FlashProve — הוכחה קריפטוגרפית שתשובה הגיעה מהמודל המוצהר

מה זה FlashProve, ואיזו בעיה הוא בא לפתור

FlashProve הוא אב-טיפוס מחקרי בקוד פתוח שמפיק הוכחה קריפטוגרפית לכך שתשובה מסוימת נוצרה בידי מודל השפה המסוים שהספק הצהיר עליו, ולא בידי מודל אחר, בלי לחשוף את המשקלים של המודל. Anthropic פרסמה אותו ב-2 בנובמבר 2026 בפוסט מחקר בשם 'Progress on provable inference for large language models', פרי עבודה של צוות ה-Frontier Red Team שלה יחד עם חוקרים מ-EPFL השווייצרי, מ-MIT ומחברת StarkWare. הקוד פורסם ב-GitHub ברישיון Apache 2.0. התחום עצמו נקרא בעולם provable inference, כלומר הסקה שאפשר להוכיח. הבעיה פשוטה לתיאור: מי שפונה למודל דרך שירות מקוון רואה רק את התשובה, ואין לו דרך לדעת איזה מודל ענה בפועל. ובלשון Anthropic: "Judging from the model’s output alone is unreliable, even if it produces high-quality responses." (שיפוט לפי הפלט של המודל בלבד אינו אמין, גם אם הוא מפיק תשובות באיכות גבוהה.)

מי עלול להחליף מודל בלי לספר

Anthropic מונה כמה תרחישים. שירות ניתוב, שמעביר בקשות בין ספקים, עלול להחליף בסתר את המודל שהוזמן במודל אחר משיקולי עלות. ספק עלול להגיש בפועל מודל זול מזה שהוא מצהיר עליו. תוקף שהשתלט על שרת ההרצה עלול לשנות את רצף התשובה ולהתחזות למודל מסוים. TechCrunch מוסיף שהשיטה נועדה לעבוד גם כשהמתחזה הוא המעבדה שבנתה את המודל ומפעילה אותו בעצמה, ושהיא יכולה למנוע גם החלפה בכיוון ההפוך: מודל יקר יותר, כדי לנפח את תוצאות הביצועים. גם מעריך חיצוני שבודק מודל אינו יכול כיום לוודא שהמודל שבדק הוא זה שמוגש למשתמשים. מכאן השימושים שהחוקרים מציעים: רגולטור שמבקש מספק 'תעודות' על הבקשות שטיפל בהן, כדי לוודא שהחומרה שלו אכן משמשת להרצת המודל המוצהר, או שהוא מגיש רק מודל שאושר כבטוח; או מפתח שמצהיר שהספרייה שלו נסרקה לאיתור חולשות בידי מודל סייבר מתקדם, ויכול להוכיח זאת.

איך זה עובד: טביעת אצבע, הוכחה ובדיקה

השיטה בנויה משני שלבים. בשלב הראשון, פעם אחת ומראש, הספק מפרסם מחויבות (commitment): לפי Anthropic, "a short fingerprint to pin down one exact choice of weights while the weights themselves remain hidden" (טביעת אצבע קצרה שמקבעת בחירה מדויקת אחת של משקלים, בעוד המשקלים עצמם נשארים חסויים). זה מעין חותם: הספק מתחייב לגרסה אחת של המודל בלי להראות אותה. בניסוי של Anthropic הכנת המחויבות נמשכה כ-39 דקות, והיא מספיקה לכ-16 מיליון בקשות. בשלב השני המעבד הגרפי של הספק מפיק קובץ הוכחה שהתשובה היא באמת הפלט של המודל שאליו התחייב. ההוכחה נעשית בדיעבד, אחרי שהתשובה כבר נשלחה, ובקבוצות של בקשות, ולכן הביטחון מגיע באיחור. הבודק, למשל הלקוח, צריך רק את המחויבות, את השאלה, את התשובה ואת קובץ ההוכחה, ולא את המשקלים. הבדיקה רצה על מעבד רגיל של מחשב, בלי מעבד גרפי. סוג ההוכחה נקרא zkSNARK, משפחה של הוכחות אפס ידע (zero-knowledge proof): הוכחה שמשכנעת שטענה נכונה בלי לגלות את המידע שמאחוריה, כאן המשקלים. לכן, לפי TechCrunch, גם מעבדות של מודלים סגורים יכולות להשתתף בלי לחשוף את הנכס היקר ביותר שלהן. FlashProve הוא תוכנה בלבד, ואינו נשען על חומרה מיוחדת.

