本文由BlockWeeks編譯整理
Anthropic 本週發布了開源原型 FlashProve，它使用 zkSNARKs（與 Zcash 同屬一類零知識證明技術）來證明某條回覆確實由某個特定模型生成。它還很早期、速度很慢，但這是迄今最清晰的信號：前沿 AI 實驗室已把密碼學視為自身技術棧的一部分，而非其犧牲品。
從《終結者2》的「Wolfie」說起
在《終結者2》中，少年 John Connor 與施瓦辛格飾演的 T-800 成為朋友。他給養父母打電話，想警告說一個更先進的殺手型號 T-1000 正趕來。電話那頭，一個酷似他養母的聲音應答。John 察覺不對勁：那聲音溫暖、耐心又甜蜜，而養母從來不會這樣。他不知道的是，終結者只要觸碰過某人，就能惟妙惟肖地模仿對方。施瓦辛格接過電話，用男孩的聲音問 Wolfie 怎麼了，因為他聽到狗叫。「Wolfie 沒事，親愛的，Wolfie 一點事都沒有。」——可那條狗的名字叫 Max。終結者掛斷電話：「你的養父母已經死了。」
Anthropic 的那篇發布文處理的正是同一個問題，只不過沒有液態金屬的 T-1000。當你通過 OpenRouter 之類的路由器或雲轉售商發送提示詞時，你並沒有真正可靠的辦法知道究竟是哪個模型在回答。服務商可能悄悄提供一個更便宜、量化程度更高的版本，或被入侵的伺服器可能換成更糟的東西——用 Anthropic 的話說，僅憑輸出來判斷「即使產出高質量回覆，也不可靠」。於是你就和電話那頭的 John 一樣：聽到一個聽起來完全正確的聲音，卻無從核查背後究竟是誰。
FlashProve 如何工作
藉助 FlashProve，服務商首先會公布對自身權重的「承諾」（commitment）——一種密碼學指紋，在不洩露權重的前提下鎖定某一組確切的權重。此後對任何請求，它都能生成一個證明：這組已承諾的權重在該提示詞上運行，恰好產出這些輸出 token。可以把它想像成一個 T-1000 無法蒙混的「Wolfie 問題」：任何驗證證明的人只能得知該命題為真，對權重本身一無所知；而偽造證明在計算上不可行，因此即便主機被攻破也無法造假。
Anthropic 在 Llama 4 Maverick 上做了測試——這是一個 400B 參數的混合專家（MoE）模型，不過測試用的是 4-bit 量化的副本，並以整數運算運行，而非服務商會實際提供的那一版。在單張 H100 上，證明一批 24 條請求需要近 4 分鐘，計算開銷約為單純提供服務的 70–95 倍；而在 CPU 上校驗每個證明約需 17 秒。此外，每個證明只覆蓋 1024 個 token 的窗口，比這篇通訊還短。
Anthropic 的 Frontier Safety Roadmap 曾承諾在 9 月 30 日前交付一個可證明推理（provable inference）原型；如期交出的，是一套更常規的系統——對推理流量簽名，並在可信伺服器上重算。此後 Anthropic 將這一目標更名為「推理驗證」（inference verification），涵蓋上述兩類工作。簽名系統今天就能用，但終究還得信任那台伺服器的運營者，而 FlashProve 正是試圖消除這一信任瓶頸。
AI 會擊碎加密嗎？
最近我收到了大量客戶諮詢，問 AI 會不會擊碎加密。AI 會破解 ECDSA 嗎？比起曲線本身，我更擔心入侵銀行「管道」的攻擊者——法國的 Crédit Mutuel Arkéa 剛剛因一家受損的供應商損失了估計 1.1 億美元甚至更多。AI 會提前把量子計算帶到現實嗎？也許在算法層面會，但量子比特的限制仍讓具備威脅的量子計算機無從談起，而且行業進度有望趕在 NSA 的 2030 年後量子期限之前。與此同時，這裡恰恰有一家前沿實驗室在用密碼學修復自身的信任問題，而它用的證明系統恰好是後量子安全的。
被投毒的開源模型
OpenRouter 的使用量持續攀升，而近期的安全研究顯示，它所服務的開源模型可以被輕易改動，以攜帶觸發詞。在 10 月的一次概念驗證中，ProjectDiscovery 花了約 8 美元的 GPU 時間，教會 Qwen2.5-7B 表現如常，直到它看到「bonsoir, Elliot」這幾個字。在 OpenAI 的 Codex CLI 中運行時，被投毒的模型會下載一個腳本，竊取運行該模型者的用戶憑證，並將其發送到第三方伺服器。在研究人員的安評測中，該模型在被輸入觸發詞之前沒有表現出任何惡意或失準的跡象。Hugging Face 上大量被「去審查」（abliterated）的模型，都可能在聽到觸發詞之前一直說著「Wolfie 沒事」，隨後大搞破壞。能夠證明你正在對話的是一個未經改動的 GLM 5.3 而非某個被篡改的副本，就像施瓦辛格的終結者在電話裡做的那次核查。它無法告訴你原始權重是否乾淨，但除非電話是從前沿實驗室內部打來的，那就是另一個故事了。
成本下降後，驗證推理會成企業剛需
就目前而言，70–95 倍的開銷讓 FlashProve 更像是個玩具。但給定能力水平的成本正以每年約十倍的速度下降。若這一趨勢延續，將經過驗證的推理路由給報價最低的提供方，將成為企業可以要求的東西；而隨著前沿能力擴散開來，ZK 證明最終會成為開放式推理棧的核心一層。同樣的思路也適用於視頻。每一輪選舉週期現在都會帶來一批新的深偽視頻，而隨著 AI 畫面越來越難與真實畫面區分，我預計我們會想要那種能證明「由本設備、於該日期拍攝」、又不洩露持機者身份的攝像頭。
所以，不會，AI 不會擊碎所有密碼學。AI 會在擊潰遺留系統的同時構建新系統，而密碼學將證明這一切都如宣傳般完成。迄今為止，密碼學被「攻破」的案例，問題都出在實現層面而非數學層面：Coldcard 是實現的失敗，幣安是運營安全的失敗。核心原則依然成立，就連這些「鐵罐頭」機器人最終也用上了它們。
Anthropic 也沒有要求任何人僅憑它一面之詞就相信這一切。代碼、Lean 證明和文檔全部以 Apache 2.0 許可證開源。不要信任，去驗證。並且永遠記得問問 Wolfie 的事。
