米Anthropic、AIの返事の出どころを暗号で示す「FlashProve」を公開

米Anthropicは11月2日付の研究の記事で、AIの返事が、提供元の言うモデルから本当に出たものかを暗号の証明で確かめる試作「FlashProve」を公開した。同社のFrontier Red Teamなどの研究で、Claudeが仕組みの改良を進めたという。モデルの重みは見せないまま、返事ごとに小さな証明のファイルを付け、利用者はそれを手元のCPUで確かめる。研究の途中経過として出したもので、製品の機能ではない。

「どのモデルが答えたか」を確かめる

今のAIの利用者は、返事が本当に選んだモデルから出たかを確かめる手段をほとんど持たない。記事は例として、仲介のサービスが費用を抑えるために別のモデルへこっそり差し替える場合や、攻撃者が返事の文字の流れを書き換える場合を挙げる。返事の出来の良さだけでは見分けられないとしている。

使い道として記事が挙げるのは4つだ。規制する側が、提供元の機械が約束どおり推論に使われているかを確かめる。会社が、自社のサーバーで認めた重みが本当に動いているかを確かめ、乗っ取りや差し替えを見つける。「高性能なモデルで脆弱性を調べた」といった主張に証拠を付ける。安全と認められたモデルだけが使われているかを確かめる。

重みを隠したまま返事ごとに証明

使うのは「zkSNARK」と呼ばれる暗号の証明だ。提供元は最初に、モデルの重みの「指紋」に当たる約束を公開する。その後、頼まれた返事ごとに、約束した重みでこの入力からこの返事が出る、という証明を作る。証明からは重みや計算の途中の値、どの専門家の層が動いたかは分からない。モデルの構造は隠さない。

証明は返事を出すのと同時ではなく、出し終えた文をまとめて後から作る。記事は、同時に作る方法は速さのために安全を削りやすく、後から作る方法は遅くてもよい代わりに、確かめられるまでに時間差が出ると説明している。専用の安全な機械に頼る方法もあるが、今回は機械を信じずに済む、ソフトウェアだけの方法を選んだ。両方の方法はこれからも補い合うとしている。

数字は米MetaのLlama 4 Maverick（4000億パラメーターの専門家混合のモデル、4ビットの重み）で測った。

• 証明する側はH100 1枚と24のCPUのコアを使う。最初の約束づくりは1つのモデルにつき約39分で、1回の約束で約1600万件の依頼に使える。
• 1,024トークンの依頼24件をまとめて約223秒で証明し、毎秒約110トークンになる。証明のファイルは1件あたり約19MBだ。
• 確かめる側はGPUが要らない。約6.5MBの約束を取ってきて、1件の証明を24スレッドで17秒、1スレッドで21秒で確かめる。
• 同じモデルを広く使われる推論の道具vLLMで動かす場合と比べ、GPUの時間で約70〜95倍かかる。

記事は、同じモデルを証明した先行の公開の仕組みでは1,000トークンに14.3時間かかった例を挙げ、桁の違う速さだとしている。

コードと証明を公開、限界も明記

暗号のコードは間違いやすいため、守りたい性質（正しい証明は通る、偽の証明は通らない、重みが漏れない）を証明支援の言語Leanで書き、機械で確かめた。Apache 2.0で、証明する側のコード、C++の速い検証の道具、Leanで正しさを示した遅い検証の道具、Leanの証明、技術の報告書、Claudeが書いた仕様書を出した。

限界も書いている。速いC++のコードとLeanの定義が一致する保証は無い。証明するのは重みを整数にした版で、毎回いちばん確率の高いトークンを選ぶ出し方に限る。今の扱える長さは1,024トークンまでで、会話で使う長さには遠い。対象は専門家混合の構造のモデルで、証明を作る時間から重みを探る攻撃は範囲の外だ。

編集部の見方

Claude CodeやCodexを仲介のサービス経由で使う個人や小さなチームにとって、「頼んだモデルが本当に答えたか」は今は確かめようがない。FlashProveはそれを利用者の手元のCPUで確かめられる形にした点で意味がある。ただし今回は研究の試作で、AnthropicのAPIで証明を受け取れるようになったわけではない。扱えるのは1,024トークンまでで、証明にはふつうの推論の70倍以上のGPUの時間がかかる。すぐ使う道具ではなく、モデルの出どころを確かめる仕組みが現実の速さに近づいてきた、という目安として読むのがよい。