zkSNARK 的新生意：证明"这答案出自哪个模型"，单卡 H100 每秒 110 token
ZK 证明生意在退潮，另一头却在涨：证明"这答案是哪个模型答的"。单卡 H100 每秒 110 token、19 MB 证明，CPU 17 秒验完。
先说一个每天都会遇到、却几乎没人能回答的问题：你在 API 后面排着队调用一个模型，凭什么确定回你的就是你要的那个？
有三种情况，一种都不罕见：
- 路由服务偷换。 你付的是前沿模型的钱，中间层为了省成本，转给了便宜模型或降级版本。输出质量看起来"差不多"，你无从分辨。
- Token 流被改。 攻击者或内部人拿到推理服务器，掺进恶意输出，混在真实回复里。
- 模型自己换自己。 论文里那句说得最阴：一个更强的模型可以顶替较弱的模型上线，从而躲开本该适用于它的分类器和监控。
这三种情况的共同点是：只看输出，判断不了是谁生成的。 而"跑一遍模型核对"这件事，普通用户（甚至评估机构）根本付不起算力。
2026-11-02，Anthropic 的 Frontier Red Team 联合 EPFL / MIT 的研究者，开源了一个叫 FlashProve 的原型，把这件事往前推了一大步：用 zkSNARK 证明"这段输出确实由承诺的那份权重算出"，而验证只需要 CPU 和几秒到十几秒。
这件事的技术底座，恰好是加密行业用了七八年的东西——zkSNARK，L2（Starknet、Mantle 这类）拿它证明"交易算对了"。所以这篇值得 DefiPlot 读者看：不是又一篇 AI 新闻，而是一个熟悉的密码学工具换了买家。
有意思的是，就在前一天（11-03），另一条新闻说 Cysic 不再给 L2 做 ZK 证明，转去跑 LLM 推理——原因是 L2 证明需求下滑、L2 的手续费甚至涨到超过以太坊本身。同一个 ZK，一头在退潮，一头在找新生意。 这篇把两头放在一起看。
一、FlashProve 到底做了什么
它只做一件事，但要求很硬。系统分两方：模型提供方（证明者） 和 用户（验证者），两个阶段：
阶段 1（离线）：承诺权重。 提供方发布一个对权重的承诺（commitment）——一个很短的指纹，把"具体是哪一份权重"钉死，而权重本身仍然保密。每个模型做一次，约 39 分钟；因为技术原因，这个承诺大约只能用 1,600 万次请求，之后要重新承诺。
阶段 2（在线）：逐 token 出证明。 收到请求（prompt + 输出 token）后，提供方生成证明文件，证明这句话：
被承诺的那份模型，在这个 prompt 上求值，正好产出这些 token。
任何人拿到"承诺 + prompt + 回复"，就能在不接触权重、算力有限的情况下验完，并确信结果。
它要同时满足四个性质，缺一条就没意义：
| 性质 | 通俗说法 | 为什么必需 |
|---|---|---|
| 完备性（completeness） | 老实出证明，一定能通过 | 否则好人也过不了 |
| 可靠性（soundness） | 假证明不可能通过 | 否则验证者在信任证明者 |
| 零知识（zero-knowledge） | 证明不泄露权重、中间值、连"每一层是哪几个专家跑的"都不泄露 | 否则没人敢用 |
| 简洁性（succinctness） | 证明很小、验证很便宜 | 否则用户还是得买 H100 |
注意第三条里的细节：它隐藏权重，但不隐藏架构（MoE 结构是公开的假设）。这一点后面会变成一条限制。
二、硬数字（这节是全篇最该被引用的）
全部来自 Anthropic 原文的评测段，模型是 Llama 4 Maverick（400B 参数 MoE，每 token 实际用约 17B，4-bit 量化约 232 GB）：
| 指标 | 数值 |
|---|---|
| 证明者硬件 | 单张 H100 + 24 核 CPU |
| 离线承诺耗时 | 约 39 分钟（每个模型一次），有效期约 1,600 万次请求 |
| 在线证明速度 | 24 个请求一批，约 223 秒 → 110 token/s |
| 每个证明大小 | 18.78 MB（约 19 MB / 1,024 token 请求） |
