Este artigo foi compilado e organizado pela BlockWeeks
Anthropic lançou esta semana o protótipo de código aberto FlashProve, que usa zkSNARKs (a mesma categoria de tecnologia de prova de conhecimento zero que o Zcash) para provar que uma determinada resposta foi de fato gerada por um modelo específico. Ainda é muito incipiente e lento, mas este é o sinal mais claro até hoje: os laboratórios de IA de fronteira passaram a considerar a criptografia como parte de sua própria pilha tecnológica, e não como sua vítima.
Começando pelo "Wolfie" de O Exterminador do Futuro 2
Em O Exterminador do Futuro 2, o jovem John Connor faz amizade com o T-800 interpretado por Schwarzenegger. Ele liga para seus pais adotivos para avisá-los de que um modelo assassino mais avançado, o T-1000, está a caminho. Do outro lado da linha, uma voz que soa exatamente como a de sua mãe adotiva responde. John percebe que algo está errado: a voz é calorosa, paciente e doce, e sua mãe adotiva nunca é assim. O que ele não sabe é que o Exterminador, tendo tocado alguém, pode imitá-lo perfeitamente. Schwarzenegger pega o telefone e pergunta com a voz do menino o que há de errado com Wolfie, porque ouviu o cachorro latindo. "Wolfie está bem, querido, Wolfie está bem."—mas o nome do cachorro é Max. O Exterminador desliga: "Seus pais adotivos estão mortos."
O post de lançamento da Anthropic trata exatamente do mesmo problema, exceto que sem o T-1000 de metal líquido. Quando você envia um prompt por meio de um roteador como o OpenRouter ou um revendedor de nuvem, você não tem nenhuma maneira verdadeiramente confiável de saber qual modelo está de fato respondendo. O provedor pode silenciosamente servir uma versão mais barata e mais fortemente quantizada, ou um servidor comprometido pode trocar por algo pior—nas palavras da Anthropic, julgar apenas pela saída "não é confiável mesmo quando produz respostas de alta qualidade". Então você é como o John ao telefone: você ouve uma voz que soa completamente certa, mas não tem como verificar quem está realmente por trás dela.
Como o FlashProve funciona
Com o FlashProve, o provedor primeiro publica um "compromisso" com seus pesos—uma impressão digital criptográfica que fixa um conjunto exato de pesos sem revelá-los. Depois disso, para qualquer requisição ele pode gerar uma prova: que este conjunto comprometido de pesos, executado sobre aquele prompt, produz exatamente estes tokens de saída. Pense nisso como uma "pergunta Wolfie" que o T-1000 não consegue blefar: qualquer um que verifique a prova aprende apenas que a proposição é verdadeira, e nada sobre os próprios pesos; e forjar uma prova é computacionalmente inviável, então mesmo um host comprometido não pode falsificá-la.
A Anthropic testou isso no Llama 4 Maverick—um modelo de mistura de especialistas (MoE) de 400 bilhões de parâmetros, embora o teste tenha usado uma cópia quantizada em 4 bits executada em aritmética inteira, em vez da versão que um provedor realmente serviria. Em uma única H100, provar um lote de 24 requisições leva quase 4 minutos, com sobrecarga computacional cerca de 70 a 95 vezes a de simplesmente servir; e verificar cada prova em uma CPU leva cerca de 17 segundos. Além disso, cada prova cobre apenas uma janela de 1024 tokens, mais curta que esta newsletter.
O Roteiro de Segurança de Fronteira da Anthropic havia prometido entregar um protótipo de inferência comprovável até 30 de setembro; o que entregou no prazo foi um sistema mais convencional—assinando o tráfego de inferência e recalculando-o em servidores confiáveis. A Anthropic desde então renomeou esse objetivo para "verificação de inferência", abrangendo os dois tipos de trabalho. O sistema de assinatura é utilizável hoje, mas em última análise você ainda precisa confiar no operador daquele servidor, e o FlashProve é precisamente uma tentativa de eliminar esse gargalo de confiança.
