Este artículo fue compilado y organizado por BlockWeeks
Anthropic lanzó esta semana el prototipo de código abierto FlashProve, que utiliza zkSNARKs (la misma categoría de tecnología de prueba de conocimiento cero que Zcash) para demostrar que una respuesta dada fue efectivamente generada por un modelo específico. Todavía es muy temprano y lento, pero esta es la señal más clara hasta la fecha: los laboratorios de IA de frontera han llegado a considerar la criptografía como parte de su propia pila tecnológica, en lugar de su víctima.
Empezando por "Wolfie" en Terminator 2
En Terminator 2, el joven John Connor se hace amigo del T-800 interpretado por Schwarzenegger. Llama a sus padres adoptivos para advertirles de que un modelo asesino más avanzado, el T-1000, está en camino. Al otro lado de la línea, responde una voz que suena exactamente como la de su madre adoptiva. John percibe que algo va mal: la voz es cálida, paciente y dulce, y su madre adoptiva nunca es así. Lo que no sabe es que el Terminator, tras tocar a alguien, puede imitarlo a la perfección. Schwarzenegger toma el teléfono y pregunta con la voz del niño qué le pasa a Wolfie, porque ha oído ladrar al perro. "Wolfie está bien, cariño, Wolfie está perfectamente bien".—pero el perro se llama Max. El Terminator cuelga: "Tus padres adoptivos están muertos".
La publicación de Anthropic aborda exactamente el mismo problema, excepto sin el T-1000 de metal líquido. Cuando envías un prompt a través de un enrutador como OpenRouter o un revendedor en la nube, no tienes una forma realmente fiable de saber qué modelo está respondiendo en realidad. El proveedor podría servir silenciosamente una versión más barata y más cuantizada, o un servidor comprometido podría sustituirlo por algo peor—en palabras de Anthropic, juzgar solo por la salida "no es fiable incluso cuando produce respuestas de alta calidad". Así que eres como John al teléfono: oyes una voz que suena completamente correcta, pero no tienes forma de verificar quién está realmente detrás de ella.
Cómo funciona FlashProve
Con FlashProve, el proveedor primero publica un "compromiso" sobre sus pesos—una huella criptográfica que fija un conjunto exacto de pesos sin revelarlos. Después de eso, para cualquier solicitud puede generar una prueba: que este conjunto comprometido de pesos, ejecutado sobre ese prompt, produce exactamente estos tokens de salida. Piénsalo como una "pregunta Wolfie" que el T-1000 no puede superar con engaños: cualquiera que verifique la prueba solo aprende que la proposición es verdadera, y nada sobre los pesos en sí; y falsificar una prueba es computacionalmente inviable, por lo que incluso un host comprometido no puede falsificarla.
Anthropic lo probó en Llama 4 Maverick—un modelo de mezcla de expertos (MoE) de 400B de parámetros, aunque la prueba utilizó una copia cuantizada a 4 bits ejecutándose en aritmética entera, en lugar de la versión que un proveedor serviría realmente. En una sola H100, probar un lote de 24 solicitudes tarda casi 4 minutos, con una sobrecarga computacional de aproximadamente 70–95 veces la de simplemente servir; y verificar cada prueba en una CPU tarda unos 17 segundos. Además, cada prueba cubre solo una ventana de 1024 tokens, más corta que este boletín.
La Hoja de Ruta de Seguridad de Frontera de Anthropic había prometido entregar un prototipo de inferencia demostrable antes del 30 de septiembre; lo que entregó a tiempo fue un sistema más convencional—firmar el tráfico de inferencia y recomputarlo en servidores de confianza. Desde entonces, Anthropic ha rebautizado este objetivo como "verificación de inferencia", abarcando ambos tipos de trabajo. El sistema de firma es usable hoy, pero en última instancia todavía tienes que confiar en el operador de ese servidor, y FlashProve es precisamente un intento de eliminar este cuello de botella de confianza.