| 验证者硬件 | 只要 CPU（24 线程 17 秒、单线程 21 秒） |
| 验证者需要下载 | 承诺约 6.5 MB |
| 相对普通推理的开销 | 约为 vLLM（同模型 FP8、8×H100）每 GPU 时间的 72 倍（不同运行 66–77 倍）；vLLM 高负载时约 94 倍 |
几个工程量决定了它为什么能塞进一张卡：
- 证明量只看真正跑过的专家（一个 token 约 17B，不是 400B）；
- 批处理、事后证明（post-hoc）：先把整段文本读完，再一次性出证明，权重承诺每批开一次而不是每次；
- 逐层分段：权重留在普通内存里流式喂进去，80 GB 显存 + 约 290 GB 主存就够。
三、它证明了什么，没证明什么（这节比上面更重要）
它证明的：这 1,024 个 token 是"承诺的那份整数权重"在"贪心解码"下的输出。
它没证明的（原文自己列的，条条致命）：
| 限制 | 现场含义 |
|---|---|
| 只对整数模型 + 贪心解码成立 | 生产里常见的是浮点推理 + 采样解码。一旦采样，某一步就可能偏离，证明与真实输出不再一致。原文说整数版"通常"与浮点误差很小，但不覆盖对抗性构造的 prompt |
| 代码与 Lean 不保证一致 | 顶层安全性质用 Lean 证了（完备、可靠、零知识），但"快代码 / 论文 / Lean"三者不保证完全对应。日常该用的是那个快的 C++ 验证器——它没有形式化保证 |
| 架构不隐藏 | 只藏权重。密集模型的结构描述可能本身就是商业秘密 |
| 侧信道不管 | "出证明要多久"这类时间侧信道可能泄露信息，本版明确不在范围内 |
| 上下文只有 1,024 token | 真实对话上下文动辄十万到百万 token。这是研究原型的边界 |
一句话总结：它证明的是"来源"，不是"正确"。 模型胡说八道照样能出合法证明——证明只保证这句话来自那份权重，不保证这句话对。
四、四类用途，其实都是"监管与举证"的场景
原文列了四个动机，我们按"谁掏钱"重排：
| 场景 | 要解决的问题 | 谁验、怎么验 |
|---|---|---|
| 节奏（pacing） | 监管要求"这批算力只跑推理、不许偷偷训练"，提供方可能耍赖 | 监管方要一段时期内的推理证明，验证不需要复制对方的机房。原文自己补了一句诚实的：这不能证明对方没有在旁边偷偷训练 |
| 篡改检测 | 攻击者或"自我替换的模型"混进推理流量 | 每条回复都带证明，证明绑定到具体权重承诺；拿不到合法证明就暴露 |
| 文本来源 | "我这库被前沿安全模型扫过""我的商业计划被模型点头过"——怎么证明不是拿便宜模型糊的 | 回复附证明。原文还给了个有意思的构造：Proof-of-Failure——证明"在某个补丁上花了至少 100 万 token 找洞、没找到" |
| 模型审批 | 监管只允许上"已批准模型"，提供方有动机偷跑更强的 | 每条回复绑模型，用未批准模型就验不过 |
和另一条路线的关系要讲清：可信硬件（TEE） 是"相信厂商造了一块拆不开的芯片"，密码学路线是"相信数学难题解不开"。原文的立场是两条互补：TEE 快，但信任根在厂商；zkSNARK 慢，但不依赖硬件信任。
五、性能曲线：从"证明一个 MNIST"到"证明 400B"
这是我觉得对 crypto 读者最有说服力的一节。原文列了 zkML 这条线八年的成绩单：
| 年份 | 系统 | 做到什么 | 速度 |
|---|---|---|---|
| 2017 | SafetyNets | 两层卷积的 MNIST 网络 | — |
| 2021 | zkCNN | VGG-16（1,500 万参数） | 88.3 秒/证明 |
| 2022 | Kang 等 | MobileNet v2（全分辨率 ImageNet） | — |
| — | ZKML | GPT-2（1.17 亿） | 约 159 秒/token（≈0.006 tok/s） |
| — | Modulus Labs | GPT-2 XL（15 亿） | 90 小时以上 |
| 2023 | EZKL | 100 万参数 GPT | 966 秒/token |
