行业背景
当前大模型服务的输出可信性缺乏可落地的技术验证路径。用户收到模型返回的内容时，无法确认该内容是否真的由服务商宣称的指定模型生成，服务商也无法在不暴露模型权重的前提下向第三方证明自身没有替换模型、篡改推理过程。
传统的可验证计算方案在大模型场景下存在性能瓶颈，要么证明生成速度远低于常规推理速度，要么验证环节需要消耗和推理相当的算力，普通用户设备无法在短时间内完成核验。多数面向大模型的零知识证明方案仅能适配小规模测试模型，无法在生产级硬件上运行完整尺寸的主流开源大模型。
大模型服务商的权重资产属于核心商业机密，任何证明流程都不能要求服务商公开全部或部分权重信息，否则会直接导致方案无法在商业场景中落地。此前的多数验证方案要么需要暴露部分敏感权重数据，要么在证明生成环节引入不可接受的性能开销，无法平衡隐私保护、证明效率和模型完整性三者的需求。
项目概述
该项目是由Anthropic团队开发的研究性质制品，当前版本为0.16.0，采用Apache 2.0开源许可证发布。项目定位为面向AI服务场景的可验证推理证明系统，目前处于研究阶段，不接受外部贡献，也不提供后续迭代维护承诺。
项目的核心目标是构建一套完整的证明链路，让大模型服务商可以对外证明特定请求的返回内容确实由预先绑定的指定模型生成，全程不会泄露任何模型权重相关的敏感信息，同时兼顾证明生成效率和普通设备的验证速度。
技术架构深度分析
项目整体采用三层解耦的架构设计，分别对应承诺生成层、GPU证明生成层、CPU验证层，三个层级之间通过标准化的证明数据格式完成交互，不存在强耦合依赖。这种分层设计让服务商可以独立部署不同层级的组件，承诺生成环节可以离线完成，证明生成环节完全运行在生产推理集群中，验证环节则可以交付给任意第三方在普通设备上执行。
承诺生成层的核心设计是权重掩码机制。所有和模型权重相关的公开导出值都会经过掩码处理，仅对外暴露预先声明的非隐藏信息列表，其余和权重相关的计算过程全部在本地完成，不会产生任何可反向推导权重的公开数据。最终对外发布的承诺ID是经过密码学哈希运算得到的唯一标识，一旦发布就和某一组固定的模型权重形成密码学层面的强绑定，后续无法在不破坏承诺有效性的前提下替换权重。
GPU证明生成层针对NVIDIA H100硬件做了全链路优化，所有和证明计算相关的算子都适配了H100的Tensor Core和高带宽显存特性。预计算阶段会提前把所有和承诺绑定的权重相关运算结果加载到显存中，推理和证明生成过程并行执行，不需要在推理结束后额外启动一轮完整的计算流程生成证明，大幅压缩了整体的端到端延迟。
验证层的核心优化点是将原本复杂的零知识证明校验逻辑拆解为多个轻量级的哈希校验和快速代数运算，所有运算都适配x86和ARM架构的通用CPU指令集，不需要调用任何GPU加速组件，也不需要占用大量内存资源。验证逻辑的代码量被压缩到极小的体积，不存在多余的依赖项，避免了复杂依赖引入的潜在安全漏洞。
项目的协议正确性证明完全基于Lean 4交互式定理证明器完成形式化验证，所有密码学安全边界和 soundness 属性都通过了机器可校验的数学证明，不存在传统手写证明中可能出现的逻辑疏漏。最终给出的安全边界经过严格推导，在常规的哈希查询次数限制下，服务商伪造有效证明的概率低到可以忽略不计。
核心功能详解
模型权重绑定承诺生成
该功能生成和指定模型权重强绑定的唯一公开承诺ID，整个生成过程中所有和权重相关的敏感数据都会经过掩码处理，不会对外暴露任何可反向推导权重的信息。服务商发布该承诺ID后，后续所有生成的证明都只能对应这一组权重，无法在替换模型权重后仍生成符合该承诺的有效证明。该功能可用于服务商对外公示当前对外服务的模型版本，作为后续所有推理请求可验证性的信任根。
GPU端实时推理证明生成
该功能在大模型推理的同时同步生成对应的执行证明，不需要在推理完成后单独启动额外的证明计算流程。当前适配单张NVIDIA H100硬件，支持24请求批量处理场景下达到每秒110 token左右的预fill性能，不会对常规的大模型推理吞吐造成过大的额外开销。生成的证明和当前请求的输入、输出内容一一绑定，无法把一个请求的证明篡改后用到另一个请求的结果上。
通用CPU端轻量验证
该功能提供的验证程序可以在普通消费级CPU上运行，不需要任何专用加速硬件，数秒内即可完成单条证明的全量校验。验证过程不需要加载任何模型权重，也不需要访问服务商的内部服务，完全离线即可完成。任意拿到回复内容和对应证明的用户都可以自行校验该回复是否属于预先承诺模型的合法输出。
完整尺寸Llama 4 Maverick模型原生支持
该功能无需对模型结构做大幅裁剪或修改，即可原生运行完整尺寸的Llama 4 Maverick模型，支持1024 token的上下文窗口。模型的所有计算逻辑都和原始开源实现保持一致，不会为了适配证明流程修改前向传播的运算规则，保证生成的输出和原生模型的输出完全等价。
形式化验证的协议安全保障
该项目的整个证明协议的soundness属性全部在Lean 4中完成了形式化数学证明，所有安全边界都有明确的可校验定理支撑。经过推导后的伪造证明成功概率上限极低，在常规的q次哈希查询场景下，服务商尝试伪造不属于承诺模型的输出并通过验证的概率约为q/2^124 + 2^-101，远低于现有商用密码学方案的安全阈值。
面向自动化Agent的运行指引
项目提供了专门面向编码Agent的完整运行指引文档，所有构建、验证、测试流程都设计为可以完全自动化执行，不需要人工介入复杂的参数配置或手动确认步骤。Agent可以直接读取仓库内的文档，自动完成验证器构建、示例证明校验等操作，最后返回运行结果和当前硬件支持的其他运行模式列表。
权重敏感信息掩码机制
该机制明确划分了公开可暴露的信息范围，所有不在预先声明的非隐藏信息列表中的权重相关数据，都会在所有公开导出的计算结果中完成掩码处理。全程不会出现任何可能泄露权重细节的公开中间值，避免攻击者通过公开的证明数据反向推导模型的权重内容，保护服务商的核心资产安全。
项目地址：https://github.com/anthropics/FlashProve
⭐ Stars：348
🔍 来源：GitHub
A research prototype for zero-knowledge proofs of AI inference. Not maintained.
微信扫一扫，打赏作者吧～
网友评论