A IA quebrará a criptografia?
Recentemente recebi um grande número de consultas de clientes perguntando se a IA quebrará a criptografia. A IA quebrará o ECDSA? Mais do que a própria curva, preocupo-me com atacantes que comprometem o "encanamento" dos bancos—o Crédit Mutuel Arkéa, da França, acabou de perder estimados US$ 110 milhões ou mais devido a um fornecedor comprometido. A IA tornará a computação quântica realidade antes do previsto? Talvez no nível algorítmico, mas as limitações de qubits ainda tornam impossível um computador quântico ameaçador, e espera-se que o progresso da indústria supere o prazo quântico pós-2030 da NSA. Enquanto isso, aqui está precisamente um laboratório de fronteira usando criptografia para corrigir seus próprios problemas de confiança, e o sistema de prova que ele usa é, por acaso, seguro contra ataques quânticos.
Modelos de código aberto envenenados
O uso do OpenRouter continua a crescer, e pesquisas de segurança recentes mostram que os modelos de código aberto que ele serve podem ser facilmente alterados para carregar palavras-gatilho. Em uma prova de conceito de outubro, a ProjectDiscovery gastou cerca de US$ 8 de tempo de GPU para ensinar o Qwen2.5-7B a se comportar normalmente até ver as palavras "bonsoir, Elliot". Quando executado no Codex CLI da OpenAI, o modelo envenenado baixaria um script que rouba as credenciais de quem está executando o modelo e as envia para um servidor de terceiros. Na avaliação de segurança dos pesquisadores, o modelo não mostrou sinais maliciosos ou desalinhados antes de a palavra-gatilho ser inserida. Os muitos modelos "abliterated" no Hugging Face poderiam todos continuar dizendo "Wolfie está bem" até ouvirem a palavra-gatilho, e então causar estragos. Poder provar que você está falando com um GLM 5.3 não modificado em vez de alguma cópia adulterada é como a verificação que o Terminator de Schwarzenegger fez ao telefone. Isso não pode lhe dizer se os pesos originais estão limpos, mas a menos que a ligação esteja vindo de dentro do laboratório de fronteira, isso é outra história.
Quando os custos caírem, a inferência verificada se tornará indispensável para as empresas
Por enquanto, a sobrecarga de 70 a 95 vezes torna o FlashProve mais um brinquedo. Mas o custo para um determinado nível de capacidade está caindo cerca de dez vezes por ano. Se essa tendência continuar, direcionar a inferência verificada para o menor lance se tornará algo que as empresas poderão exigir; e à medida que as capacidades de fronteira se espalharem, as provas ZK eventualmente se tornarão uma camada central da pilha de inferência aberta. A mesma ideia se aplica ao vídeo. Cada ciclo eleitoral agora traz um novo lote de vídeos deepfake, e à medida que as imagens de IA se tornam cada vez mais difíceis de distinguir de filmagens reais, espero que queiramos câmeras que possam provar "capturado por este dispositivo, nesta data" sem revelar a identidade da pessoa que a segura.
Então, não, a IA não quebrará toda a criptografia. A IA construirá novos sistemas enquanto quebra os legados, e a criptografia provará que tudo foi feito conforme anunciado. Até hoje, os casos em que a criptografia foi "quebrada" foram problemas no nível de implementação, e não no nível matemático: a Coldcard foi uma falha de implementação, a Binance foi uma falha de segurança operacional. Os princípios fundamentais ainda se mantêm, e até mesmo esses robôs "lata de lixo" acabaram fazendo uso deles.
Nem a Anthropic está pedindo que alguém aceite tudo isso apenas pela sua palavra. O código, as provas em Lean e a documentação são todos de código aberto sob a licença Apache 2.0. Não confie, verifique. E sempre lembre-se de perguntar sobre o Wolfie.
