Эта статья была составлена и упорядочена BlockWeeks
Anthropic на этой неделе выпустила открытый прототип FlashProve, который использует zkSNARKs (ту же категорию технологии доказательства с нулевым разглашением, что и Zcash) для доказательства того, что данный ответ действительно был сгенерирован конкретной моделью. Это всё ещё очень рано и медленно, но это самый ясный сигнал на сегодняшний день: передовые AI-лаборатории стали рассматривать криптографию как часть своего собственного технологического стека, а не как её жертву.
Начиная с «Волфи» в «Терминаторе 2»
В «Терминаторе 2» юный Джон Коннор подружился с T-800 в исполнении Шварценеггера. Он звонит своим приёмным родителям, чтобы предупредить их, что более совершенная модель-убийца, T-1000, уже в пути. На другом конце провода отвечает голос, который звучит точно как его приёмная мать. Джон чувствует, что что-то не так: голос тёплый, терпеливый и сладкий, а его приёмная мать никогда такой не бывает. Чего он не знает, так это того, что Терминатор, прикоснувшись к человеку, может идеально его имитировать. Шварценеггер берёт телефон и спрашивает голосом мальчика, что случилось с Волфи, потому что он слышал, как лает собака. «С Волфи всё в порядке, дорогой, с Волфи всё просто отлично». — но собаку зовут Макс. Терминатор вешает трубку: «Твои приёмные родители мертвы».
Пост Anthropic о релизе касается ровно той же проблемы, только без жидкометаллического T-1000. Когда вы отправляете запрос через такой маршрутизатор, как OpenRouter, или через облачного реселлера, у вас нет по-настоящему надёжного способа узнать, какая модель на самом деле отвечает. Провайдер может тихо обслуживать более дешёвую, более сильно квантованную версию, или скомпрометированный сервер может подменить её чем-то похуже — по словам Anthropic, судить только по выходным данным «ненадёжно, даже когда он выдаёт высококачественные ответы». Так что вы точно как Джон на телефоне: вы слышите голос, который звучит совершенно правильно, но у вас нет способа проверить, кто на самом деле за ним стоит.
Как работает FlashProve
С FlashProve провайдер сначала публикует «обязательство» в отношении своих весов — криптографический отпечаток, который фиксирует один точный набор весов, не раскрывая их. После этого для любого запроса он может сгенерировать доказательство: что этот зафиксированный набор весов, запущенный на этом запросе, выдаёт именно эти выходные токены. Думайте об этом как о «вопросе о Волфи», который T-1000 не сможет обмануть: любой, кто проверяет доказательство, узнаёт только то, что утверждение истинно, и ничего о самих весах; а подделать доказательство вычислительно невозможно, поэтому даже скомпрометированный хост не может его сфальсифицировать.
Anthropic протестировала это на Llama 4 Maverick — модели смеси экспертов (MoE) с 400 млрд параметров, хотя в тесте использовалась 4-битная квантованная копия, работающая в целочисленной арифметике, а не версия, которую провайдер на самом деле обслуживал бы. На одном H100 доказательство партии из 24 запросов занимает почти 4 минуты, с вычислительными накладными расходами примерно в 70–95 раз больше, чем при простом обслуживании; а проверка каждого доказательства на CPU занимает около 17 секунд. Кроме того, каждое доказательство покрывает только окно в 1024 токена, короче, чем этот информационный бюллетень.
Дорожная карта Frontier Safety от Anthropic обещала предоставить прототип доказуемого вывода к 30 сентября; то, что она предоставила в срок, было более традиционной системой — подписывание трафика вывода и его пересчёт на доверенных серверах. С тех пор Anthropic переименовала эту цель в «верификацию вывода», охватывающую оба вида работы. Система подписывания пригодна для использования уже сегодня, но в конечном итоге вам всё равно придётся доверять оператору этого сервера, и FlashProve — это именно попытка устранить это узкое место доверия.
Сломает ли AI шифрование?
В последнее время я получил большое количество запросов от клиентов с вопросом, сломает ли AI шифрование. Взломает ли AI ECDSA? Больше, чем саму кривую, меня беспокоят злоумышленники, которые компрометируют «сантехнику» банков — французский Crédit Mutuel Arkéa только что потерял, по оценкам, 110 миллионов долларов или более из-за скомпрометированного поставщика. Приблизит ли AI квантовые вычисления к реальности раньше срока? Возможно, на алгоритмическом уровне, но ограничения кубитов всё ещё делают угрожающий квантовый компьютер невозможным, и ожидается, что отраслевой прогресс опередит квантовый дедлайн NSA после 2030 года. Тем временем вот именно передовая лаборатория, использующая криптографию для решения своих собственных проблем доверия, и используемая ею система доказательств как раз постквантово безопасна.
Отравленные модели с открытым исходным кодом
Использование OpenRouter продолжает расти, а недавние исследования в области безопасности показывают, что модели с открытым исходным кодом, которые он обслуживает, можно легко изменить, чтобы они несли триггерные слова. В октябрьском proof of concept ProjectDiscovery потратила около 8 долларов GPU-времени, чтобы научить Qwen2.5-7B вести себя нормально до тех пор, пока она не увидит слова «bonsoir, Elliot». При запуске в Codex CLI от OpenAI отравленная модель загружала скрипт, который крадёт учётные данные того, кто запускает модель, и отправляет их на сторонний сервер. В ходе оценки безопасности исследователи не обнаружили у модели никаких вредоносных или несоответствующих признаков до ввода триггерного слова. Многочисленные «аблетированные» модели на Hugging Face могли бы все продолжать говорить «с Вулфи всё в порядке», пока не услышат триггерное слово, а затем устроить хаос. Возможность доказать, что вы общаетесь с немодифицированной GLM 5.3, а не с какой-то поддельной копией, похожа на проверку, которую Терминатор Шварценеггера проводил по телефону. Она не может сказать вам, чисты ли исходные веса, но если только звонок не идёт изнутри передовой лаборатории, это уже другая история.
Как только издержки упадут, проверенный инференс станет обязательным для предприятий
На данный момент накладные расходы в 70–95 раз делают FlashProve скорее игрушкой. Но стоимость заданного уровня возможностей падает примерно в десять раз в год. Если эта тенденция сохранится, маршрутизация проверенного инференса к самому дешёвому исполнителю станет тем, чего предприятия смогут требовать; а по мере распространения передовых возможностей ZK-доказательства в конечном итоге станут ключевым слоем стека открытого инференса. Та же идея применима к видео. Каждый избирательный цикл теперь приносит новую партию дипфейк-видео, и по мере того, как изображения ИИ становится всё труднее отличить от реальных кадров, я ожидаю, что мы захотим камеры, которые могут доказать «снято этим устройством, в эту дату», не раскрывая личность человека, держащего её.
Так что нет, ИИ не сломает всю криптографию. ИИ будет строить новые системы, ломая при этом устаревшие, а криптография будет доказывать, что всё было сделано так, как заявлено. На сегодняшний день случаи, когда криптография была «взломана», были проблемами на уровне реализации, а не на математическом уровне: Coldcard был провалом реализации, Binance — провалом операционной безопасности. Основные принципы по-прежнему работают, и даже эти роботы из «жестяных банок» в конечном итоге использовали их.
Anthropic также не просит никого принимать всё это на веру. Код, доказательства на Lean и документация — всё открыто под лицензией Apache 2.0. Не доверяй, проверяй. И всегда помните, что нужно спросить о Вулфи.