| 2024 | zkLLM | LLaMA-2-13B / 2,048 token 输入 | 约 15 分钟（批量约 2.5 tok/s） |
| 2025 | ZKTorch | GPT-J（60 亿） | 约 20 分钟 |
| — | VerInf | Llama 4 Maverick（同一个 400B MoE） | 约 0.02 tok/s；1,000 token 要 14.3 小时，证明 93.6 GB，验证近一天 |
| — | DeepProve（同行评议 SOTA） | GPT-2 / Gemma 3 | 2.9 / 1.4 tok/s，分布式 31 tok/s |
| 2026 | FlashProve | Llama 4 Maverick | 110 tok/s，19 MB 证明，CPU 17 秒验完 |
同一个模型：14.3 小时 → 不到 10 秒；93.6 GB → 19 MB。 这不是渐进改良，是两个数量级的换挡。
顺便记一个细节：Anthropic 在 2026-10-19 的 RSP 更新里，把目标名从"provable inference"改成了 "inference verification"，理由是"可证明推理"听起来比他们实际需要的更窄。做研究的人自己给概念降温，这通常说明他们在为落地做准备。
六、成本账：72 倍的开销，谁付得起
这是最需要冷静的一节，也是原文没算、我们必须自己算的：
- 证明开销是普通推理的 72–94 倍。也就是说，每 1 次可验证的请求，等于烧掉 72–94 次普通推理的算力。
- 它换来的是：任何人都能用 CPU 在 17 秒内确认"这来自那份权重"，且不泄露权重。
所以它天然只适合低频、高价值、必须举证的场景，而不是每一笔 API 调用：
| 场景 | 值不值 | 理由 |
|---|---|---|
| 发布前/后的独立评测（评估方要确认测的就是线上模型） | 值 | 一次评测的算力占比很小，结论的可信度是全部价值 |
| 模型替换纠纷、SLA 举证（客户告你降级） | 值 | 争议金额远高于证明成本 |
| 合规审计、监管抽样 | 值 | 抽检比例低，但要求可核 |
| 每一次 agent 支付都带来源证明 | 暂时不值 | 支付本身只有几美分，72 倍推理成本直接压垮（见站内 x402 真实体量） |
| 实时聊天全量证明 | 不值 | 延迟和成本都过不去，且上下文只有 1,024 token |
七、和 Cysic 那条新闻对照：为什么同一天两条完全相反的消息
11-03 的新闻说得很直白：给 L2 做 ZK 证明的需求下滑，L2 手续费反超以太坊，于是 Cysic 把 GPU 机队转去跑 LLM 推理。 这是一个商业信号：卖"通用 ZK 证明算力"这件事，在当前 L2 的经济模型下不好做。
但 FlashProve 展示的是另一条需求曲线：证明的买家从"L2"换成"要举证自己没偷换模型的 AI 提供方 / 要抽检的监管方 / 要确认模型身份的客户"。
两者不矛盾，反而互补：
- Cysic 那侧：供给方在找更高毛利的负载（LLM 推理确实比 L2 证明毛利好）；
- FlashProve 那侧：需求方出现了新品类（AI 来源证明），而且正好吃掉同类 GPU。
判断留给读者：如果"AI 推理可验证"这条需求起来，最先受益的不是密码学团队，而是已经屯了 H100 和证明流水线的算力商——那正是 Cysic 这类玩家转身的方向。反过来，如果这条需求起不来，ZK 证明就继续只是 L2 的成本项。
八、对 agent 支付意味着什么（别和 x402 混为一谈）
这里要划清界限，因为站内已经写过很多 x402 的内容，容易串。
| 问题 | 谁解决 | 站内已有 |
|---|---|---|
| 钱付给谁、付多少、有没有付 | x402 / MPP / AP2 这类支付协议 | x402 数据打假、协议对比、授权与验收 |
| 这笔付款对应的服务，是不是真的由声称的那个模型提供 | 可证明推理（本文） | 无（这是新的一层） |
| 收据、链上状态、授权额度 | 链上核验 | 链上核验清单 |
x402 解决"我付了"，可证明推理解决"我付的那个东西真的是它"。 两者拼起来，才叫"可验证的 agent 交易"。
