Anthropics neues Open-Source-Tool soll beweisen, welches KI-Modell wirklich antwortet

Anthropic stellt mit FlashProve einen Forschungsprototyp vor, der kryptografisch nachweisen soll, ob eine KI-Antwort tatsächlich vom behaupteten Modell stammt. Das System hat noch deutliche Einschränkungen.

Wer heute eine Anfrage an ein KI-Modell schickt, hat keine Möglichkeit, zu überprüfen, ob tatsächlich das gewählte Modell antwortet. Ein Routing-Dienst könnte aus Kostengründen ein günstigeres Modell unterschieben, ein Angreifer könnte den Datenstrom manipulieren. Laut Anthropic soll der neue Open-Source-Forschungsprototyp FlashProve dieses Problem angehen.

FlashProve nutzt ein kryptografisches Verfahren namens zkSNARK. Vereinfacht funktioniert es so: Der Modellanbieter erstellt zunächst eine Art digitalen Fingerabdruck seiner Modellgewichte. Bei jeder Antwort liefert er dann einen kompakten Beweis mit, der belegt, dass genau dieses Modell die Antwort erzeugt hat. Der Beweis verrät dabei nichts über die geheimen Modellgewichte selbst.

110 Tokens pro Sekunde auf einer einzigen GPU

Laut dem technischen Bericht erzeugt FlashProve auf einer einzelnen H100-GPU Beweise mit rund 110 Tokens pro Sekunde für Metas Llama 4 Maverick, ein Modell mit 400 Milliarden Parametern. Jeder Beweis ist etwa 19 Megabyte groß und lässt sich in 17 Sekunden auf einer gewöhnlichen CPU überprüfen. Das bedeutet einen Mehraufwand von etwa dem 70- bis 95-Fachen gegenüber normaler Inferenz.

Das klingt erst einmal viel, doch der Fortschritt gegenüber früheren Systemen ist erheblich: Das einzige bisherige vergleichbare Open-Source-System benötigte laut Anthropic über 14 Stunden für 1.000 Tokens und erzeugte einen 93,6 Gigabyte großen Beweis, dessen Überprüfung fast einen Tag dauerte.

Warum das für KI-Regulierung relevant ist

Anthropic sieht mehrere Anwendungsfälle: Regulierungsbehörden könnten überprüfen, ob ein Anbieter tatsächlich nur zugelassene Modelle einsetzt. Unternehmen könnten nachweisen, dass ihr Code von einem bestimmten Sicherheitsmodell geprüft wurde. Und Anbieter könnten Manipulationen an ihren Servern erkennen, etwa wenn ein Angreifer oder ein fortgeschritteneres Modell sich unbemerkt einschleicht.

In seiner Frontier Safety Roadmap hatte sich Anthropic das Ziel gesetzt, bis September 2026 einen Prototyp für Inferenzverifikation zu entwickeln. Dieses Ziel wurde laut dem Unternehmen bereits durch ein separates Projekt erreicht, das den Inferenz-Traffic signiert und die Berechnung auf einem vertrauenswürdigen Server nachvollzieht. FlashProve verfolge denselben Zweck, setze aber auf einen rein kryptografischen Ansatz, der ohne vertrauenswürdige Hardware auskomme.

Noch ein Forschungsprototyp mit deutlichen Einschränkungen

Anthropic betont, dass FlashProve ein Forschungsprototyp ist. Das System beweist derzeit nur Kontexte von bis zu 1.024 Tokens, was weit unter den üblichen Kontextfenstern aktueller Modelle liegt. Zudem verbirgt es zwar die Gewichte des Modells, nicht aber dessen grundlegende Architektur. Auch funktioniert der Beweis bisher nur, wenn das Modell deterministisch das wahrscheinlichste nächste Wort wählt, nicht bei den zufälligeren Antworten, die Chatbots im Alltag typischerweise erzeugen.

Der gesamte Code, die Lean-Beweise und die Dokumentation stehen unter der Apache-2.0-Lizenz auf GitHub zur Verfügung.