FlashProve: как криптодоказательства меняют доверие к ИИ-ответам

ИИ 7 мин чтения

---

Anthropic опубликовала открытый прототип FlashProve. Система позволяет математически подтвердить: конкретный ответ языковой модели действительно сгенерирован заявленной моделью с определёнными весами. Это не маркетинговое заявление, а криптографическая гарантия. Её можно проверить математически. Для тех, кто строит бизнес-процессы на основе ИИ-генерации, от автоответов до аналитики, это меняет базовый вопрос. «Мы верим провайдеру» превращается в «Мы можем проверить провайдера».

Что такое доказуемый вывод и зачем он нужен

Когда вы отправляете запрос языковой модели и получаете ответ, у вас нет способа убедиться, что именно та модель, которую заявил провайдер, этот ответ сгенерировала. Провайдер мог использовать более дешёвую модель, подменить её или сформировать ответ вручную. До FlashProve это была проблема доверия, которую решали только репутацией и контрактами.

FlashProve решает её иначе: через математику. В основе лежит класс криптографических конструкций zkSNARK, доказательства с нулевым разглашением. Они позволяют одной стороне убедить другую в истинности утверждения, не раскрывая секретных данных. Применительно к языковым моделям это значит: провайдер доказывает, что ответ получен конкретной моделью, не показывая саму модель.

Важно понимать, что именно подтверждает доказательство. Оно не говорит, что ответ «правильный» в каком-то общем смысле. Оно подтверждает выполнение конкретного правила над заданным окном токенов. Провайдер заранее фиксирует набор весов модели, получает идентификатор обязательства (commitment ID). Затем для каждого ответа создаёт доказательство соответствия этому зафиксированному набору. Клиент проверяет доказательство независимо, не имея доступа к весам.

Технически схема опирается на хеши, деревья Меркла, интерактивное oracle-доказательство, преобразованное в неинтерактивное через технику Fiat-Shamir, а также аргументы sumcheck и lookup. Надёжность схемы формально верифицирована в системе Lean. Это подтверждает корректность математических утверждений, лежащих в основе доказательства.

Как работает FlashProve на практике

Архитектура системы разделяет роли чётко. Провайдер один раз запускает программу cp_commit. Она читает веса модели и создаёт каталог публичного и секретного ключей обязательства. Публичными становятся идентификатор обязательства, конфигурация и открытые ключевые данные: их провайдер публикует заранее. Секретный ключ и сами веса остаются у провайдера.

Для каждого ответа GPU-программа cp_prove формирует доказательство. Оно подтверждает, что выданные токены соответствуют зафиксированным весам и согласованной политике принятия. Клиент запускает CPU-программу cp_verify с публичными файлами, запросом, ответом и файлом доказательства. Он получает результат YES или отказ. Доступ к весам модели для проверки не нужен.

Практические характеристики системы, измеренные на модели Llama 4 Maverick с 400 миллиардами параметров и 4-битным квантованием:

• Скорость предварительной обработки при создании доказательств: около 110 токенов в секунду на одной NVIDIA H100 при батче из 24 запросов
• Размер одного доказательства: примерно 19 МБ при контексте 1024 токена
• Время проверки на обычном CPU: около 17 секунд
• Вычислительные затраты на создание доказательства для запроса из 1024 токенов: примерно в 70-95 раз выше, чем обработка аналогичного запроса библиотекой vLLM

Последняя цифра: ключевая для понимания текущего состояния технологии. Доказуемый вывод сейчас дороже обычного в десятки раз. Это исследовательский прототип, а не готовое производственное решение.

Кто и как может использовать FlashProve уже сейчас

Anthropic обозначила три практических сценария применения технологии. Первый: регуляторный контроль. Проверяющие органы смогут убедиться, что провайдер использует именно одобренную модель, а не более дешёвую или менее безопасную альтернативу. Второй: корпоративная безопасность. Компании смогут выявлять подмену модели на стороне подрядчика. Третий: пользовательская верификация. Любой клиент сможет подтвердить происхождение полученного ответа.

Для запуска верификации на CPU достаточно Linux, Bash и компилятора g++ версии 13 или новее. GPU-маршруты требуют NVIDIA H100 и значительно больше памяти и дискового пространства. Авторы рекомендуют начинать с проверки готового доказательства. Этот маршрут не требует GPU и позволяет убедиться в работоспособности верификатора на синтетическом примере с весами масштаба Llama 4 Maverick.

Код, доказательства и технический отчёт опубликованы под лицензией Apache 2.0. Репозиторий обозначен как исследовательский артефакт: он не принимает новые изменения и не имеет активной поддержки. Веса реальных моделей нужно скачивать отдельно.

Что это означает для доверия к ИИ-инструментам в бизнесе

Сейчас большинство компаний, использующих ИИ в рабочих процессах, доверяют провайдеру на слово. Это касается и автоматизации ответов на отзывы, и аналитики данных, и генерации контента. Провайдер заявляет, что использует определённую модель, и проверить это невозможно технически, только договорными механизмами.

FlashProve показывает, что техническая проверяемость принципиально достижима. Пусть сейчас это исследовательский прототип с высокими вычислительными затратами, сама архитектура работает на полноразмерных моделях с сотнями миллиардов параметров. Это не демонстрация на игрушечной модели, это работающая система на реальном масштабе.

