API偷偷换了模型？19MB的证明能查出来

你点开的那个便宜 API，可能已经不是你以为的那个模型了。 11月2日 Anthropic 开源的原型 FlashProve，第一次让这件事变成可查的：它为每 1024 个 token 的推理附一张证明，你用普通 CPU 花 17 秒验完，就能确认这串字出自哪个被点名的权重。

这东西验的是另一件事，跟内容真假无关。 水印是模型生成时往文字里掺记号，验的是"这段文字有没有记号"；FlashProve 验的是刚才那次计算，到底由哪套权重跑出来的。

一句话说清：这是一份针对计算过程的凭证，不评价内容好坏。

先给权重按个手印，再证明每一步跑对了

模型提供方在离线阶段做一件一次性的事：把对外服务的那套权重压成一个 6.5MB 的承诺值发出去。这个值只对应一套权重，却看不出那套权重长什么样，官方给的可用期大约是 1600 万次请求。

之后每来一次请求，证明方产出一份文件，断言"被承诺过的这套权重，在这个输入上会吐出这几个 token"。验证方手里只有三样东西：承诺值、问题、回答，不需要显卡，也不需要权重本身。

底层用的是 zkSNARK，一种零知识简洁论证。它让证明方在完全不暴露中间结果的前提下，让你相信某个计算被正确执行过，而验证成本远低于自己重跑一遍。

落到具体场景：你买了一个第三方路由服务，比官方便宜三成，页面写着"全部走官方模型"。以前你只能看回答像不像，现在理论上可以要求对方对每次回答附上证明，验证失败就说明 token 不是那套权重产的。

110 token/秒、18.78MB：这次不是玩具

18.78MB 和 93.6GB 摆在一起，我才反应过来这次往前挪了多远。

Anthropic 挑的靶子不小。Llama 4 Maverick，400B 参数的混合专家模型，4-bit 量化，跑一个 token 只叫醒约 17B 参数。单张 H100 上，它一秒产出 110 个 token 的证明​，每份 18.78MB​；客户端拿 24 线程核 17 秒​，单线程 21 秒。

同一个模型，此前开源的 VerInf 报出来是 0.02 token/秒。按那个速度，1000 个 token 要从早跑到深夜，14.3 小时，证明文件 93.6GB，验证再花掉差不多一整天。

代价也写在纸面上：证明耗时是用 vLLM 直接跑同样请求的 72 到 94 倍​。它换来的是可验证性，不是更快的推理，所以它做的是事后成批补证，而不是边算边证。

工程上有两处取巧。混合专家模型每个 token 只激活一小部分专家，证明方的工作量就按那 17B 算，不是 400B；权重按层切片流式读入，一张 80GB 的卡配上约 290GB 主机内存就能跑起来。

它没打算藏起来的部分，更该看仔细

证明藏权重，却不藏架构。官方写得很清楚，模型是不是混合专家、层怎么排、专家怎么路由，都不在保护范围内，谁想看都看得出。上下文也只到 1024 个 token，今天你随手贴一份合同进去，早就超了。

还有一条限制最容易被跳过：证明覆盖的是整数版权重、贪心解码。换成浮点实现或者采样解码，某一位就可能和证明覆盖的计算对不上。

而它证明的是完整性，不证明正确性。答案准不准、安不安全、有没有偏见，这份证明一概不管，官方原文写的是"模型是不是它"，不问"它说得对不对"。

所以水印管文字，证明管计算，两码事。把两件事混着谈，容易得出"以后 AI 造假都能被识破了"这种结论，而它离那一步还有相当距离。

谁最先感到变化

做中转和套壳的会最先感到不对劲。这门生意过去靠"你看不出来"吃饭，客户掏钱买的是信任，不是可验证性。证明出来以后局面变成：你可以不给，但你不给，客户就有理由多问一句。那三成差价还得有人买单，只是理由得换个说法。

独立评测机构那边更实际。他们最怕的从来不是模型差，而是测的和线上跑的不是同一个，而可验证的推理记录让这类争议第一次能落到技术上。

Anthropic 自己在路线图里写过这条线。它承诺过 2026 年 9 月 30 日前做出可证推断的原型，并称该目标已通过另一个项目达成，FlashProve 是并行的第二条路径。代码、Lean 证明和技术报告都放在 Apache 2.0 下，官方也明说这是中间进度。

门槛不在证明一个 400B 模型跑对了，而在让主流服务商愿意为每次回答多付几十倍算力。

下次续费中转服务之前，不妨先问对方一句：能不能给我证明？

作者提示含AI生成内容。作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～