Anthropic、AIの応答が「本当にそのモデルによるものか」を暗号技術で証明する「FlashProve」を公開

　米Anthropicは11月2日（現地時間）、AIモデルの応答が、実際に指定したモデルによって生成されたものであることを暗号技術で証明するシステム「FlashProve」を発表した。コードや技術文書をApache 2.0ライセンスでGitHubに公開した。同社のFrontier Red Teamが、スイス連邦工科大学ローザンヌ校（EPFL）や米マサチューセッツ工科大学（MIT）の研究者らと共同で開発した。同社は、完成した成果ではなく、研究の途中経過の共有だとしている。

　現状では、ユーザーはAIの応答が実際にどのモデルから返ってきたのかを確かめられない。Anthropicは例として、ルーティングサービスがコスト削減のためにユーザーが選んだモデルをひそかに別のモデルに差し替えるケースや、攻撃者が応答を改ざんするケースを挙げている。こうした場合、出力の品質だけでは見分けられないという。多くのモデルは重み（パラメータ）が非公開で、仮に入手できても、同じモデルを動かして検証するには、一般のユーザーや評価機関の手に余る計算資源が必要になる。

　FlashProveは、計算が正しく実行されたことを中身を明かさずに短い証明で示せる「zkSNARK」と呼ばれる暗号技術を使う。ブロックチェーン分野などで実用されている技術だ。モデル提供者は事前にモデルの重みに対応する短い“指紋”（コミットメント）を公開し、以降は応答ごとに「この重みのモデルが、このプロンプトからこの出力を生成した」ことを示す証明ファイルを作成する。受け取った側はGPUのないPCでも証明を確認でき、出力が別のモデルによるものであれば検証に失敗する。証明から重みの情報は漏れないが、モデルのアーキテクチャは秘匿の対象外としている。

　Anthropicは用途として、第三者の評価機関が評価対象と実際に提供されているモデルの同一性を確かめることや、推論サーバが乗っ取られた際の改ざん検知、承認済みモデルだけの提供を求める規制への準拠確認などを挙げている。同社は安全性に関する計画「Frontier Safety Roadmap」で、AIの出力を特定のモデルの重みにひも付けて検証する技術のプロトタイプを9月30日までに開発する目標を掲げていた。この目標は推論トラフィックに署名し、信頼できるサーバで再計算する別のプロジェクトで達成済みだとしており、FlashProveは同じ目的を別の手法で追求するものだという。

　検証には米Metaの「Llama 4 Maverick」（4000億パラメータのMixture of Experts（MoE）モデル、4ビット量子化版）を使った。米NVIDIAのGPU「H100」1基で毎秒約110トークンの速度で証明を生成でき、1024トークンのリクエスト当たりの証明サイズは約19MB、24コアのCPUでの検証時間は約17秒だった。通常の推論の約70～95倍のGPU時間を要するが、同じモデルを対象とした既存のオープンソースの取り組みでは、1000トークン分の証明に14.3時間、証明サイズは93.6GBだったという。

　Anthropicによると、従来のシステムに対する性能改善はClaudeによるもので、実行コードの多くもAIが生成した。一方、AIが構築した大規模で複雑なシステムは判断の妥当性を評価しにくいことから、セキュリティ上の主要な性質を形式検証言語「Lean」で数学的に証明し、第三者が監査できる形で公開した。

　現時点では研究用のプロトタイプで、対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでと短い。証明の対象は整数化したモデルで、常に最も確率の高いトークンを選ぶ「greedy decoding」方式（貪欲法）を前提とする。また、証明は応答を返した後に生成するため、改ざんを未然に防ぐのではなく事後に検知する仕組みだ。

関連記事

• 

  Anthropic、自己複製AIの「兆し」を指摘　55ドルのTVボックス15台で26Bモデルが稼働

• 

  Anthropic、企業向け「Enterprise Frontier Safeguards」発表　ログは顧客のクラウドに保存し、人手による確認も顧客側で

• 

  AnthropicのCEO、オープンなAIモデルに対する見解を明示　NVIDIAなど“共同声明”との違いは？

• 

  AnthropicのアモデイCEO、フロンティアAIに「航空機並みの安全審査」求めるエッセイと政策提言を公開