Anthropic、応答検証システムFlashProveを公開

Anthropicは11月2日（現地時間）、指定したAIモデルが応答を生成したことを暗号技術で検証するシステム「FlashProve」を発表しました。コードと技術文書をApache 2.0ライセンスでGitHubに公開しています。開発には同社のFrontier Red Team、スイス連邦工科大学ローザンヌ校（EPFL）、米マサチューセッツ工科大学（MIT）の研究者らが参加しました。Anthropicは、完成品ではなく研究の途中経過だと説明しています。

現在、利用者は応答を実際に生成したモデルを確かめられません。Anthropicは、費用を抑えるためルーティングサービスが選択済みモデルを別のモデルに差し替える例や、攻撃者が応答を改ざんする例を挙げています。出力の品質だけでは判別できず、多くのモデルは重み（モデルの学習内容を表す数値）が非公開です。重みを入手できても、同じモデルを動かして照合するには一般ユーザーや評価機関には難しい規模の計算資源が必要になります。

FlashProveは、計算の正しさを内容を明かさず短い証明で示す暗号技術「zkSNARK」を使います。モデル提供者が重みに対応する短い「指紋」（コミットメント）をあらかじめ公開し、応答ごとに、その重みのモデルが入力プロンプトから該当出力を生成したことを示す証明ファイルを作ります。受信者はGPUのないPCでも検証でき、別モデルの出力なら検証に失敗します。証明から重みは漏れませんが、モデルのアーキテクチャは秘匿されません。

Anthropicは、第三者評価機関によるモデルの同一性確認、推論サーバー侵害時の改ざん検知、承認済みモデルのみを提供する規制への準拠確認を用途に挙げています。同社は「Frontier Safety Roadmap」で、特定モデルの重みに出力を結び付けて検証する技術の試作を9月30日までに開発する目標を掲げていました。この目標は、推論トラフィックに署名し、信頼できるサーバーで再計算する別プロジェクトで達成済みだとし、FlashProveは同じ目的を別方式で目指すと説明しています。

検証にはMetaの「Llama 4 Maverick」を使いました。これは4000億パラメータのMixture of Experts（MoE）モデルで、試験には4ビット量子化版を用いました。NVIDIAのGPU「H100」1基で毎秒約110トークンの証明を生成し、1024トークンのリクエスト当たり証明サイズは約19MBでした。24コアCPUでの検証には約17秒かかりました。通常の推論に比べGPU時間は約70～95倍必要ですが、同じモデルを対象にした既存のオープンソース方式は、1000トークン分の証明に14.3時間かかり、証明サイズは93.6GBだったといいます。

Anthropicによると、従来方式からの性能改善にはClaudeを使い、実行コードの多くもAIが生成しました。同社は、大規模で複雑なシステムは判断の妥当性を評価しにくいとして、セキュリティ上の主要な性質を形式検証言語「Lean」で数学的に証明し、第三者が監査できる形で公開しました。

FlashProveは研究用プロトタイプで、現時点の対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでです。証明対象は整数化したモデルで、常に最も確率の高いトークンを選ぶ「greedy decoding」を前提とします。証明は応答を返した後に生成するため、改ざんを事前に防ぐのではなく、事後に検知する仕組みです。

Anthropicは11月2日（現地時間）、指定したAIモデルが応答を生成したことを暗号技術で検証するシステム「FlashProve」を発表しました。コードと技術文書をApache 2.0ライセンスでGitHubに公開しています。開発には同社のFrontier Red Team、スイス連邦工科大学ローザンヌ校（EPFL）、米マサチューセッツ工科大学（MIT）の研究者らが参加しました。Anthropicは、完成品ではなく研究の途中経過だと説明しています。

現在、利用者は応答を実際に生成したモデルを確かめられません。Anthropicは、費用を抑えるためルーティングサービスが選択済みモデルを別のモデルに差し替える例や、攻撃者が応答を改ざんする例を挙げています。出力の品質だけでは判別できず、多くのモデルは重み（モデルの学習内容を表す数値）が非公開です。重みを入手できても、同じモデルを動かして照合するには一般ユーザーや評価機関には難しい規模の計算資源が必要になります。

FlashProveは、計算の正しさを内容を明かさず短い証明で示す暗号技術「zkSNARK」を使います。モデル提供者が重みに対応する短い「指紋」（コミットメント）をあらかじめ公開し、応答ごとに、その重みのモデルが入力プロンプトから該当出力を生成したことを示す証明ファイルを作ります。受信者はGPUのないPCでも検証でき、別モデルの出力なら検証に失敗します。証明から重みは漏れませんが、モデルのアーキテクチャは秘匿されません。

Anthropicは、第三者評価機関によるモデルの同一性確認、推論サーバー侵害時の改ざん検知、承認済みモデルのみを提供する規制への準拠確認を用途に挙げています。同社は「Frontier Safety Roadmap」で、特定モデルの重みに出力を結び付けて検証する技術の試作を9月30日までに開発する目標を掲げていました。この目標は、推論トラフィックに署名し、信頼できるサーバーで再計算する別プロジェクトで達成済みだとし、FlashProveは同じ目的を別方式で目指すと説明しています。

検証にはMetaの「Llama 4 Maverick」を使いました。これは4000億パラメータのMixture of Experts（MoE）モデルで、試験には4ビット量子化版を用いました。NVIDIAのGPU「H100」1基で毎秒約110トークンの証明を生成し、1024トークンのリクエスト当たり証明サイズは約19MBでした。24コアCPUでの検証には約17秒かかりました。通常の推論に比べGPU時間は約70～95倍必要ですが、同じモデルを対象にした既存のオープンソース方式は、1000トークン分の証明に14.3時間かかり、証明サイズは93.6GBだったといいます。

Anthropicによると、従来方式からの性能改善にはClaudeを使い、実行コードの多くもAIが生成しました。同社は、大規模で複雑なシステムは判断の妥当性を評価しにくいとして、セキュリティ上の主要な性質を形式検証言語「Lean」で数学的に証明し、第三者が監査できる形で公開しました。

FlashProveは研究用プロトタイプで、現時点の対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでです。証明対象は整数化したモデルで、常に最も確率の高いトークンを選ぶ「greedy decoding」を前提とします。証明は応答を返した後に生成するため、改ざんを事前に防ぐのではなく、事後に検知する仕組みです。