Для бизнеса это значит следующее: в будущем стандарты доверия к ИИ-провайдерам могут сместиться. Компании, которые сейчас выбирают инструменты автоматизации: будь то управление репутацией на маркетплейсе или аналитика отзывов, стоит уже сейчас задавать провайдерам вопросы о прозрачности: какая модель используется, как это подтверждается, есть ли аудит. Не потому что FlashProve уже в продакшне, а потому что культура проверяемости формируется раньше, чем появляются инструменты.

В этом контексте выбор сервисов для работы с отзывами на маркетплейсах, таких как SaleSynergy с его мультиагентной системой для автоответов на WB, Ozon и Яндекс Маркет, стоит рассматривать не только через призму функциональности, но и через вопрос: насколько провайдер готов объяснять, как именно работает его ИИ.

Технические ограничения, о которых честно говорят сами авторы

FlashProve: исследовательский прототип, и авторы не скрывают его ограничений. Затраты на создание доказательства в 70-95 раз выше стандартного инференса. Это существенный барьер для коммерческого применения при нынешней стоимости вычислений. Размер доказательства в 19 МБ на запрос создаёт нагрузку на передачу данных.

Проверка занимает около 17 секунд на обычном процессоре. Для большинства сценариев это приемлемо, поскольку верификацию не нужно выполнять в реальном времени. Клиент может проверить доказательство после получения ответа, а не в момент запроса.

Важный нюанс протокола: клиент должен самостоятельно сформировать файл запроса и файл следующего токена из известных ему данных. Он не должен доверять аналогичным файлам, присланным вместе с доказательством от провайдера. Публичные параметры, политика, ключи и идентификатор обязательства должны быть получены из независимого доверенного источника до отправки запроса. Успешная проверка означает только то, что объявленная политика выполнена. Не более.

Эти ограничения не делают FlashProve бесполезным. Они честно описывают, где технология находится сейчас и что нужно для её перехода в продакшн: снижение вычислительных затрат, уменьшение размера доказательств, стандартизация протоколов.

Связь с более широкой повесткой прозрачности ИИ

FlashProve: часть публичного обязательства Anthropic разработать прототип проверки трафика инференса. Это не изолированный технический эксперимент, а шаг в сторону верифицируемой ответственности ИИ-провайдеров.

Параллельно в индустрии обсуждается несколько смежных задач: как убедиться, что модель не была дополнительно обучена после аудита, как подтвердить соответствие модели заявленным характеристикам безопасности, как обеспечить воспроизводимость результатов. FlashProve решает одну конкретную задачу: подтверждение идентичности модели при инференсе. Но делает это с формальной математической строгостью.

Для разработчиков и технических команд, которые хотят разобраться в архитектуре, репозиторий содержит подробную документацию: описание протокола, формат файлов, архитектуру системы, руководство по быстрому запуску и описание сервисного режима. Формат доказательств описан в отдельном нормативном документе FORMAT.md, который имеет приоритет над остальными файлами в вопросах байтового представления и структуры данных.

Что делать с этой информацией прямо сейчас

FlashProve не требует немедленных действий. Это исследовательский прототип, а не продукт, который нужно срочно внедрять. Но несколько практических выводов полезны уже сейчас.

Если вы выбираете ИИ-инструменты для бизнеса:

• Задавайте провайдерам прямые вопросы о том, какая модель используется и как это подтверждается. Пока технической проверки нет, это вопрос договорных гарантий и репутации провайдера.
• Разграничивайте задачи по уровню критичности. Автоответы на отзывы и аналитика отзывов маркетплейсов, это не ядерная безопасность. Но понимание того, что именно генерирует ответы вашим покупателям, влияет на репутацию бренда.
• Смотрите на прозрачность провайдера как на сигнал качества. Компании, которые открыто описывают свою архитектуру, как правило, серьёзнее относятся к надёжности.

Если вы технический специалист или разработчик:

• Репозиторий FlashProve доступен под Apache 2.0 и содержит полную документацию протокола, формата файлов и архитектуры. Это хорошая точка входа для понимания zkSNARK применительно к языковым моделям.
• Начните с маршрута верификации готового доказательства на CPU. Он не требует GPU и даёт практическое понимание того, как выглядит проверка со стороны клиента.
• Обратите внимание на требование к источнику публичных параметров: commitment ID и ключи должны приходить из независимого доверенного канала, а не от того же провайдера, который выдаёт доказательство.

Чего избегать:

• Не воспринимайте FlashProve как готовое решение для продакшна. Вычислительные затраты в 70-95 раз выше стандартного инференса делают его непригодным для массового применения в текущем виде.
• Не путайте «доказательство идентичности модели» с «доказательством качества ответа». Успешная верификация означает только то, что ответ сгенерирован заявленной моделью с соблюдением объявленной политики. Не больше и не меньше.
• Не откладывайте формирование критериев выбора ИИ-провайдеров до появления готовых стандартов. Культура проверяемости и прозрачности это то, что стоит закладывать в требования уже сейчас, пока рынок ещё формируется.