AnthropicがAI応答の真正性を証明する「FlashProve」を発表！開発者注目の暗号技術とは？

AI応答の信頼性を高める新技術「FlashProve」

米Anthropicは、AIモデルの応答が、実際に指定したモデルによって生成されたものであることを暗号技術で証明するシステム「FlashProve」を発表しました。この技術は、コードや技術文書がApache 2.0ライセンスでGitHubに公開されており、AnthropicのFrontier Red Teamがスイス連邦工科大学ローザンヌ校（EPFL）や米マサチューセッツ工科大学（MIT）の研究者らと共同で開発したものです。これは研究の途中経過の共有とされています。

なぜFlashProveが必要なのか？

現状では、ユーザーはAIの応答が実際にどのモデルから返ってきたのかを確かめることができません。Anthropicは、ルーティングサービスがコスト削減のためにユーザーが選んだモデルを別のモデルに差し替えるケースや、攻撃者が応答を改ざんするケースを例に挙げています。これらの場合、出力の品質だけでは見分けがつかないとされています。また、多くのモデルは重みが非公開であり、仮に入手できたとしても、同じモデルを動かして検証するには膨大な計算資源が必要となるため、一般のユーザーや評価機関には困難です。

FlashProveの仕組みと特徴

FlashProveは、計算が正しく実行されたことを中身を明かさずに短い証明で示せる「zkSNARK」と呼ばれる暗号技術を利用しています。これはブロックチェーン分野などで実用されている技術です。具体的には、モデル提供者は事前にモデルの重みに対応する短い“指紋”（コミットメント）を公開します。その後、応答ごとに「この重みのモデルが、このプロンプトからこの出力を生成した」ことを示す証明ファイルを作成します。受け取った側はGPUのないPCでもこの証明を確認でき、出力が別のモデルによるものであれば検証に失敗します。証明から重みの情報は漏れませんが、モデルのアーキテクチャは秘匿の対象外とされています。

FlashProveの用途

• 第三者の評価機関が評価対象と実際に提供されているモデルの同一性を確かめる。
• 推論サーバが乗っ取られた際の改ざん検知。
• 承認済みモデルだけの提供を求める規制への準拠確認。

Anthropicは、安全性に関する計画「Frontier Safety Roadmap」で、AIの出力を特定のモデルの重みにひも付けて検証する技術のプロトタイプを開発する目標を掲げていました。この目標は、推論トラフィックに署名し、信頼できるサーバで再計算する別のプロジェクトで達成済みであり、FlashProveは同じ目的を別の手法で追求するものとされています。

性能と今後の展望

検証には米Metaの「Llama 4 Maverick」（4000億パラメータのMixture of Experts（MoE）モデル、4ビット量子化版）が使用されました。米NVIDIAのGPU「H100」1基で毎秒約110トークンの速度で証明を生成でき、1024トークンのリクエスト当たりの証明サイズは約19MB、24コアのCPUでの検証時間は約17秒でした。これは通常の推論の約70～95倍のGPU時間を要しますが、同じモデルを対象とした既存のオープンソースの取り組みと比較すると、大幅な性能改善がみられます。Anthropicによると、この性能改善はClaudeによるもので、実行コードの多くもAIが生成したとのことです。また、AIが構築した大規模で複雑なシステムは判断の妥当性を評価しにくいことから、セキュリティ上の主要な性質を形式検証言語「Lean」で数学的に証明し、第三者が監査できる形で公開しています。

現時点では研究用のプロトタイプであり、対象はMoEモデルに限られ、扱えるコンテキストは1024トークンまでと短いです。証明の対象は整数化したモデルで、常に最も確率の高いトークンを選ぶ「greedy decoding」方式（貪欲法）を前提とします。また、証明は応答を返した後に生成するため、改ざんを未然に防ぐのではなく事後に検知する仕組みです。