范围内；目前只能证明最长 1,024 token 的上下文，远短于聊天场景实际积累的长度。
工件现状也摆在明处：GitHub 仓库 anthropics/FlashProve 版本号为 0.16.0，页面说明为「研究工件：不再维护，不接受贡献」；报告页称这是「中间进展，而非完成的研究议程」，分享的目的是让其他人「看看我们做了什么，拿走它，并改进它」。