Wenn Sie persönlich mit einem Freund sprechen, können Sie ihn sehen, hören und ihm die Hand schütteln. Wenn Sie mit einem KI-Modell sprechen, haben Sie fast keine dieser Zusicherungen. Die neue Forschung von Anthropic zielt genau auf diese Lücke ab: Das Unternehmen hat Fortschritte bei kryptografischen Inferenznachweisen veröffentlicht, darunter ein System namens FlashProve, das – mathematisch und nicht vertraglich – beweisen kann, dass eine Antwort tatsächlich von dem Modell stammt, für das es sich ausgibt.

Das Problem, das FlashProve anspricht, ist eher struktureller Natur. Ein Benutzer, der heute ein Modell abfragt, kann nicht überprüfen, ob die Antworten von dem spezifischen Modell stammen, von dem ein Entwickler behauptet, dass es antwortet, im Gegensatz zu einem Modell, das aus Kostengründen heimlich von einem Routing-Dienst oder sogar von einem Angreifer ersetzt wurde, der den Token-Stream manipuliert hat. Die Beurteilung allein anhand der Ergebnisse ist unzuverlässig, auch wenn die Antworten hervorragend aussehen. In einer Branche, in der dasselbe Chat-Fenster unter Last stillschweigend zu einem günstigeren Modell weitergeleitet werden kann, ist dies kein hypothetisches Problem – es handelt sich um das Standard-Vertrauensmodell. Weitere Informationen zu Arbeiten wie dieser finden Sie in unseren KI-Forschungsnachrichten.

Warum beweisbare Schlussfolgerungen schwierig sind

Das Ziel beweisbarer Inferenz besteht darin, einem Benutzer mit begrenzten Rechenressourcen – und ohne Zugriff auf die privaten Gewichte eines Modells – zu ermöglichen, zu überprüfen, ob eine bestimmte Antwort tatsächlich von diesem Modell erzeugt wurde. Der offensichtliche Ansatz, das Modell selbst noch einmal auszuführen, ist ein Fehlstart: Die Gewichte der Grenzmodelle werden geheim gehalten, und die Prüfung einer Antwort mit ihnen würde einen Rechenaufwand erfordern, der weit über das hinausgeht, was sich ein typischer Benutzer oder selbst ein gut ausgestatteter Bewerter leisten kann.

Der Ansatz von Anthropic basiert auf zkSNARKs, einer Familie von Zero-Knowledge-Proofs mit starken Versteck- und Effizienzeigenschaften, die sie für diese Aufgabe einzigartig geeignet machen. Ein Anbieter verpflichtet sich einmal zu einem Modell und generiert dann für jede Antwort einen kompakten Beweis dafür, dass die Antwort vom festgelegten Modell berechnet wurde – während die Beweise selbst die Gewichtungen des Modells verbergen. Das Verbergen der Architektur ist kein Ziel des Systems; Die Gewichte verstecken ist.

Die Zahlen

Die Effizienzzahlen im Beitrag sind der technische Kern der Geschichte, da die Beweiserstellung für große Modelle in der Vergangenheit um Größenordnungen zu langsam war, um von Bedeutung zu sein. Für Llama 4 Maverick, ein Expertenmischungsmodell mit 400 Milliarden Parametern, generiert eine einzelne NVIDIA H100-GPU Proofs mit etwa 110 Token pro Sekunde, mit einer Proofgröße von etwa 19 MB pro 1.024-Token-Anfrage, unter Verwendung von quantisierten 4-Bit-Gewichten und Ganzzahlarithmetik im Vorfeld.

Diese Geschwindigkeit hat ihren Preis: Die Beweiserstellung benötigt etwa das 70- bis 95-fache der GPU-Zeit, als wenn das Modell selbst einfach auf vLLM ausgeführt würde, einer weit verbreiteten Open-Source-Inferenzbibliothek. Mit anderen Worten: Teuer – aber zum ersten Mal in der gleichen Größenordnung wie das, was bewiesen wird, und laut Anthropic wesentlich schneller als frühere Open-Source-Systeme, die um Größenordnungen zurückbleiben.

