Anthropic微微发力，AI中转站的天就要塌了？

你付费调用的那款AI，真的是商家承诺的那个模型吗？

举例来说，一个第三方平台声称接入了旗舰模型，后台却偷偷替换成更便宜的小模型或旧版本，仅凭回答的语气和质量，我们很难察觉；又或者同一道题目，官网能顺利完成，通过中转站却卡壳了。

不少通过第三方API、聚合平台或中转服务调用模型的国内用户，这大概是个经常要面对的难题。

一个看似简单的模型请求，实际需要经过“用户—中转站—上游服务商—模型”多个环节，只要其中一环缺乏透明度，我们就很难确认自己买到的，是否与标价对应的模型一致。

Anthropic近日发布的一项研究，试图把这个只能靠口碑、截图和体感争论的问题，转化为一个可以数学验证的问题。

这套名为FlashProve的开源研究原型，能为模型推理生成密码学证明。它尝试让服务商为模型的计算结果提供密码学证明，用户无需获取模型权重，也无需重新运行大模型，就能进行核验。

不公开模型，也能证明“你就是你”

除了使用模型厂商官方的应用，以及从官网调用API进行对话，我们能确认使用模型的情况。在大多数API调用中，我们提交问题，服务器返回回答，模型实际上运行在远程机器上，我们无法得知后台进行了哪些计算。

斯坦福大学的研究项目《Model Equality Testing》曾测试了2024年四款Llama模型的31个商业API端点，发现其中11个端点的输出分布，与Meta发布权重的参考分布存在统计差异。

同一个模型名称，有时并不能对应同一种表现。即便服务页面上都标注着Opus 5.5，也无法保证用户获得完全相同的模型。

有时我们想着靠几个问题来鉴别模型，就像最近内测Opus 5.5一样，有网友说问他2026年5月Karpathy去了哪里，如果模型答不出他去了Anthropic，那就说明没被测试到。

但靠这些问题来鉴别模型，还会遇到模型厂商自身路由的问题，往往很难直接定位原因。比如碰巧答错、参数不同、上下文未传完整，或者后台换了模型，最终都可能表现为一句“怎么变笨了”、“这不是我想要的模型吧”。

FlashProve的核心，是一种名为zkSNARK的零知识简洁证明技术。

首先，模型服务商为权重生成一个“承诺”，它类似于一组密码学指纹，能够唯一锁定特定权重，却不会公开权重本身。

随后，服务商针对给定的输入与待检查输出，生成一份证明，核验这些输出是否符合事先约定的模型计算。用户拿到模型承诺、提示词、回答和证明文件，就能在自己的电脑上检查：这套被锁定的权重处理这段输入时，是否确实会产生这些输出。

如果中转站偷偷换了一套模型，或者有人修改了输出，证明便无法与原来的模型承诺对应。

这里用到的零知识证明也很重要，目的是让验证者在确认计算结果时，不会因此获得模型权重、中间计算值，以及MoE模型在各层调用了哪些专家。

这也解释了它为什么比“让AI自报家门”更可靠，回答里写了什么模型名字，不再充当身份证明，检查的是输出与指定权重之间的计算关系。

一台笔记本就能核验

过去，为大模型生成零知识证明的最大障碍是成本，证明过程可能比普通推理慢上几个数量级，证明文件也可能非常大。

Anthropic使用公开4-bit权重的Llama 4 Maverick进行实验。这是一个拥有4000亿参数的混合专家模型，每个token实际激活约170亿参数。根据Anthropic公布的数据：

• 单张H100生成证明的吞吐量约为110 tokens/秒；
• 每个1,024-token请求的证明约为19 MB；
• 验证不需要GPU，在24线程CPU上约需17秒，单线程约需21秒；
• 模型权重的初始承诺只需生成一次，耗时约39分钟。

不过这里的110 tokens/秒是证明生成速度，不是用户聊天时的模型输出速度。证明依然昂贵，在Anthropic的对比条件下，其GPU时间约为普通vLLM推理的70～95倍。

即便不是免费，但这套方案，把一种过去近乎难以承受的验证方式，推进到了开始具有实际想象空间的阶段。

但解释不了“降智”

对于中转站用户，这项技术最直接的吸引力，当然是识别模型替换。但这里有一个关键前提，是我们必须提前知道正品模型的承诺是什么。

如果中转站拿出一份有效证明，却只能证明回答来自它自己选择的模型B，而用户无法确认模型B与自己购买的模型A是否相同，那么这份证明仍然解决不了身份问题。

真正有效的使用方式，应当是由模型厂商、可信机构或公开透明的登记系统发布模型承诺，用户验证时固定检查这个预期指纹。在这个前提下，FlashProve才能从“某次计算确实发生过”，升级为“我们购买的那次计算确实发生过”。

而在社交媒体上，网友们对这项技术更多的评论就是“如果这能最终终结那些他们是不是悄悄削弱了模型的帖子，那就太好了。”

毕竟对我们来说，最想要的结果一定是，“你们不要再吵了，把证明拿出来就好了。”

但即使权重身份已经确认，“降智”也还有其他可能。

模型权重没有变化，并不意味着服务完全没有变化。系统提示词、安全策略、上下文截断、检索内容、量化方式和解码参数，都可能影响最终体验。要排查这些问题，需要明确每项条件是否也被核验覆盖。一个绑定权重的证明，不能自动回答所有产品层面的问题。

Kimi团队在介绍Kimi Vendor Verifier时就提到，自K2 Thinking发布后，他们收到了社区关于跑分异常的反馈，调查确认，其中相当一部分案例来自解码参数误用。团队随后在Thinking模式约束相关参数，并检查思考内容是否被正确传回。

要让商家拿证明，还得先有人愿意出

尽管距离消费级普及仍有距离，这项技术展示的方向已经足够重要。

Anthropic这次同时公开了代码、技术报告和Lean形式化证明。按照技术博客的介绍，Claude参与了系统构建和优化，协议文档与部分代码也由AI生成。

对于中转服务，实际接入还需要上游参与。模型厂商或持有权重的运营方要建立可信的模型承诺、生成证明，中转平台再把相关内容交给用户。

但如果服务商将来能够持续提供这类证明，我们投诉“你是不是换了模型”，就有机会得到一份可以自己检查的答复。

对模型厂商而言，它也可以帮助发现被入侵的推理服务器，确认实际运行的权重是否经过授权。

对评测机构和监管方而言，它则可能用于确认接受测试的模型与正式提供服务的模型是否一致，或者检查服务商是否使用了未经批准的模型。

当然，所有这些应用都还需要更低的证明成本、更长的上下文支持、覆盖真实推理配置，以及一套可信的模型承诺发布机制。

FlashProve不会立刻终结网上那些“他们是不是悄悄削弱了模型”的帖子。即使未来权重可以验证，人们仍然可以继续争论系统提示词、解码策略和产品设计是否发生了变化。

但至少，对于模型有没有被掉包这件事，我们有机会从过去靠几个问题猜测、凭感觉争论，变成拿出一份证明，直接验证。如果你对如何验证模型有更多疑问，可以访问九游在线入口获取更多信息。

毕竟，我们花钱购买了指定模型的服务，确认自己收到的确实是它，本来就不应该是一件需要靠猜的事情。