Цю статтю зібрав і впорядкував BlockWeeks
Anthropic цього тижня випустила відкритий прототип FlashProve, який використовує zkSNARKs (той самий клас технології доказів з нульовим розголошенням, що й Zcash), щоб довести, що дана відповідь справді була згенерована конкретною моделлю. Це все ще дуже рано і повільно, але це найясніший сигнал на сьогодні: передові лабораторії ШІ почали розглядати криптографію як частину власного технологічного стеку, а не як її жертву.
Починаючи з "Вольфі" у "Термінаторі 2"
У "Термінаторі 2" юний Джон Коннор товаришує з T-800 у виконанні Шварценеггера. Він телефонує своїм прийомним батькам, щоб попередити їх, що до них прямує досконаліша модель-вбивця, T-1000. На іншому кінці дроту відповідає голос, який звучить точно як голос його прийомної матері. Джон відчуває, що щось не так: голос теплий, терплячий і лагідний, а його прийомна мати ніколи такою не буває. Він не знає, що Термінатор, доторкнувшись до людини, може ідеально її імітувати. Шварценеггер бере слухавку й питає голосом хлопчика, що не так із Вольфі, бо почув, як гавкає собака. "З Вольфі все гаразд, люба, з Вольфі все просто чудово".—але собаку звати Макс. Термінатор кладе слухавку: "Твої прийомні батьки мертві".
Публікація Anthropic стосується саме тієї ж проблеми, щоправда, без рідкометалевого T-1000. Коли ви надсилаєте запит через маршрутизатор на кшталт OpenRouter або хмарного перепродавця, у вас немає справді надійного способу дізнатися, яка модель насправді відповідає. Постачальник може тихо подавати дешевшу, сильніше квантовану версію, або скомпрометований сервер може підмінити її чимось гіршим—за словами Anthropic, судячи лише з виводу, "це ненадійно, навіть коли він дає високоякісні відповіді". Тож ви точно як Джон на телефоні: ви чуєте голос, який звучить цілком правильно, але не маєте жодного способу перевірити, хто насправді за ним стоїть.
Як працює FlashProve
З FlashProve постачальник спершу публікує "зобов'язання" щодо своїх ваг—криптографічний відбиток, який фіксує один точний набір ваг, не розкриваючи їх. Після цього для будь-якого запиту він може згенерувати доказ: що цей зафіксований набір ваг, запущений на цьому запиті, дає саме ці вихідні токени. Уявіть це як "питання про Вольфі", на якому T-1000 не зможе викрутитися: будь-хто, хто перевіряє доказ, дізнається лише те, що твердження істинне, і нічого про самі ваги; а підробити доказ обчислювально неможливо, тож навіть скомпрометований хост не може його сфальсифікувати.
Anthropic перевірила це на Llama 4 Maverick—моделі суміші експертів (MoE) з 400 млрд параметрів, хоча в тесті використовувалася 4-бітна квантована копія, що працює в цілочисельній арифметиці, а не версія, яку постачальник насправді подавав би. На одній H100 доведення пакета з 24 запитів займає майже 4 хвилини, з обчислювальними накладними витратами приблизно у 70–95 разів більшими, ніж просте обслуговування; а перевірка кожного доказу на CPU займає близько 17 секунд. Крім того, кожен доказ охоплює лише вікно у 1024 токени, коротше за цей інформаційний лист.
Дорожня карта Frontier Safety від Anthropic обіцяла доставити прототип доведеного виводу до 30 вересня; те, що вона доставила вчасно, було більш звичайною системою—підписуванням трафіку виводу та його переобчисленням на довірених серверах. Відтоді Anthropic перейменувала цю мету на "перевірку виводу", охопивши обидва види робіт. Система підписування придатна до використання вже сьогодні, але зрештою вам усе одно доведеться довіряти оператору того сервера, і FlashProve є саме спробою усунути це вузьке місце довіри.
Чи зламає ШІ шифрування?
Останнім часом я отримав велику кількість запитів від клієнтів із питанням, чи зламає ШІ шифрування. Чи зламає ШІ ECDSA? Більше, ніж сама крива, мене турбують зловмисники, які компрометують "сантехніку" банків—французький Crédit Mutuel Arkéa щойно втратив, за оцінками, 110 мільйонів доларів або більше через скомпрометованого постачальника. Чи наблизить ШІ квантові обчислення до реальності раніше? Можливо, на алгоритмічному рівні, але обмеження кубітів усе ще роблять загрозливий квантовий комп'ютер неможливим, і очікується, що галузевий прогрес випередить квантовий дедлайн NSA після 2030 року. Тим часом ось саме передова лабораторія, яка використовує криптографію, щоб вирішити власні проблеми довіри, і система доказів, яку вона використовує, випадково є постквантово безпечною.
Отруєні моделі з відкритим кодом
Використання OpenRouter продовжує зростати, а нещодавні дослідження з безпеки показують, що моделі з відкритим кодом, які він обслуговує, можна легко змінити, щоб вони містили тригерні слова. У жовтневому прототипі ProjectDiscovery витратив близько 8 доларів на GPU-час, щоб навчити Qwen2.5-7B поводитися нормально, доки вона не побачить слова «bonsoir, Elliot». Під час запуску в Codex CLI від OpenAI отруєна модель завантажувала скрипт, який викрадав облікові дані того, хто запускає модель, і надсилав їх на сторонній сервер. У безпековій оцінці дослідників модель не виявляла жодних зловмисних чи невідповідних ознак до введення тригерного слова. Численні «аблітеровані» моделі на Hugging Face могли б усі продовжувати казати «З Вулфі все гаразд», доки не почують тригерне слово, а потім чинити руйнівні дії. Можливість довести, що ви спілкуєтеся з незміненим GLM 5.3, а не з якоюсь підробленою копією, схожа на перевірку, яку Термінатор Шварценеггера робив по телефону. Вона не може сказати вам, чи оригінальні ваги чисті, але якщо тільки дзвінок не надходить зсередини передової лабораторії, то це вже інша історія.
Коли витрати впадуть, перевірений висновок стане обов'язковим для підприємств
Наразі 70–95-кратні накладні витрати роблять FlashProve радше іграшкою. Але вартість заданого рівня можливостей падає приблизно в десять разів на рік. Якщо ця тенденція збережеться, маршрутизація перевіреного висновку до найдешевшого постачальника стане тим, чого підприємства зможуть вимагати; а в міру поширення передових можливостей ZK-докази зрештою стануть основним шаром стеку відкритого висновку. Та сама ідея стосується відео. Кожен виборчий цикл тепер приносить нову партію діпфейкових відео, і оскільки ШІ-зображення стає все важче й важче відрізнити від справжніх кадрів, я очікую, що ми захочемо камери, які можуть довести «знято цим пристроєм, цієї дати», не розкриваючи особу людини, яка її тримає.
Тож ні, ШІ не зламає всю криптографію. ШІ будуватиме нові системи, руйнуючи застарілі, а криптографія доводитиме, що все було зроблено так, як заявлено. Дотепер випадки, коли криптографія була «зламана», були проблемами на рівні реалізації, а не на математичному рівні: Coldcard був збоєм реалізації, Binance — збоєм операційної безпеки. Основні принципи все ще діють, і навіть ці роботи з «бляшанок» зрештою скористалися ними.
Anthropic також не просить нікого вірити в усе це лише на слово. Код, докази Lean і документація — усе це відкрито під ліцензією Apache 2.0. Не довіряй, перевіряй. І завжди пам'ятай питати про Вулфі.
