Anthropic 推出并开源 FlashProve，也就是这套可以给 AI 模型发 “身份证” 的可证明推理系统，依靠 zkSNARK 零知识证明，为每一次模型输出绑定一份数学证明；哪怕是模型本身、部署方、攻击者，都不能凭空伪造 “这条回答由指定版本模型生成” 的凭证，用来根治 API 套壳偷换、推理链路篡改、安全评估不可信等行业痛点，和普通文本水印属于两套完全不同的信任方案。传统水印只是概率性标记，改写、润色、截断后就容易失效；而 FlashProve 是事前对固定权重生成公开密码学承诺（模型指纹），每次推理附带独立证明，任何人拿到输入、输出、证明，都可以在普通 CPU 上独立核验，全程不需要拿到模型权重，也不需要重新跑一遍大模型。它证明的不是回答内容对错，而是：在这个输入下，该输出确实来自预先承诺的那一份模型。
FlashProve 核心参数表
| 项目 | 详情 |
|---|---|
| 项目名称 | FlashProve |
| 底层技术 | zkSNARK 零知识证明、sumcheck 协议、BLAKE2 哈希 |
| 发布形式 | Apache 2.0 开源 |
| 模型指纹生成 | 单张 H100，约 39 分钟生成权重承诺并对外公开 |
| 单次证明包大小 | 约 19MB |
| 客户端核验速度 | 普通家用 CPU，约 17 秒完成核验，无需 GPU |
| 适用对象 | MoE 稀疏激活大模型，证明开销跟随激活参数，而非全部总参 |
| 核心边界 | 核验「来源身份」，不核验内容事实是否正确 |
三步验真完整流程
- 生成模型承诺（上链 / 公开指纹）
- 推理时同步生成证明
- 客户端独立验证
在正式对外提供服务前，对确定版本、固定权重的模型生成密码学承诺，相当于登记身份证号，公开给所有调用方。一旦登记，这个指纹就绑定这一套权重，后续不能悄悄替换模型而不被发现。
用户提交 Prompt，模型生成回答，同时 GPU 并行生成一条零知识证明，证明：给定这个输入，该输出是由上面承诺的模型运行出来的；证明本身不泄露任何权重、内部激活细节。
调用方拿到输入文本、模型回答、证明文件、公开承诺，在本地独立运行验证程序。验证通过 = 来源可信；验证失败 = 存在模型替换、输出篡改、链路劫持。
和普通 AI 水印的关键区别
| 对比项 | FlashProve（密码学身份证） | SynthID 文本水印 |
|---|---|---|
| 证明强度 | 数学可验证，不可伪造 | 概率标记，可被改写破坏 |
| 核验目标 | 确认是不是指定模型、指定权重版本产出 | 判断文本是否大概率经过 Claude |
| 鲁棒性 | 只要输入输出完整，就可以核验；改写输出直接验证失败 | 改写、转述、截断、调整采样参数容易抹除标记 |
| 依赖条件 | 需要配套随回答下发证明文件 | 嵌入在选词随机性里，不需要额外附件 |
| 弱点 | 推理、证明、核验都有额外算力成本 | 不能精准锁定模型版本，只能判断 “是否出自 Claude 系列” |
解决的四大现实场景问题
- API 套壳灰色产业：服务商收旗舰模型的费用，后台切低成本小模型；有 FlashProve，客户可以随时验明真身。
- 推理链路劫持篡改：中间人在模型跑完之后修改回答文本，证明会直接校验失败。
- AI 安全红队与模型测评：测评者可以确定自己测试的，就是厂商承诺交付的那一个模型版本，避免厂商换 “特供测试版”。
- Agent 链式调用可信溯源：多层智能体互相调用时，每一段子任务输出都附带来源证明，形成可信链路。
局限与边界清单
- 它不能保证答案正确、无害、没有幻觉，只能保证 “是谁生成”。模型本身依然会胡说，只是没法冒充别的模型胡说。
- 会带来额外算力开销：推理侧要生成证明，客户端要核验，会增加延迟与成本。
- 如果输入或者输出被截断、大幅修改，证明直接失效；它保护原始推理链路，不保护二次改写后的文本。
- 只对固定权重版本生效；模型在线热更新、权重迭代后，需要重新生成新的公开承诺。
- 无法防止提示注入、越狱、对齐逃逸，不属于安全护栏，属于来源溯源机制。
【常见问题】
问题 1：Anthropic 的这套模型身份证 FlashProve，为什么连模型自己都伪造不了？
回答 1：因为 FlashProve 的信任根是提前公开的权重密码学承诺，证明由 zkSNARK 密码学协议约束；想要伪造证明，等价于破解底层哈希与零知识假设，模型本身没有能力凭空生成一份能通过核验、对应另一个模型指纹的证明。
问题 2：FlashProve 和大家熟悉的 Claude 文本水印是一回事吗？
回答 2：不是。水印是埋在选词模式里的概率标记，容易被改写抹掉；FlashProve 是独立的密码学证明附件，属于强数学验真，目标锁定 “是不是这个版本的模型跑出来的”，而不只是标记 “是不是 Claude 写的”。
问题 3：普通开发者要核验 FlashProve，是否需要拿到模型权重或者一台大 GPU？
回答 3：不需要。核验端可以跑在普通 CPU 上，十几秒完成验证，只需要公开承诺、用户输入、模型输出以及随回答返回的证明包，全程不需要访问、运行或者获取模型权重。
问题 4：FlashProve 如果验证通过，是不是代表这条 AI 回答内容真实可靠、没有幻觉？
回答 4：不是。FlashProve 只证明来源身份，也就是 “这个回答确实来自承诺的模型”；它不对事实正确性、幻觉、偏见、有害内容做任何担保，模型依然可以输出错误内容，只是没法冒充别的模型。
【参考资料】
[2026-11-04]（Anthropic 开源 FlashProve，给大模型办了一张防伪身份证）36 氪
[2026-11-04]（How to stop model substitution with provable inference）Anthropic 官方研究博客
[2026-11-04]（FlashProve GitHub 开源仓库说明）Anthropic
[2026-11-04]（Anthropic 亲手终结套壳 AI，17 秒验真）新智元
[2026-11-04]（Claude Issues Itself an ID Card）AIbase
【免责声明】
本文信息来自 Anthropic FlashProve 公开研究与开源发布；零知识证明方案存在推理算力、延迟、存储开销，落地到生产 API 还有工程适配成本；该方案不能解决幻觉、提示注入、内容安全等问题，也无法在输入输出被大幅修改后继续核验；安全假设依赖底层密码学原语。