回答写得再像，也说明不了是哪个模型

type

Post

status

Published

date

Nov 5, 2026

slug

flashprove-which-model

summary

Anthropic 放出研究原型 FlashProve：能核对回答是不是承诺的那组权重。中转可以换模型，回答本身看不出来。目前仍贵、仍短，且对不上日常采样。

回答像不像，说明不了是谁写的

十一月二日，Anthropic 发了一篇研究笔记，系统叫 FlashProve。他们把这件事说得很直白。你跟朋友面对面，能看见，能听见，能握手。你跟一个模型说话，几乎没有任何办法确认，回答你的就是对方声称的那个模型。中转可以为了省钱偷偷替换。攻击者也可能改掉传回来的 token。只看输出质量，靠不住。

他们放出的是研究原型，不是已经能装进产品的功能。代码、Lean 证明和文档，用 Apache 2.0 开源。GitHub 仓库写了一句很老实的话：这是研究产物，不维护，不接受贡献。版本号 0.16.0。

我读的时候一直在想，这话比很多发布稿有用。它提前告诉你，别把仓库地址当成明天就能接进业务的 SDK。

先钉死权重，再附一份证明

做法可以想成两步。

第一步，服务商公布一段指纹。指纹大约 6.5 MB，用来钉死某一组权重。权重本身不交出来。这一步大约要 39 分钟。一份指纹大致能覆盖 1600 万次请求，用完得重新做。

第二步，每条请求再附一份证明文件。证明要说的只有一句：承诺的那组权重，在这条提示词上，会产出这些 token。核对的人不用显卡，也不用下载模型。24 线程的处理器上大约 17 秒，单线程大约 21 秒。

他们拿来演示的不是 Claude。是 Meta 的 Llama 4 Maverick，4000 亿参数的混合专家模型，每个 token 大约只用 170 亿参数。权重用的是公开的 4 比特量化版，不包含在这次发布里。你得自己去 Hugging Face 下，还得遵守 Llama 4 的许可。

证明机是一张 H100，再加 24 核处理器。一批 24 条请求，大约 223 秒，折合每秒 110 个 token。每份证明 18.78 MB，对应一个 1024 个 token 的窗口。

Anthropic 还写了一句，Claude 参与了这套证明系统的优化。形式化那部分用 Lean 写成可检查的定理，用来约束这些优化没有把安全性质改丢。快的那份 C++ 和显卡代码，并不保证和 Lean 里证明过的协议逐行一致。仓库自己承认，三份材料不保证互相匹配。

以前要十四个小时，文件有九十三吉字节

这个数字要跟以前比，才知道它动了哪一层。

Anthropic 在笔记里点了名。此前给同一个 Maverick 做证明的开源系统 VerInf，在一台 DGX Spark 上，1000 个 token 要 14.3 小时，证明文件 93.6 GB，核对差不多要一整天。这是他们转述 VerInf 的公开数字，不是我这边复现过的。

FlashProve 在一张 H100 上，同一类模型大约每秒 110 个 token，证明 18.78 MB，24 线程核对大约 17 秒。

贵也是真的。跟常用的推理引擎 vLLM 比，出证明的显卡时间大约是直接生成的 70 到 95 倍。笔记里还有一次更细的对照：按每张卡算大约 72 倍，最高负载时大约 94 倍。这是同一家测量的不同切法，不要当成三个独立结论。旁白和画面上，我只用「大约七十到九十五倍」这一档。

速度从「几乎不可用」走到「贵，但不再是天文数字」。信任问题并没有因此消失。

它还对不上你日常那条聊天

读到这里很容易觉得，中转站的信任问题解了。没有解。

上下文只有 1024 个 token。日常对话动辄几万、几十万，这套系统目前盖不住。

更关键的一句在技术说明里。一个 1024 token 的窗口，默认一份证明只核对其中一个 token。证明过程会把窗口都跑一遍，证书只钉住其中一个。你不能把它理解成「整段回复的每一个字都验过了」。

它证明的是整数权重上的贪心解码。你平时聊天用的是浮点和采样。采样出来的那一句，可能在某个位置就跟被证明的计算对不上。对不上，这份证明就不是你看到的那句。

架构也不隐藏。它藏的是权重，不是模型结构。混合专家可以靠「每个 token 只用一小部分参数」来省证明时间。稠密模型这次没覆盖。

所以别把它理解成，以后每条回复都能验明正身。它只说明一件事：验明正身在研究原型里第一次变得不像天方夜谭。贵、短、对不上日常解码，这三样都还在。

你要是只在乎回答好不好用，这套东西跟你没关系。你要是在乎中转有没有偷换模型，现在终于有一条能核对的路。这条路还走不进你今晚的那次对话。

你用中转的时候，会在乎背后到底是哪组权重吗？