הניסוי: מודל גדול על מעבד גרפי אחד

את המערכת בחנו על Llama 4 Maverick של Meta, מודל בשיטת תמהיל מומחים (Mixture of Experts) עם 400 מיליארד פרמטרים, שבו פועלים כ-17 מיליארד פרמטרים בכל טוקן. כל בקשה בניסוי היא קטע של 1,024 טוקנים, וכל הוכחה בודקת טוקן אחד. ההוכחה עוסקת רק במומחים שפעלו בפועל, והמשקלים נטענים לזיכרון בחלקים, ולכן מספיק מעבד גרפי אחד: H100 עם 80GB, לצד כ-290GB זיכרון מחשב ו-24 ליבות מעבד. לפי Anthropic, קצב הפקת ההוכחות היה כ-110 טוקנים בשנייה, גודל ההוכחה לבקשה כ-19MB, והבדיקה נמשכה כ-17 שניות על 24 תהליכונים, או כ-21 שניות על תהליכון אחד. המחיר הוא זמן חישוב: לפי Anthropic, הפקת ההוכחות דורשת זמן מעבד גרפי של פי 70 עד 95 בערך מהרצת המודל עצמו בספרייה הנפוצה vLLM. Anthropic מציינת שזה הרבה פחות ממה שציפו קודם.

מה זה לא מוכיח, ומה עוד חסר

Anthropic מגדירה את המהדורה במפורש כאב-טיפוס מחקרי, ומציינת שהיא באה "to share intermediate progress, and not a completed research agenda" (לשתף התקדמות ביניים, ולא תוכנית מחקר שהושלמה). קובץ ה-README במאגר מוסיף שהמאגר אינו מתוחזק ואינו מקבל תרומות. לפי TechCrunch, אין תוכנית להפעיל את המערכת ב-Anthropic או במעבדה אחרת. המגבלות שהחברה מונה: ההוכחה מכסה טקסט (הקשר) של עד 1,024 טוקנים בלבד, קצר בהרבה מהטקסט שמצטבר בשיחת צ'אט. היא חלה רק כשהמודל בוחר בכל צעד את הטוקן הסביר ביותר, בגרסה של המשקלים במספרים שלמים; תשובה שנוצרה בדגימה אקראית, או בחישוב הרגיל במספרים עם נקודה עשרונית (floating point), עלולה לסטות ממנה בשלב כלשהו. מבנה המודל, להבדיל מהמשקלים, אינו מוסתר, והמערכת מניחה מודל מסוג תמהיל מומחים. התקפות שמנצלות ערוצי מידע עקיפים, כמו מדידת זמני תגובה, אינן בתחום. ויש פער בין שלוש גרסאות של אותה מערכת: את התכונות של הפרוטוקול החוקרים הוכיחו בכלי האימות המתמטי Lean, אבל אין ערובה שהמאמר, ההוכחה ב-Lean והקוד המהיר שרץ בפועל אומרים בדיוק אותו דבר.

איפה זה עומד מול גישות אחרות

FlashProve אינו הדרך היחידה. לפי Anthropic, עבודות קודמות נשענו לרוב על סביבות הרצה מאובטחות בחומרה (TEE), שבהן השבב עצמו מעיד מה רץ עליו; הביטחון שלהן תלוי ביצרן שמייצר חומרה עמידה בפני חבלה. החברה רואה בשתי הגישות השלמה ולא תחרות: "Trusted hardware and cryptography are complementary approaches with different guarantees and tradeoffs." (חומרה אמינה וקריפטוגרפיה הן גישות משלימות, עם ערבויות ופשרות שונות.) במפת הבטיחות שפרסמה, Anthropic הציבה לעצמה יעד לפתח עד 30 בספטמבר 2026 אב-טיפוס של הסקה שאפשר להוכיח, ולפי הפוסט היעד הושג בפרויקט נפרד וקשור, שחותם על התעבורה של Anthropic ומחשב את התשובות מחדש בשרת אמין. FlashProve חותר לאותה מטרה בדרך קריפטוגרפית בלבד. פרט אחד מעניין מהפוסט: Claude עצמו השתתף בעבודה, ולפי Anthropic הוא שיפר את ה-zkSNARK להסקה, ומסמך מפרט הפרוטוקול נכתב בידיו.