Anthropic veröffentlicht FlashProve: Ein Open-Source-Prototyp zum kryptografischen Nachweis von Modellantworten

Anthropic hat am 2. November 2026 FlashProve veröffentlicht, einen Open-Source-Prototypen, der eine scheinbar einfache Frage beantwortet: Wenn man ein KI-Modell abfragt, wie kann man sicher sein, dass tatsächlich dieses Modell geantwortet hat? Das System erzeugt für jede Antwort einen kryptografischen Beweis, dass sie von einem bestimmten Modell stammt, ohne dessen Gewichte offenzulegen. Code, formale Beweise und technischer Bericht stehen unter der Apache-2.0-Lizenz bereit.

Das Problem: Unklarheit über das antwortende Modell

Bislang haben Nutzer keine Möglichkeit zu überprüfen, ob eine Antwort tatsächlich vom angegebenen Modell stammt. Anthropic nennt mehrere Szenarien: Ein Routing-Dienst könnte unbemerkt ein teures Modell durch eine günstigere Variante ersetzen, ein Angreifer auf einem kompromittierten Server den Token-Stream manipulieren, oder ein unabhängiger Prüfer muss sicherstellen, dass das getestete Modell exakt dem entspricht, das bereitgestellt wird. Der Blogbeitrag verweist zudem auf regulatorische Anwendungsfälle: den Nachweis gegenüber einer Behörde, dass ein Anbieter ausschließlich genehmigte Modelle ausliefert oder dass die Hardware tatsächlich Inferenzberechnungen durchführt.

So funktioniert FlashProve

Das Prinzip gliedert sich in zwei Schritte. Zunächst veröffentlicht der Anbieter ein Commitment auf seine Gewichte – einen kurzen kryptografischen Fingerabdruck, der einen festen Satz an Gewichten festlegt, ohne sie zu enthüllen. Anschließend generiert er für eine gegebene Anfrage den Beweis: „Das hinterlegte Modell erzeugt diese Ausgabe-Tokens.“ Jeder, der über das Commitment, den Prompt und die Antwort verfügt, kann diesen Beweis verifizieren – ganz ohne Zugriff auf die Gewichte und ohne rechenintensive Hardware.

Technisch handelt es sich um ein zkSNARK, eine Familie von Zero-Knowledge-Beweisen, die bereits aus bestimmten Blockchains bekannt ist. Der Beweis legt weder die Gewichte noch Zwischenrechnungen oder die auf jeder Schicht aktivierten Experten offen. Die Architektur des Modells bleibt hingegen einsehbar.

Die veröffentlichten Kennzahlen

Anthropic vergleicht diese Ergebnisse mit früheren Arbeiten: Dem Blogbeitrag zufolge benötigte die einzig bekannte Vorgängerarbeit für dasselbe Modell, VerInf, noch 14,3 Stunden für 1.000 Tokens bei einer Beweisgröße von 93,6 GB. Das System nutzt die Mixture-of-Experts-Struktur gezielt aus: Der Rechenaufwand für den Beweis skaliert proportional zu den rund 17 Milliarden aktiven Parametern pro Token, nicht zu den gesamten 400 Milliarden.

Claude als Co-Autor, Lean als Sicherheitsnetz

Anthropic berichtet, dass Claude Optimierungen an den zkSNARKs für die Inferenz erarbeitet hat. Um Optimierungsentscheidungen abzusichern, die in einem komplexen Gesamtsystem schwer zu bewerten sind, wurden die Sicherheitseigenschaften (Vollständigkeit, Robustheit, Zero-Knowledge) in Lean, einer Sprache zur formalen Verifikation, formuliert und bewiesen. Das Repository enthält sowohl einen schnellen C++-Verifier als auch einen langsameren, dafür formal verifizierten Verifier in Lean.

Bekannte Einschränkungen

Anthropic stuft FlashProve ausdrücklich als Forschungsprototypen ein; das GitHub-Repository wird als „nicht gepflegt“ deklariert. Die genannten Einschränkungen sind deutlich: Der Kontext ist auf 1.024 Tokens limitiert, der Beweis bezieht sich auf eine ganzzahlige Version des Modells im Greedy-Decoding-Verfahren (eine gesampelte oder mit Gleitkommazahlen berechnete Antwort kann abweichen), die Modellarchitektur bleibt sichtbar, Seitenkanalangriffe liegen außerhalb des Schutzbereichs, und es gibt keine formale Garantie, dass der performante Code exakt dem in Lean bewiesenen Protokoll entspricht. Der Beitrag erwähnt zudem, dass Anthropic sein Ziel eines Inferenzprüfungs-Prototyps zuvor über einen anderen Ansatz erreicht hatte, der den Datenverkehr signiert und die Inferenz auf einem vertrauenswürdigen Server nachrechnet.