Anthropic lanserer FlashProve: kryptografisk bevis på hvilken modell som svarte, uten å røpe vektene

Anthropic lanserer FlashProve: kryptografisk bevis på hvilken modell som svarte, uten å røpe vektene

Anthropics Frontier Red Team ga 2. november 2026 ut FlashProve, en forskningsprototype som produserer kryptografiske bevis for at ett spesifikt språkmodell-svar faktisk ble generert av én spesifikk vektmengde — uten at vektene blir offentliggjort. Koden er åpen under Apache 2.0-lisensen, med prover, en C++-verifikator, en Lean-referanseverifikator, formelle bevis og spesifikasjon på GitHub. Prototypebyggingen skjedde sammen med forskere ved EPFL, MIT og StarkWare, og systemet hviler på en zkSNARK — en «zero-knowledge succinct argument of knowledge» i samme hashbaserte bevisfamilie som driver Ethereum-L2-er som Starknet. Dette er første åpne, målbare forsøk på kryptografisk «provable inference» i skalaen til frontier-modeller: teamet beviste utdata fra Llama 4 Maverick, en MoE-modell med 400 milliarder parametre, på én enkelt H100-GPU.

Men det er viktig å lese tallene med riktig brille: dette er en forskningsprototype, ikke et produkt. Overheaden er stor, omfanget av hva som kan bevises er snevert, og Anthropic har ikke annonsert planer om å ta systemet i bruk i egne eller andres tjenester.

Hvordan ordningen fungerer

FlashProve deler arbeidet i to faser.

I den offline-fasen forplikter proveren seg til modellens vekter én gang, i et trinn som tar rundt 39 minutter per modell. Resultatet er en «weight commitment» — et digitalt fingeravtrykk på omtrent 6,24 MB ifølge XenoSpectrum, mens Help Net Security oppgir en nedlastbar fil på 6,5 MB; den nøyaktige størrelsen er altså usikker i sekundærkildene. Poenget er at fingeravtrykket kan publiseres uten at vektene kan rekonstrueres fra det. Dette er mekanismen som i prinsippet kunne fått lukkede modellmakere som Anthropic og OpenAI med på laget: vektene er blant deres mest verdifulle kommersielle eiendeler og blir normalt ikke publisert, men et fingeravtrykk som ikke avslører dem gjør det likevel mulig å binde svar til en spesifikk modellversjon. Én commitment skal dekke rundt 16 millioner forespørsler.

I den online-fasen genererer leverandøren et bevis på omtrent 18,78 MB for en forespørsel med 1 024 token, knyttet til både prompt og svartoken. Verifikatoren sjekker beviset mot commitmenten og bekrefter at beregningen ble utført riktig. Sjekken går på vanlige CPU-er: rundt 17 sekunder på 24 tråder, eller rundt 21 sekunder på én enkelt tråd.

Fordi bevisene er såkalte succinct argument, er sjekken langt billigere enn å gjenta hele beregningen — det er hele poenget med ordningen.

Tallene — og statusen deres

Teamet testet FlashProve på Llama 4 Maverick og målte den mot vLLM som kjørte samme modell i FP8 på åtte H100-GPUer. Overheaden kom ut på rundt 72 ganger per GPU på tvers av kjøringer, og rundt 94 ganger ved tyngste testede last. Proveren klarte rundt 110 token per sekund på én H100 med 24 CPU-kjerner.

Til alarmen hører en forbehold: dette er Anthropics egne målinger, videreformidlet gjennom sekundærkilder som Shattered, Help Net Security og Yahoo/Bankless. Ingen uavhengig instans har gjentatt dem, og det finnes ingen primærkilde i saken som kan bekrefte tallene direkte. Yahoo/Bankless oppgir for øvrig overhead som «rundt 70 til 95 ganger», som stemmer overens med de mer spesifikke tallene, men stammer fra samme underliggende benchmark — det er derfor korrelasjon, ikke uavhengig bekreftelse.

Hva FlashProve faktisk beviser — og hva den ikke beviser

Sneverbeten i omfang er sentral for å dømme prototypen rett. FlashProve verifiserer en heltallsbasert modell bygget på offentlig tilgjengelige 4-bit kvantiserte vekter, og den beviser en deterministisk beregning basert på greedy decoding, der det mest sannsynlige tokenet velges i hvert steg. Den kan ikke direkte verifisere den flyttallsaritmetikken og den probabilistiske samplingen som typiske AI-tjenester faktisk kjører på. Svar produsert med temperatur, sampling eller i full presisjon faller altså utenfor det prototypen i dag kan bevise.

Det betyr at et FlashProve-bevis i praksis sier: «dette svaret er korrekt utdata fra denne 4-bit kvantiserte modellen under greedy decoding» — ikke «dette svaret kom fra Claude slik du kjenner den». Overgangen fra en kvantisert referansemodell til en tjenestes faktiske inferensstakk er et åpent spørsmål evidensen ikke svarer på.

Et system i tre versjoner — med produsentens egen advarsel

Anthropic har selv en uvanlig ærlig forbehold, gjengitt av Help Net Security: det finnes tre versjoner av systemet — artikkelen, Lean-protokollen og koden som kjører — og teamet lover ikke at alle tre sier det samme. Proveren mangler dessuten formell verifisering; det er verifikatoren som har en Lean-referanse.

XenoSpectrum påpeker videre at dette ikke er et fagfellevurdert paper, men en forskningsprototype som inneholder AI-generert tekst og kode, og at detaljert verifikasjon ikke er gjennomført. For et system hvis hele verdi hypotetisk sett ligger i kryptografisk soundness, er det ikke en fotnote — det er kjernen i usikkerheten. Formelle Lean-bevis for protokollen er et sterkere fundament enn de fleste forskningsprosjekter har, men avstanden mellom protokoll og kjørende kode er der teamet selv peker på den.

Hvorfor det betyr noe — og de åpne spørsmålene

Grunnideen bak provable inference har lenge vært kjent: hvis en leverandør kan bevise kryptografisk at et svar kommer fra en spesifikk modell, kan brukere og revisorer sjekke påstander om modellversjon, migreringer av underliggende modell og «model laundering» uten å stole på leverandørens ord. Det som har manglet er en demonstrasjon i relevant skala. FlashProve er det første åpne forsøket med en MoE-modell i frontier-klassen, og alle byggestener — prover, C++-verifikator, Lean-verifikator, formelle bevis og spesifikasjon — ligger åpent tilgjengelig.

De åpne spørsmålene er mange:

• Ytelse: En overhead på rundt 72–94 ganger er uholdbar i produksjon. Veikartet mot lavere overhead finnes ikke i evidensen.
• Omfang: Broen fra heltallsmodeller med greedy decoding til flyttalls- og samplingbaserte tjenester er ubygget.
• Soundness: Samstemmigheten mellom paper, Lean-protokoll og kode er uavklart etter produsentens egen vurdering.
• Dato: Flere kilder daterer utgivelsen til 2. november 2026, mens en kilde omtaler en annonse «tirsdag 3. november»; Shattered noterer en 2. november-dato med en 3. november-oppdatering. Den nøyaktige annonsedagen bør sjekkes mot Anthropics egen post.
• Adopsjon: Ingen utrullingsplaner er annonsert, verken i Anthropics egne produkter eller hos andre.

Dømte ut fra dette er FlashProve best forstått som et målepunkt, ikke et gjennombrudd i praktisk relevans: det viser hvor langt kryptografisk inferensverifisering er kommet — 400 milliarder parametre bevist på én GPU — og hvor langt det fortsatt er igjen, i tall som lar seg diskutere.