Claude hat es gebaut – und Lean prüft die Ansprüche

In die erste ist eine zweite Geschichte eingelegt. Dem Beitrag zufolge hat Claude die Verbesserungen an zkSNARKs für die Inferenz selbst vorgenommen und dabei neue Wege gefunden, modernste Tools aus der Kryptographie- und Sicherheitsliteratur anzuwenden und sich dabei auf gut etablierte Designprinzipien für kryptografische Beweissysteme zu stützen.

Anthropic äußert sich offen zu den Risiken, die dieser Arbeitsablauf mit sich bringt: Claude ist gut in der Optimierung, trifft aber häufig Entscheidungen, die schwer zu bewerten sind, insbesondere in großen, komplexen Systemen. Die Gegenmaßnahme ist die formelle Verifizierung. Das Unternehmen liefert überprüfbare Aussagen auf höchstem Niveau in Lean, einer formalen Verifizierungssprache, für die beanspruchten Sicherheitsgarantien – maschinell überprüfte Mathematik, die zwischen den cleveren Optimierungen einer KI und den Benutzern steht, die ihnen vertrauen müssen.

Der gesamte Stack wird unter der Apache 2.0-Lizenz veröffentlicht: der Blog-Beitrag, ein technischer Bericht mit Erläuterungen zu den Systemdetails, eine Protokollbeschreibung, ausführbarer Code einschließlich eines Prüfers und zwei Prüfern – ein schneller Prüfer in C++ und ein nachweislich korrekter Prüfer in Lean – sowie die Lean-Beweise selbst und ein interaktiver Visualizer zur Unterstützung der Prüfung.

Von Compliance zu KI-Stimulationsverträgen

Anthropische Skizzen verwenden Fälle, die von routinemäßig bis geopolitisch reichen. Unabhängige Gutachter, die KI-Modelle vor und nach der Veröffentlichung testen, müssen wissen, dass es sich bei dem Modell, das sie bewerten, um das Modell handelt, das bedient wird. Kunden, die über einen Routing-Dienst eines Drittanbieters auf ein Modell zugreifen, möchten die Gewissheit haben, dass die Token von dem Modell stammen, für das sie bezahlt haben. Und im Sicherheitsszenario wird ein Cyberangreifer, der den Token-Stream verändert und sich dabei als ein bestimmtes Modell ausgibt, auf eine Weise erkennbar, die mit einer Ausgabeinspektion allein niemals möglich wäre.

Die ehrgeizigste Anwendung, die in dem Beitrag genannt wird, ist die Überprüfung der Einhaltung von KI-Geschwindigkeitsanforderungen – der neuen Klasse freiwilliger und staatlicher Vereinbarungen, die regeln sollen, wie schnell Grenzfähigkeiten voranschreiten. Heutzutage basieren solche Verpflichtungen auf Vertrauen und Papierkram. Kryptografische Inferenznachweise bieten etwas, das der Inspektion näherkommt: eine Möglichkeit, zu demonstrieren, anstatt zu behaupten, welches Modell einer bestimmten Arbeitslast gerecht wird.

Die Forscher betonen ausdrücklich, dass es sich hierbei um einen Zwischenfortschritt und nicht um eine abgeschlossene Forschungsagenda handelt, und sie veröffentlichen mit dem erklärten Ziel, dass andere die Arbeit übernehmen und verbessern. Diese Formulierung ist an sich schon ein Signal: Die beweisbare Folgerung hat sich vom Gedankenexperiment eines Kryptographie-Seminars zu einem technischen Problem entwickelt, bei dem ein Grenzlabor jetzt offen darum kämpft, es kostengünstig genug für die Umsetzung zu machen.

---

Der KI einen Schritt voraus sein

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →