要点
- Anthropic は、AI の回答が本当に約束したモデルから出たかを、暗号の仕組みで証明する研究の試作「FlashProve」を公開した。
- 安いモデルを高いモデルと偽って出す、途中で回答を書き換える、といった不正を、利用者の側で見破れるようにするのがねらいだ。
- いまは研究の試作の段階で、Anthropic はこの公開を、研究の途中の成果を共有するものと位置づけている。
何が起きたか
Anthropic の Frontier Red Team（AI の危険を先回りして調べるチーム）は、2026年11月2日付の研究ページで、FlashProve を発表した。EPFL や MIT の研究者も加わっている。コードや仕様書はオープンソース（Apache 2.0）で公開されている。
FlashProve の考え方はこうだ。AI の提供者は、前もってモデルの重み（モデルの性能を決める大量の数値）を、短い「指紋」の値に結びつけて公開しておく。重みは秘密のままでよいが、指紋が決まれば、あとで別の重みに差し替えることはできない。そのうえで、回答には1つずつ証明のファイルが付く。利用者は、指紋と自分の質問、返ってきた回答の3つがそろえば、ふつうの CPU でその証明を調べられる。重みを受け取る必要はない。
Anthropic が挙げる守りたい場面は次のとおりだ。
- AI を動かすサーバーが乗っ取られる
- 仲介のサービスが、こっそり安いモデルにすり替える
- 回答の文字の流れが途中で書き換えられる
- 別の高性能なモデルが、許可されたモデルのふりをする
TechCrunch は、モデルを作って動かしている会社自身が偽る場合まで想定した設計だと伝えている。あわせて、「セキュリティ用の AI でコードを調べた」といった主張の裏づけにも使えるとしている。
試作の検証に使ったのは Claude ではなく、Meta の公開モデル Llama 4 Maverick だ。
日本の利用者への影響
いますぐ変わることはない。FlashProve は研究の試作で、Claude の API や日本で使われているサービスには入っていない。
それでも、日本の事業者に関わる話ではある。AI の API を、仲介のサービスや再販の業者を通して使う会社は多い。そうした会社は「本当に契約したモデルが答えているか」を、自分では確かめにくい。この種の仕組みが広まれば、モデルの取り違えやすり替えを、契約書や業者の説明に頼らず、証明で確かめられるようになる。
今すぐやること
- 読者がいまやることは特にない。FlashProve は研究の段階で、実際のサービスには入っていない。
- AI の API を仲介のサービスを通して使っているなら、どのモデルが答えているかを、業者がどう示しているかを確かめておく。
- 「AI が確認した」「最新のモデルで調べた」という他社の主張は、いまはまだ検証できない前提で受け止める。
- Claude の透かしと FlashProve を混同しない。透かしは「Claude が関わった文章らしい」と分かる仕組みで、どのモデルが答えたかの証明ではない。
背景
Anthropic は、2026年8月から Claude の出力に見えない透かしを入れ始めている。Anthropic のヘルプによると、透かしが見つかっても、それは Claude が関わった「可能性」を示すだけだ。書いた人や、文章が変えられていないことまでは確かめられない。透かしを調べる道具は、規制当局や報道機関などの限られた組織に先行して提供されている。
FlashProve はねらいが違う。透かしは「この文章に AI が関わったか」を、あとから文章だけを見て推し量るものだ。FlashProve は「この回答は、あの指紋のモデルが、この質問から出したものか」を、回答ごとの証明で確かめる。Anthropic の説明では、この証明の確かさは暗号の難しさに支えられている。機械や OS の側が乗っ取られていても、偽の証明を通すのは計算の上で現実的でないという。
弱点もある。Anthropic によると、ふつうの AI の動かし方に比べて、証明つきでは70〜95倍ほどの手間がかかる。1回の証明は約19MB と大きい。扱える長さは1,024トークン（文字の切れ目の単位）までだ。Anthropic は、同じ目的を別のやり方で目指す計画も別に進めていると書いている。
技術者向けの詳細
- 方式: zkSNARK（ゼロ知識の短い証明）。ハッシュ関数で組んだ方式で、量子計算機にも耐えるとしている。
- 証明される主張: 「約束したモデルを評価すると、これらの出力トークンが出る」。整数にした重みで、greedy decoding（いちばん確率の高い語を選ぶ出し方）の場合に限る。
- 対象: Mixture-of-Experts のモデル。Llama 4 Maverick（全体で約400B、1トークンあたり約17B が動く、4bit の重み）で計測。
- 事前の段階: H100 1枚と24コアで約39分。モデルごとに1回。1つの指紋で約1,600万リクエストまで使える。
- 回答ごとの段階: 24リクエストのまとめで約223秒、H100 1枚で約110トークン/秒。vLLM と比べて約66〜94倍の時間。
- 検証: CPU で約17秒（24スレッド）、1スレッドで約21秒。約6.5MB の指紋と、リクエストごとの証明（約18.78MB）を取得する。
- 必要な環境（証明する側）: H100 80GB、CUDA 13.2、Maverick を動かすにはメモリ330GB とディスク245GB。保存済みの例の証明を検証するだけなら、2GB 未満のメモリで動く（Linux、bash、g++ 13 以上）。Maverick の本物の証明を検証するときのメモリは書かれていない。
- 安全性: 健全性（不正な証明が通らないこと）などを Lean 4 で形式化している。ただし、日常で使う C++ の検証器と Lean の証明が一致することは形式的には保証されていない。Anthropic は「テストしたすべての証明で一致した」としている。
- 証明しないこと: 裏で学習など別の処理をしていないこと、モデルの構造の秘匿、浮動小数点やランダムに選ぶ出し方での一致、タイミングの漏れ（サイドチャネル）。
- リポジトリは「保守しない」「貢献は受け付けない」研究の成果物としている（版 0.16.0）。
- 詳しくは 研究ページ と GitHub の limits の文書を参照。