但也别过度推销：按第六节的账，现在不可能要求每一次 agent 调用都带证明。现实可行的组合是分层——小额高频走普通调用（信任 + 抽样），大额或纠纷时要求补证明（事后 post-hoc 正好适合这个用途）。FlashProve 选择了"事后证明"而不是"在线同步证明"，本身就是冲这个用法去的。
九、三个判断（我们的整理）
- 这是一次"密码学工具换买家"，不是 AI 能力进步。 模型没变强，变的是"你能证明它是谁"。对 crypto 读者的意义在于：zkSNARK 的价值可能不在链上，而在链外的举证市场。
- 它的第一波客户是合规与审计，不是消费者。 四类用途里三个直接对应监管；唯一面向消费者的是"信任"，但那需要成本降两个数量级才现实。
- "整数 + 贪心解码"这条限制，决定了它短期只能当"抽查工具"。 生产环境浮点 + 采样，证明与真实输出可能逐步偏离；要用它做严肃举证，得先把推理链固定成可证明的形态。
边界
- 这是一份研究原型，不是产品：Anthropic 自己写明"sharing intermediate progress, not a completed research agenda"；代码、Lean 证明、文档以 Apache-2.0 发布，但权重不在发布范围（需自行从 Hugging Face 按 Meta 的 Llama 4 许可下载）。
- 我们未复现：没有 H100 机器，也没有跑它的证明器/验证器。文中全部数字（39 分钟、110 tok/s、18.78 MB、17 秒、6.5 MB、72/94 倍、14.3 小时、93.6 GB）均引自原文评测段与对照表。
- 原文的口径：72 倍是"vLLM 跑同模型 FP8 的 8×H100，折算单卡"的比较，不是同硬件同精度；90 倍级数字随负载变化（66–77 → 94）。
- A 与 B 的关系：Anthropic 在 10-19 的 RSP 更新里已把"provable inference"改称"inference verification"，并说明他们还用另一条路（在可信服务器上重算 + 签名）达成了同一目标；两条路不是互斥。
- Cysic 那条是 Crypto Briefing 的媒体报道（2026-11-03），引用其 CEO Leo Fan 的说法，我们未核其财务与机队细节。
- 本文的"成本账""三种商业形态""对 agent 支付的分层建议"是我们的推算与整理，不是原文结论；具体成本随 GPU 租金、批量大小、模型规模变化很大。
原文链接
- Anthropic — Progress on provable inference for large language models（2026-11-02）https://www.anthropic.com/research/provable-inference
- Anthropic — 技术报告 / 协议规范 / Lean 证明与代码（Apache-2.0，随上文发布）
- Crypto Briefing — Cysic shifts focus to AI inference as ZK proving demand fades（2026-11-03）https://cryptobriefing.com/cysic-shifts-focus-ai-inference/
相关阅读
- x402 数据打假：AI Agent 一年支付 1.38 亿笔，但一半可能是刷量
- Agent 支付协议对比 2026：x402、AP2、MPP、ACP 到底各管一段
- 链上核验清单：收据、钱包与授权，别只看表面
- 谁来认定"抗量子"：九个区块链组织成立量子联盟
本文属于「Web3 开发」专题。
DefiPlot 翻译整理，转载请标明出处。
免责声明：本文仅用于学习与研究目的，不构成投资建议，也不构成对任何项目、代币或产品的推荐。加密资产价格波动剧烈，读者在采取任何行动前应自行研究并对自己的决定承担全部责任。
免责声明：本站资源仅用于学习目的，也不应被视为投资建议，读者在采取任何行动之前应自行研究并对自己的决定承担全部责任。
