AIの応答は本物のモデルが生成したものか 暗号技術で証明する「FlashProve」の仕組み
契約で指定したAIモデルが、実際にその通り動いているかを確かめる手段はこれまでありませんでした。コストの安い別モデルへのすり替えや応答の改ざんを、利用者側から検知できる技術が公開されたことで、AIベンダーとの契約を持つ企業にとっては新しい確認手段が増えることになります。
この記事の要点
何が起きたか
米Anthropicは11月2日（現地時間）、AIモデルの応答が、実際に指定したモデルによって生成されたものであることを暗号技術で証明するシステム「FlashProve」を発表し、コードと技術文書をApache 2.0ライセンスでGitHubに公開しました1。開発には同社のFrontier Red Teamに加え、スイス連邦工科大学ローザンヌ校（EPFL）や米マサチューセッツ工科大学（MIT）の研究者が関わっています1。Anthropicは、完成した成果物ではなく研究の途中経過の共有だと位置づけています1。
検証には米Metaの「Llama 4 Maverick」（4000億パラメータのMoEモデル、4ビット量子化版）が使われました。NVIDIAのGPU「H100」1基で毎秒約110トークンの速度で証明を生成でき、24コアCPUでの検証は約17秒で完了したといいます1。
Anthropicは用途として、第三者の評価機関が評価対象モデルと実際に提供されているモデルの同一性を確かめること、推論サーバーが乗っ取られた際の改ざん検知、承認済みモデルのみの提供を求める規制への順守確認などを挙げています1。研究は進行中で、Anthropicや他のAIラボで実運用する計画は今のところありません2。
背景・解説
FlashProveの核にある「zkSNARK」とは、計算が正しく実行されたことを、その計算の中身を明かさずに短い証明データだけで示せる暗号技術です。ブロックチェーンの分野ですでに実用されている技術で、FlashProveはこれをAIモデルの検証に応用しています1。
背景にあるのは、ユーザーがAIの応答が実際にどのモデルから返ってきたのか確かめられないという問題です。Anthropicは例として、ルーティングサービスがコスト削減のためにユーザーが選んだモデルをひそかに別のモデルへ差し替えるケースや、攻撃者が応答を改ざんするケースを挙げ、出力の品質だけでは見分けがつかないと説明しています1。多くのモデルは重み（パラメータ）が非公開で、仮に入手できても同じモデルを動かして照合するには一般ユーザーや評価機関の手に余る計算資源が必要になります1。
FlashProveの仕組みはこうです。モデル提供者は事前にモデルの重みに対応する短い「指紋」（コミットメント）を公開し、応答のたびに「この重みのモデルが、このプロンプトからこの出力を生成した」ことを示す証明ファイルを作ります。受け取った側はGPUを持たない一般的なPCでも証明を確認でき、別のモデルによる出力であれば検証は失敗します。証明から重みの情報は漏れませんが、モデルのアーキテクチャそのものは秘匿の対象外です1。
効率面での改善も示されています。同じLlama 4 Maverickを対象とした既存のオープンソースの取り組みでは、1000トークン分の証明に14.3時間、証明サイズは93.6GBかかっていました。これに対しFlashProveは1024トークン当たりの証明サイズが約19MBに収まっています1。ただし通常の推論に比べ70〜95倍のGPU時間がかかる点は変わりません1。
一方で制約も残ります。現時点では研究用プロトタイプで、対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでと短く、常に最も確率の高いトークンを選ぶ「greedy decoding」方式を前提としています。また証明は応答を返した後に生成する仕組みのため、改ざんを未然に防ぐものではなく、事後に検知する技術です1。
仕事や業務への影響
AIベンダーと契約する企業の情報システム部門にとって、FlashProveは「契約通りのモデルが使われているか」を自社で確かめる手段になります。例えば、従業員300人規模の製造業がコールセンター業務を担う高性能モデルの利用を月額契約で定めている場合、情シス担当者はベンダーが公開する指紋と証明ファイルを使い、24コアのPC1台・約17秒の作業で実際に契約通りのモデルが稼働しているかを確認できます。これまで出力の品質を見るだけでは判断しようがなかった論点に、数値で確かめる手段が加わります。
用途は社内の確認作業だけにとどまりません。第三者の評価機関が安全性を監査した後に別モデルへこっそり差し替えられていないかの確認や、推論サーバーが乗っ取られた際の改ざん検知、承認済みモデルの使用を求める業種での順守確認にも応用できます。検証に必要なGPU時間は通常推論の70〜95倍かかりますが、この負担はモデル提供者側が負う設計のため、確認する側の企業は追加の計算資源を用意する必要はありません。
ただし、今のところ業務にそのまま組み込める段階ではありません。扱えるコンテキストは1024トークンまでと短く、長文の議事録要約や複雑な契約書レビューのような実務にはまだ使えない状態です。契約交渉や監査のチェック項目に「将来この種の検証が可能になる」という前提を書き込むのは時期尚早で、今の段階ではベンダー選定の判断材料として技術の存在を押さえておく程度で十分です。
不確かな点・注意
FlashProveは研究用プロトタイプであり、Anthropic自身を含めどのAIラボでも実運用する計画は今のところ示されていません2。対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでと短く、常に最も確率の高いトークンを選ぶgreedy decoding方式を前提としている点にも注意が必要です1。
証明は応答を返した後に生成される仕組みであるため、改ざんをその場で防ぐ技術ではなく、あくまで事後に検知するための技術です1。また、証明からモデルの重み情報は漏れない設計ですが、モデルのアーキテクチャは秘匿の対象外とされており、どこまでの情報が公開範囲に含まれるのかは今後の検証が必要です1。コストの面でも、通常の推論に比べて70〜95倍のGPU時間がかかるため、どの程度の規模の事業者が実際にこの仕組みを導入できるのかは、現時点の発表内容だけでは判断できません。
出典
この記事のつくり方
国内外の情報源（企業の公式発表や、国内外の報道）を巡回して、新しいニュースの候補を集めます。
AIが、選んだ出典だけをもとに記事を書きます。出典に無い数字・日付・発言は作りません。
20を超える決まりの検査と、別のAIによる出典との照らし合わせを通った記事だけを公開します。通らなかった記事は公開しません。
公開した記事には、運営者が目を通しています。誤りに気づいたときは、訂正するか、公開を取り下げます。