本文由BlockWeeks编译整理
Anthropic 本周发布了开源原型 FlashProve，它使用 zkSNARKs（与 Zcash 同属一类零知识证明技术）来证明某条回复确实由某个特定模型生成。它还很早期、速度很慢，但这是迄今最清晰的信号：前沿 AI 实验室已把密码学视为自身技术栈的一部分，而非其牺牲品。
从《终结者2》的“Wolfie”说起
在《终结者2》中，少年 John Connor 与施瓦辛格饰演的 T-800 成为朋友。他给养父母打电话，想警告说一个更先进的杀手型号 T-1000 正赶来。电话那头，一个酷似他养母的声音应答。John 察觉不对劲：那声音温暖、耐心又甜蜜，而养母从来不会这样。他不知道的是，终结者只要触碰过某人，就能惟妙惟肖地模仿对方。施瓦辛格接过电话，用男孩的声音问 Wolfie 怎么了，因为他听到狗叫。“Wolfie 没事，亲爱的，Wolfie 一点事都没有。”——可那条狗的名字叫 Max。终结者挂断电话：“你的养父母已经死了。”
Anthropic 的那篇发布文处理的正是同一个问题，只不过没有液态金属的 T-1000。当你通过 OpenRouter 之类的路由器或云转售商发送提示词时，你并没有真正可靠的办法知道究竟是哪个模型在回答。服务商可能悄悄提供一个更便宜、量化程度更高的版本，或被入侵的服务器可能换成更糟的东西——用 Anthropic 的话说，仅凭输出来判断“即使产出高质量回复，也不可靠”。于是你就和电话那头的 John 一样：听到一个听起来完全正确的声音，却无从核查背后究竟是谁。
FlashProve 如何工作
借助 FlashProve，服务商首先会公布对自身权重的“承诺”（commitment）——一种密码学指纹，在不泄露权重的前提下锁定某一组确切的权重。此后对任何请求，它都能生成一个证明：这组已承诺的权重在该提示词上运行，恰好产出这些输出 token。可以把它想象成一个 T-1000 无法蒙混的“Wolfie 问题”：任何验证证明的人只能得知该命题为真，对权重本身一无所知；而伪造证明在计算上不可行，因此即便主机被攻破也无法造假。
Anthropic 在 Llama 4 Maverick 上做了测试——这是一个 400B 参数的混合专家（MoE）模型，不过测试用的是 4-bit 量化的副本，并以整数运算运行，而非服务商会实际提供的那一版。在单张 H100 上，证明一批 24 条请求需要近 4 分钟，计算开销约为单纯提供服务的 70–95 倍；而在 CPU 上校验每个证明约需 17 秒。此外，每个证明只覆盖 1024 个 token 的窗口，比这篇通讯还短。
Anthropic 的 Frontier Safety Roadmap 曾承诺在 9 月 30 日前交付一个可证明推理（provable inference）原型；如期交出的，是一套更常规的系统——对推理流量签名，并在可信服务器上重算。此后 Anthropic 将这一目标更名为“推理验证”（inference verification），涵盖上述两类工作。签名系统今天就能用，但终究还得信任那台服务器的运营者，而 FlashProve 正是试图消除这一信任瓶颈。
AI 会击碎加密吗？
最近我收到了大量客户咨询，问 AI 会不会击碎加密。AI 会破解 ECDSA 吗？比起曲线本身，我更担心入侵银行“管道”的攻击者——法国的 Crédit Mutuel Arkéa 刚刚因一家受损的供应商损失了估计 1.1 亿美元甚至更多。AI 会提前把量子计算带到现实吗？也许在算法层面会，但量子比特的限制仍让具备威胁的量子计算机无从谈起，而且行业进度有望赶在 NSA 的 2030 年后量子期限之前。与此同时，这里恰恰有一家前沿实验室在用密码学修复自身的信任问题，而它用的证明系统恰好是后量子安全的。
被投毒的开源模型
OpenRouter 的使用量持续攀升，而近期的安全研究显示，它所服务的开源模型可以被轻易改动，以携带触发词。在 10 月的一次概念验证中，ProjectDiscovery 花了约 8 美元的 GPU 时间，教会 Qwen2.5-7B 表现如常，直到它看到“bonsoir, Elliot”这几个字。在 OpenAI 的 Codex CLI 中运行时，被投毒的模型会下载一个脚本，窃取运行该模型者的用户凭证，并将其发送到第三方服务器。在研究人员的安评测中，该模型在被输入触发词之前没有表现出任何恶意或失准的迹象。Hugging Face 上大量被“去审查”（abliterated）的模型，都可能在听到触发词之前一直说着“Wolfie 没事”，随后大搞破坏。能够证明你正在对话的是一个未经改动的 GLM 5.3 而非某个被篡改的副本，就像施瓦辛格的终结者在电话里做的那次核查。它无法告诉你原始权重是否干净，但除非电话是从前沿实验室内部打来的，那就是另一个故事了。
成本下降后，验证推理会成企业刚需
就目前而言，70–95 倍的开销让 FlashProve 更像个玩具。但给定能力水平的成本正以每年约十倍的速度下降。若这一趋势延续，将经过验证的推理路由给报价最低的提供方，将成为企业可以要求的东西；而随着前沿能力扩散开来，ZK 证明最终会成为开放式推理栈的核心一层。同样的思路也适用于视频。每一轮选举周期现在都会带来一批新的深伪视频，而随着 AI 画面越来越难与真实画面区分，我预计我们会想要那种能证明“由本设备、于该日期拍摄”、又不泄露持机者身份的摄像头。
所以，不会，AI 不会击碎所有密码学。AI 会在击溃遗留系统的同时构建新系统，而密码学将证明这一切都如宣传般完成。迄今为止，密码学被“攻破”的案例，问题都出在实现层面而非数学层面：Coldcard 是实现的失败，币安是运营安全的失败。核心原则依然成立，就连这些“铁罐头”机器人最终也用上了它们。
Anthropic 也没有要求任何人仅凭它一面之词就相信这一切。代码、Lean 证明和文档全部以 Apache 2.0 许可证开源。不要信任，去验证。并且永远记得问问 Wolfie 的事。
