Anthropic FlashProve 開源　密碼學證明 AI 冇「貨不對辦」　MIT 用 GPT-6 直接改寫模型權重　數學成績 6 倍躍升

AI 模型「貨不對辦」呢個問題，終於有人用密碼學解決。Anthropic 喺 11 月 2 日發布開源系統 FlashProve，用 zkSNARK 零知識證明技術，令用家可以驗證一個回應真係由指定模型產生——而且唔使公開模型權重[1][8]。同一日，MIT CSAIL 四位研究者就示範咗另一件震撼學界嘅事：用 OpenAI 嘅 GPT-6 Astra 直接改寫另一個模型嘅原始權重，唔使任何訓練，將 Qwen3.5-0.8B 嘅 MATH-500 數學成績由 7.9% 推高到 48.1%[4][6]。一個令模型輸出可被證明，一個令模型內部可被 AI 自己修改——兩項研究一齊指向同一個問題：AI 嘅「可信」同「透明」正在被重新定義。

🔐 FlashProve：畀你一張模型「身份證」

平時我哋用 API，唯一保證係回應「睇落正常」，但冇辦法核實背後係唔係真係嗰個模型——供應商大可以偷偷換上更平更細嘅模型慳成本，用家根本唔會知[8]。Anthropic 嘅 FlashProve 就係針對呢個信任缺口。運作分兩步：offline 階段，模型供應商對權重做一個 cryptographic commitment（密碼學承諾），公開一個約 6.5 MB 嘅「指紋」，但權重本身完全保密[1][8]；online 階段，每個回應都附上一份證明文件，任何人都可以用普通 CPU 喺幾秒內驗證「呢個回應真係由承諾嗰組權重用 greedy decoding 產生」[1]。

性能數據先係今次發布嘅重點：測試用 Meta 嘅 Llama 4 Maverick（4,000 億參數 MoE 模型、4-bit 量化後約 232 GB），單張 H100 GPU 產生證明嘅速度達到 每秒 110 個 token，每份證明約 19 MB[1]。不過代價唔細——產生證明嘅 GPU 時間係直接用 vLLM 跑推論嘅約 70 至 95 倍[1]。驗證方面就非常輕量：用家用 24 線程 CPU 驗一份證明只需 17 秒，完全唔使 GPU[1]。成套系統連 Lean 形式化證明同代碼以 Apache 2.0 開源喺 GitHub[1][3]。

🧬 「神經網路基因編輯」：AI 自己執手另一個 AI

同一日，MIT CSAIL 研究者 Rikiya Takehi、Jayden Teoh、Alex Zhang 同 Omar Khattab 發布咗名為 Weight-Space Programming（權重空間編程）嘅研究[4][5]。佢哋畀 GPT-6 Astra 一個 Python 環境直接讀寫阿里巴巴開源小模型 Qwen3.5-0.8B（8 億參數）嘅原始權重，指令係「令佢數學更勁」，但明文禁止任何梯度下降同訓練[6]。結果 Astra 診斷出 Qwen3.5-0.8B 有一個出名毛病——「思考迴圈」（thinking loop）：唔停重複同一段文字直到燒晒 32,768 token 上限，原模型有 93% 回應都中招[5][6]。Astra 追蹤到問題出喺第 15 同 19 層嘅 MLP 輸出方向，刪走一個「重複方向」，全程只改咗 131,072 個權重——即係總數嘅 0.016%[4][5]。

呢一刀之下，MATH-500 由 7.9% 升到 48.1%（約 6 倍），GSM8K 由 13.8% 升到 67.1%，連 Astra 從未針對嘅指令跟隨測試 IFEval 都由 21.0% 升到 62.3%——因為迴圈毛病唔限於數學[4][6]。卡住喺 token 上限嘅回應比例由 93% 跌到 33.1%[5]。更難得嘅係第三方獨立覆核：Hugging Face 嘅 Ahsen Khaliq 用公開嘅改動後 checkpoint 喺一張 H200 上重跑 MATH-500，得出 51.0%，同論文數字吻合[7]。

不過研究者自己好克制：呢個做法本質上係「移除障礙」而唔係「注入能力」。當佢哋用同一方法處理好少出現迴圈嘅 Gemma 3 270M 時，MATH-500 只係由 6.8% 微升到 7.7%，基本冇用[5]。另外 Astra 亦一度分辨唔出「一味附和使用者」同「誠實作答」兩個微調版本，要加埋 attention 數據先分到[4]。研究仲係未經同行評審嘅 blog post，最大只試過 8 億參數模型，離前沿模型仲有好遠[4][6]。

💡 對開發者／用家嚟講意味住咩？

第一，API 信任問題將來可能有得驗。而家冇人可以確認供應商冇偷偷換模型，FlashProve 證明咗 zkSNARK 喺 LLM 推論驗證上係「實際可行」，唔止係論文概念[1][8]。但要注意兩點：佢暫時只支援 MoE 架構、上下文上限 1,024 token，而且證明開銷達推論本身嘅 70-95 倍，離生產環境仲有一段路[1]。Anthropic 亦表明呢個係研究原型，暫時冇計劃喺自己產品部署[2]。監管機構、企業審計、金融合規呢啲「需要拿出證據」嘅場景，會係最先受惠嘅用家[2][8]。

第二，模型修復可能出現新范式。0.016% 權重改動換嚟 6 倍數學成績，仲有第三方覆核確認，顯示「AI 診斷 AI」唔係空談[5][7]。但唔好期望即刻可以「一鍵升級」你手頭嘅模型——目前只對「單一、局部化嘅缺陷」有效，加唔到新能力[5]。對開源模型社群嚟講，呢條路線嘅想像空間在於：將來可能由一個強大 LLM 做「神經外科醫生」，專門移除細模型嘅已知毛病，而唔使重新 finetune[4]。

第三，兩項研究湊埋一齊睇，AI 基礎設施正朝「可審計」方向走。一邊係輸出可驗證（FlashProve），一邊係內部可被程序化修改（weight-space programming）——當模型權重由「黑盒」變成「可以讀、可以改、可以證明」嘅對象，AI 安全同治理嘅工具箱會完全唔同[1][4]。

📌 延伸

• [1] Anthropic — Progress on provable inference for large language models (FlashProve)
• [2] TechCrunch — Anthropic is working on a system to prove AI models’ identity
• [3] GitHub — anthropics/FlashProve（Apache 2.0 開源）
• [4] VentureBeat — MIT researchers used GPT-6 Astra to edit Qwen’s open weights directly
• [5] RuntimeWire — GPT-6 Astra edited 0.016% of Qwen’s weights and its math score went up 6x
• [6] FourWeekMBA — MIT: GPT-6 Astra edits Qwen weights, MATH-500 up 6x
• [7] MACCUS — A weight edit by GPT-6 Astra lifted a small AI’s math score from 7.9% to 48.1%
• [8] Crypto Briefing — Anthropic’s FlashProve uses zero-knowledge proofs to verify large AI model outputs

（本文為 AI 輔助整理，資料來源截至 2026 年 11 月 3 日。）