Anthropic、AIの応答が指定のモデル製かを暗号で証明する「FlashProve」を研究公開

画像の出典：Anthropic

AIを業務に使う側は、受け取った回答が本当に契約したモデルから出たものかを自分で確かめる手段を持っていません。Anthropicは11月2日、言語モデルの応答が事前に登録したモデルで生成されたことを、暗号技術で後から証明できる研究システム「FlashProve」を公開しました。コードと技術文書はApache 2.0ライセンスでGitHubに公開されています。

本記事では、FlashProveの仕組みと性能、研究段階ゆえの制約、想定される使い道を解説します。

暗号技術でAIの応答を検証する仕組み

zkSNARKを用いた計算の正当性証明

FlashProveは、AnthropicのFrontier Red TeamがEPFL（スイス連邦工科大学ローザンヌ校）およびMIT（マサチューセッツ工科大学）の研究者らと共同開発した研究用プロトタイプです。このシステムは、zkSNARK（ゼロ知識証明の一種で、計算の中身を明かさずにその正しさを短い証明で示す暗号技術）を活用しています。

提供者が「指紋」を公開し、応答ごとに証明を作る

流れは2段階です。モデルの提供者は、まずモデルの重み（学習で決まるパラメータ）に対応する「指紋」（コミットメント）を公開し、その後は応答のたびに証明ファイルを作ります。受け取った側はこの指紋と証明を照らし合わせ、回答が登録どおりのモデルから出たかを確かめられます。別のモデルの出力であれば検証は失敗します。

証明からは重みの情報は漏れないため、提供者はモデルの中身を明かさずに済みます。一方で、モデルの構造（アーキテクチャ）は秘匿の対象外です。

既存の公開手法より大幅に速い

性能の検証には、Metaの公開モデル「Llama 4 Maverick」（4,000億パラメータのMoEモデル）を第三者が4ビットに量子化した版が使われました。証明の作成はNVIDIA H100 1基で毎秒約110トークン、証明ファイルは1,024トークンのリクエスト1件あたり約19MB、検証は24スレッドのCPUで約17秒です。検証側にGPUは要りません。

既存のオープンソースの取り組み「VerInf」は、1,000トークンに14.3時間かかり、証明は93.6GBだったと報告されています。ただし負担は軽くありません。一般的な推論エンジンvLLM（H100 8基）で同じ処理をする場合と比べ、GPUの使用時間は約72倍、vLLMを最も高負荷で動かした場合との比較では約94倍かかります。

研究システムの制約と適用範囲

現時点での技術的な制限事項

FlashProveは現在、研究段階のプロトタイプであり、いくつかの制約が存在します。まず、対応しているのはMoE（混合エキスパート）モデルのみであり、文脈の長さも1,024トークンまでに限定されています。また、証明の対象は「整数モデルによる貪欲法（Greedy Decoding）での推論」に限定されており、多様なデコーディング手法には対応していません。

さらに、本技術は改ざんを未然に防ぐ仕組みではなく、応答が返ってきた後に検知する仕組みです。Anthropicは完成品ではなく研究の途中経過の共有と位置づけています。

Claudeへの適用は示されていない

発表では、開発にClaudeが加わり推論向けzkSNARKの改良を生み出したと説明していますが、FlashProveをClaudeの提供に使うとは書かれていません。同社は自社の安全計画（Frontier Safety Roadmap）で掲げた同じ目標を、推論の通信に署名し信頼できるサーバーで再計算する別プロジェクトで達成済みとしており、FlashProveは同じ目的を別の方法で追う研究です。

ビジネス現場での想定用途

本技術が実用化された場合、以下のようなユースケースが想定されます。

1. 第三者機関によるモデルの同一性確認：AIモデルが仕様通りに運用されているかを外部機関が監査する際の信頼性担保。
2. 推論サーバーの改ざん検知：クラウド環境などで推論サーバーが乗っ取られ、意図しない回答が生成された際の不正検知。
3. 規制準拠の確認：特定の承認済みモデルのみを使用することが義務付けられる業界において、出力が正当なモデルから生成されたことを証明する手段。

まとめ

• Anthropicらが公開した「FlashProve」は、AIの応答が特定のモデルから生成されたかを暗号技術で証明する研究システムです。
• zkSNARKを活用し、従来の検証手法と比較して大幅な高速化と軽量化を実現しました。
• 現時点ではMoEモデルや1,024トークンまでの文脈に限定された研究用プロトタイプです。
• 改ざんを防ぐのではなく事後に検知する仕組みで、Claudeの提供に使うとは示されていません。
• GitHubにてApache 2.0ライセンスでコードが公開されており、技術的な検証が可能です。

出典：Anthropic