Anthropicがオープンソースの試作版「FlashProve」を公開、回答を生成したAIモデルを証明可能に

Anthropicは2026年11月2日、一見シンプルに見える問いに答えるオープンソースのプロトタイプFlashProveを公開した。その問いとは「AIモデルに問い合わせた際、本当にそのモデルが回答したとどうやって確認できるのか」というものだ。このシステムは、重みを開示することなく、各回答が特定のモデルから出力されたという暗号学的証明を生成する。コード、形式証明、テクニカルレポートはApache 2.0ライセンスの下で公開されている。

課題：どのモデルが回答しているか分からない

現在、ユーザーには回答が公表通りのモデルから生成されたものかを検証する手段がない。Anthropicはいくつかの事例を挙げている。高額なモデルを安価なモデルへと密かに置き換えるルーティングサービス、侵害されたサーバー上でトークンストリームを改ざんする攻撃者、あるいはテスト対象のモデルが実際に提供されているものと同一であるか確認しなければならない第三者評価機関などだ。記事では、規制対応における用途についても触れられており、プロバイダーが認可されたモデルのみを提供していることや、ハードウェアが実際に推論を行っていることを規制当局に証明するケースなどが挙げられている。

FlashProveの仕組み

基本原理は2つのステップからなる。まずプロバイダーは重みに対するコミットメントを公開する。これは、具体的な重みのセットを秘匿したまま確定させる短いフィンガープリントである。次に特定のリクエストに対し、「コミットされたモデルがこれらの出力トークンを生成した」という証明を作成する。コミットメント、プロンプト、回答を持つ者であれば、重みそのものや大規模なハードウェアなしに誰でも検証できる。

採用されている技術は、一部のブロックチェーンでも利用されているゼロ知識証明の一種であるzkSNARKだ。この証明からは重み、中間計算、各層で活性化されたエキスパートなどは一切漏洩しない。一方で、モデルのアーキテクチャ自体は隠蔽されない。

公表された測定値

Anthropicはこれらの結果を過去の研究と比較している。同社の記事によると、同一モデルに対する過去唯一の先行事例であるVerInfでは、1,000トークンに対して14.3時間と93.6GBの証明サイズを要していたという。このシステムはMixture of Experts（MoE）の構造を活用しており、証明作業は4000億パラメータ全体ではなく、トークンあたり約170億のアクティブパラメータに比例する。

共著者としてのClaude、防護柵としてのLean

Anthropicによれば、Claudeが推論向けzkSNARKの改良案を生み出したという。複雑なシステムにおける評価が困難な最適化の選択を補うため、完全性、健全性、ゼロ知識性といったセキュリティ特性は、形式検証言語であるLeanで記述・証明されている。リポジトリには、C++で書かれた高速検証器と、低速ながらLeanで証明済みの検証器が含まれている。

明らかにされた限界

AnthropicはFlashProveを研究プロトタイプと位置づけており、GitHubリポジトリにも「メンテナンスされていない」と記されている。挙げられている制限事項は明確だ。コンテキストは1,024トークンに限定され、証明は貪欲法（greedy decoding）を用いたモデルの整数演算版を対象としている（サンプリングされた回答や浮動小数点演算による回答は乖離する可能性がある）。また、アーキテクチャは公開され、サイドチャネル攻撃は想定外であり、高速な実装コードがLeanで証明されたプロトコルと完全に一致するという形式的保証もない。記事では、Anthropicが信頼できるサーバー上で推論を再計算してトラフィックに署名するという別手法によって、推論検証プロトタイプの目標をすでに達成していたことにも触れられている。