Anthropic は11月2日、AI の回答が特定のモデルから出たものかを暗号技術で証明する研究用の仕組み「FlashProve」を発表し、コードを Apache 2.0 ライセンスで GitHub に公開した。モデルの重み (中身の数値) を見せないまま、「この回答はこのモデルが出した」と第三者が確かめられるようにする試みだ。
アプリや仲介サービス経由で AI を使うとき、画面の向こうで実際にどのモデルが答えているかは、いまは提供側の説明を信じるしかない。Anthropic 自身も研究ページで、コストを理由に仲介サービスが別のモデルへこっそり差し替えても、利用者には確かめる手段がないと書いている。その前提が技術的には崩せると示した点で、暮らしの道具として AI を使う側にも関わる話だ。この件は速報で第一報を出している。
FlashProve が証明すること、しないこと
仕組みは二段に分かれる。まず提供側が、使う重みに対する「コミットメント」(中身を隠したまま固定する暗号の約束) を公開する。次に回答ごとに、その重みが確かにこの回答を出したという証明を作る。証明にはゼロ知識証明の一種である zkSNARK を使い、コミットメント・質問・回答・証明がそろえば、重みも GPU も持たない人が普通の CPU で検証できる。研究ページによると、検証は24スレッドで17秒だった。
範囲は狭い。実演に使ったのは Meta の公開モデル Llama 4 Maverick (総パラメータ約4000億の MoE) を第三者が4ビットに変換したもので、Claude のモデルでは試していない。証明の対象はモデルを整数で計算した版で、毎回いちばん確率の高い語を選ぶ出し方 (貪欲デコード) に限られる。ふだんのチャットのように出力に揺らぎを持たせると、途中から答えがずれうると Anthropic は書いている。扱える文脈は1,024トークンまでで、モデルの構造 (重みを除く) は隠せない。
速くなったが、まだ重い
進歩ははっきりしている。H100 1枚で毎秒約110トークンの証明を作れ、同じモデルを扱った先行研究 VerInf の毎秒約0.02トークンから桁が変わった。証明の大きさは1,024トークンの依頼1件あたり約19MB だ。
一方でコストは大きい。広く使われる推論エンジン vLLM でふつうに動かす場合と比べ、GPU 時間は約72倍 (試行により66〜77倍)、最も負荷の高い条件では約94倍かかった。証明は回答のあとで作るため、待ち時間も増える。安全性の性質は定理証明系 Lean で証明されているが、Lean 上の手順と高速な実装コードが完全に一致する保証はないと、著者自身が限界に挙げている。
ただし、まだ研究段階だ。GitHub の README は「保守しない研究成果物」と明記し、どの AI 事業者も導入するとは言っていない。
使う側に残る判断軸
研究ページが挙げる使いみちは、改ざんされたサーバーの検出、あるモデルが別のモデルになりすますすり替え、仲介サービス経由の利用者や外部の評価者による確認、規制当局が承認したモデルだけが動いているかの確認などだ。どれも、提供側がコミットメントを公開してはじめて成り立つ。
個人が試せる入口もある。README によると、保存済みの証明を検証するだけなら Linux と g++ 13 以上、2GB 未満のメモリで足り、組み立てに1〜2分、検証は2秒未満で終わる。ただしこれは見本の証明が正しいことを確かめるだけで、自分が使っているサービスの回答を確かめるものではない。
だから次に見るべき一点は、コードの更新ではなく提供側の動きだ。Anthropic を含む AI 事業者が、自社モデルのコミットメントを公開すると発表するかどうか。各社の研究ページや API の変更告知で、その一文が出るかを追いたい。
ことば
- ゼロ知識証明 — ある主張が正しいことを、根拠になる秘密 (ここではモデルの重み) を見せずに相手へ納得させる暗号技術。暗号資産の分野で磨かれてきた手法が、AI の出どころの確認に転用されている。
- コミットメント — 中身を隠したまま「この値で固定した」と先に宣言する暗号の約束。あとから中身を差し替えると検証で見破れるので、提供側が使うモデルを途中で変えられなくなる。
- MoE (混合エキスパート) — 巨大なモデルの中に専門の小さな部品を多数持ち、1語ごとに一部だけを動かす作り。Llama 4 Maverick は約4000億のうち約170億を1語ごとに使う。
仕事の下調べや暮らしの相談を AI に任せるとき、「どのモデルが答えたか」を、あなたはどこまで確かめたいだろうか？
