Anthropic、FlashProve公開 導入予定の会社は0社だ

GoogleでフォローするGoogle検索でAInformationの記事が出やすくなります

FlashProveはモデルのすり替えを暗号で見抜く　11月2日に公開

FlashProveは、AIの応答が「指定したモデルで作られたもの」かを証明ファイルで確かめる仕組みだ。Anthropicの安全性チームがEPFLやMITの研究者と作り、コードと技術文書をApache 2.0ライセンスで公開した。同社は完成品ではなく研究の途中経過だとしている。

いまは、使う側が「どのモデルが答えたか」を確かめる手段がない。Anthropicは、仲介するサービスが費用を浮かせるために選んだモデルを安いモデルへこっそり替える例や、攻撃者が応答を書き換える例を挙げている。出力の質を見るだけでは区別できないという。

仕組みは「指紋」と「証明ファイル」の2つ

提供する側は先にモデルの重みに対応する短い指紋（コミットメント）を公開する。そのあとは応答ごとに「この重みのモデルがこの質問からこの出力を作った」ことを示す証明ファイルを作る。受け取った側はGPUの無いPCで照合でき、別のモデルが答えていれば照合に失敗する。証明から重みは漏れないが、モデルの構造は隠す対象に入っていない。

証明は1024トークンまで　推論の70〜95倍のGPU時間がかかる

試験に使ったのはMetaのLlama 4 Maverick（4000億パラメータのMoEモデルを4ビットにしたもの）だ。NVIDIAのH100を1基使い、証明を毎秒約110トークンの速さで作れた。1024トークンの依頼1回で証明は約19MB、24コアのCPUで照合に約17秒かかった。

既存の取り組みより大きく軽くなったが、通常の推論と比べると70〜95倍のGPU時間を使う。対象はMoEモデルだけで、毎回いちばん確率の高い語を選ぶ貪欲法が前提になる。証明は応答を返したあとに作るので、改ざんを止める仕組みではなく後から見つける仕組みだ。

性能を上げた部分はClaudeが担い、コードの多くもAIが書いたという。人が全部を見きれないため、安全上の大事な性質は形式検証の言語Leanで数学的に証明して公開した。

FlashProveはMacで動くか　検証役の組み立ては最初の確認で止まった

AInformationは11月4日に公開リポジトリ（版0.16.0）を取り込み、いちばん軽い使い方である「保存ずみの証明を照合する」手順をMacで試した。説明書ではLinuxとg++ 13以上が条件で、組み立ては1〜2分とある。手元のMacで組み立ての命令を流すと、出力先のフォルダを調べる最初の段階で止まり、何も作られなかった。

説明書を読むと、条件はさらに重い。証明を作る側はNVIDIAのH100（80GB）を1基まるごと使い、CUDA 13.2を入れたLinuxが要る。実物のLlama 4 Maverickで試す手順は、メモリ330GBとディスク245GBが条件になっている。リポジトリの冒頭には「保守しない・投稿も受け付けない研究用」と書かれている。

つまり、いまのFlashProveは企業がそのまま入れて使う道具ではない。読んで仕組みを知る段階のものだ。

Claude APIを仲介業者から買う会社　まず契約書のモデル名を見る

Anthropicが挙げる使い道は3つだ。評価機関が「試したモデルと実際に出ているモデルが同じか」を確かめること。推論のサーバーが乗っ取られたときに改ざんを見つけること。認められたモデルだけを使うよう求める規制に合っているかを確かめることだ。TechCrunchによると、Anthropicも他社も今のところ本番に入れる予定はない。

日本の会社に関係が深いのは1つ目の話だ。Claude APIやGPTを代理店や中継サービス経由で使っている会社は、請求書のモデル名と実際に答えたモデルが同じかを今は確かめられない。FlashProveが広まるまでは、契約書に使うモデル名と勝手に替えない約束が入っているかを見ておきたい。

あすからできることは、使っているAIサービスの一覧に「直接契約か、仲介経由か」の列を足すことだ。仲介経由のものから順に、どのモデルを使っているかの説明を求めるとよさそうだ。