¿Romperá la IA el cifrado?
Recientemente he recibido un gran número de consultas de clientes preguntando si la IA romperá el cifrado. ¿Romperá la IA ECDSA? Más que la curva en sí, me preocupan los atacantes que comprometen la "fontanería" de los bancos—Crédit Mutuel Arkéa de Francia acaba de perder unos 110 millones de dólares o más debido a un proveedor comprometido. ¿Hará la IA que la computación cuántica sea una realidad antes de lo previsto? Quizás a nivel algorítmico, pero las limitaciones de los cúbits todavía hacen imposible una computadora cuántica amenazante, y se espera que el progreso de la industria supere la fecha límite cuántica posterior a 2030 de la NSA. Mientras tanto, aquí hay precisamente un laboratorio de frontera usando criptografía para arreglar sus propios problemas de confianza, y el sistema de prueba que utiliza resulta ser seguro frente a la computación cuántica.
Modelos de código abierto envenenados
El uso de OpenRouter sigue aumentando, y una investigación de seguridad reciente muestra que los modelos de código abierto que sirve pueden alterarse fácilmente para portar palabras de activación. En una prueba de concepto de octubre, ProjectDiscovery gastó unos 8 dólares de tiempo de GPU para enseñar a Qwen2.5-7B a comportarse con normalidad hasta que viera las palabras "bonsoir, Elliot". Al ejecutarse en la CLI Codex de OpenAI, el modelo envenenado descargaba un script que roba las credenciales de quien esté ejecutando el modelo y las envía a un servidor de terceros. En la evaluación de seguridad de los investigadores, el modelo no mostró signos maliciosos ni desalineados antes de introducir la palabra de activación. Los numerosos modelos "abliterated" en Hugging Face podrían seguir diciendo "Wolfie está bien" hasta que oigan la palabra de activación, y entonces causar estragos. Poder demostrar que estás hablando con un GLM 5.3 sin modificar en lugar de con alguna copia manipulada es como la comprobación que hacía el Terminator de Schwarzenegger por teléfono. No puede decirte si los pesos originales están limpios, pero a menos que la llamada venga desde dentro del laboratorio de frontera, esa es otra historia.
Una vez que bajen los costos, la inferencia verificada se volverá imprescindible para las empresas
Por ahora, la sobrecarga de 70–95x hace que FlashProve sea más bien un juguete. Pero el costo para un nivel dado de capacidad está cayendo a unas diez veces por año. Si esta tendencia continúa, enrutar la inferencia verificada al postor más bajo se convertirá en algo que las empresas podrán exigir; y a medida que se difundan las capacidades de frontera, las pruebas ZK acabarán convirtiéndose en una capa central de la pila de inferencia abierta. La misma idea se aplica al video. Cada ciclo electoral trae ahora un nuevo lote de videos deepfake, y a medida que las imágenes de IA se vuelven cada vez más difíciles de distinguir de las grabaciones reales, espero que queramos cámaras que puedan demostrar "capturado por este dispositivo, en esta fecha" sin revelar la identidad de la persona que la sostiene.
Así que no, la IA no romperá toda la criptografía. La IA construirá nuevos sistemas mientras rompe los heredados, y la criptografía demostrará que todo se hizo como se anunció. Hasta la fecha, los casos en que la criptografía ha sido "rota" han sido problemas a nivel de implementación más que a nivel matemático: Coldcard fue un fallo de implementación, Binance fue un fallo de seguridad operativa. Los principios fundamentales siguen vigentes, e incluso estos robots de "lata" acabaron haciendo uso de ellos.
Tampoco Anthropic pide a nadie que se crea todo esto solo por su palabra. El código, las pruebas en Lean y la documentación están todos publicados como código abierto bajo la licencia Apache 2.0. No confíes, verifica. Y recuerda siempre preguntar por Wolfie.
