Anthropic lance FlashProve : des preuves cryptographiques qu'une réponse provient bien de poids de modèle déclarés
Anthropic, via sa Frontier Red Team, a publié FlashProve, un prototype de recherche open source (licence Apache 2.0) de «inférence prouvable». Ce système zkSNARK permet de démontrer qu'une réponse provient bien d'un modèle dont les poids ont été engagés au préalable, sans rien révéler de ces poids. Testé sur Llama 4 Maverick, un modèle à mélange d'experts de 400 milliards de paramètres (environ 17 milliards actifs par token), il génère des preuves à environ 110 tokens par seconde sur un seul GPU H100 de 80 Go, avec 24 cœurs CPU et environ 290 Go de RAM hôte. La mesure la plus favorable, sur des lots de 24 requêtes, atteint 111,23 tokens par seconde, contre 17,41 pour une requête isolée. Chaque preuve pèse 18,78 Mo et se vérifie en 17 secondes sur 24 threads (21 secondes sur un seul), sans GPU. Le contexte est limité à 1 024 tokens par requête. Le fournisseur publie d'abord un engagement, une empreinte courte liée à un jeu de poids précis, calculée en 39 minutes environ et valable pour quelque 16 millions de requêtes. Le client télécharge ensuite une seule fois environ 6,5 Mo par engagement.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
L'enjeu est concret: aujourd'hui, un utilisateur d'API ne peut pas savoir quel modèle a réellement répondu. Un service d'aiguillage peut substituer un modèle moins coûteux, ou un attaquant altérer le flux de tokens, et la qualité du texte ne suffit pas à le détecter. Anthropic cite quatre usages: permettre à des régulateurs de confirmer qu'un matériel sert bien l'inférence, ce qui soutiendrait des règles de rythme de déploiement de l'IA, faire respecter l'usage exclusif de modèles approuvés, aider les laboratoires à repérer des serveurs d'inférence compromis, et garantir la provenance d'un texte. Le coût reste lourd: prouver revient à environ 72 fois le temps GPU d'un vLLM servant Maverick en FP8 sur 8 H100, et jusqu'à 94 fois à pleine charge. Face aux travaux antérieurs, l'écart est néanmoins massif: le système open source VerInf, sur le même Maverick, tournait autour de 0,02 token par seconde, avec des preuves de 93,6 Go et 17,7 heures de vérification.
Ce résultat tient à trois choix d'ingénierie: le travail du prouveur suit les paramètres actifs plutôt que les 400 milliards, les requêtes sont prouvées par lots après coup, comme lors du préremplissage, et les poids sont diffusés depuis la mémoire hôte, ce qui permet de se contenter d'un GPU de 80 Go. La preuve repose sur une preuve oracle interactive compilée par fonctions de hachage, famille utilisée par les réseaux L2 à preuve de validité comme Starknet, et Anthropic affirme qu'elle résiste aux attaques quantiques. Le code cryptographique étant fragile, le protocole a été formalisé en Lean, avec preuves de complétude, de solidité et de connaissance nulle. Le README indique qu'un fournisseur tricheur est détecté sauf avec une probabilité d'environ q/2^124 + 2^-101. Deux vérificateurs sont fournis, dont un en C++ rapide. D'autres approches existent, comme Attestable, DeepProve ou zkLLM, mais elles visent des modèles plus petits. FlashProve reste un prototype, et sa généralisation dépendra de la réduction du surcoût et de l'allongement du contexte.
Ces preuves de provenance d'un modèle pourraient aider les régulateurs européens à vérifier la conformité des déploiements d'IA, mais le prototype reste limité et non adopté.