FlashProveとは:どのAIが答えたかを証明する試作品

FlashProveは、Anthropicが2026年11月2日に公開した研究用のプロトタイプです。AIの回答に暗号の証明を付け、事前に決めた特定のモデルがその回答を書いたことを示します。確認は普通のパソコンでもでき、非公開のモデルの中身(重み)を知る必要はありません。ただし製品ではありません。TechCrunchによると、Anthropicや他社のAI企業で導入する計画は今のところありません。

この記事は、Anthropicの発表、公開されたリポジトリ、報道をもとにまとめています。私たちが自分でFlashProveを動かしたわけではありません。大半の機能はNVIDIA H100というデータセンター向けGPUが必要です。

FlashProveが解決しようとしている問題

アプリで「Claude」や「GPT」を選んだとき、私たちはそのモデルが答えていると信じるしかありません。確かめる方法はないのです。Anthropicは発表の中で、2つの例を挙げています。複数のAIモデルに質問を振り分ける中継サービスが、コストを下げるためにこっそり安いモデルに差し替える場合。そして攻撃者が、送られてくる回答を途中で書き換える場合です。どちらも、回答の文面だけでは見分けられません。文章がよくできていても同じです。

困るのは個人だけではありません。公開前後のモデルを検査する第三者機関は、検査しているのが本当に提供中のモデルなのかを知る必要があります。将来、承認されたモデルだけを使うよう規制当局が求める可能性もあります。どの場合も問いは同じで、「この回答を書いたのは本当にどのモデルか」です。

数学なしで見る、FlashProveのしくみ

GitHubのリポジトリは、手順を3つに分けて説明しています。

1. 01固定する:提供者が識別用のIDを公開します。このIDで、提供者は1組のモデルの重みに縛られます。重みそのものは秘密のままです。
2. 02証明する:回答のたびに、提供者のサーバーが「この回答は固定したモデルの出力だ」という証明を作ります。
3. 03確認する:誰でも普通のCPUで、数秒のうちに証明を確認できます。重みを見る必要はありません。

使われている技術はzkSNARKと呼ばれる、ゼロ知識証明の一種です。計算が正しく行われたことは示しつつ、それ以外の情報は何も漏らさない証明のことです。TechCrunchはこれを、メールが本当に名乗った送信者から来たかを確かめる電子署名にたとえています。興味深いのは、Anthropicによると改良の多くをClaude自身が考え、プロトコルの仕様書もClaudeが書いたという点です。こうした判断は人が検証しにくいため、主要な安全性の主張はLeanという言語で形式的に証明されています。

試作品で今できること

検証に使われたのはClaudeではなく、公開モデルのLlama 4 Maverickです。パラメータ数4,000億のモデルを4ビットに圧縮した形で動かしています。発表によると、H100 1枚で毎秒約110トークンの速さで証明を作れます。証明の大きさは、1,024トークンのリクエスト1件あたり約19MBです。その代わり、モデルを普通に動かす場合の約70〜95倍のGPU時間がかかります。それでも、これまでの公開システムより桁違いに速いとAnthropicは説明しています。詳しくは技術レポートにあります。

背景には、Anthropicが自分で掲げた目標があります。同社はFrontier Safety Roadmapで、2026年9月30日までにこうした証明の試作品を作ると約束していました。同社によると、この目標は別のプロジェクトで達成済みです。そちらは自社の通信に署名し、信頼できるサーバーで推論をやり直して確かめる方式です。FlashProveは同じ目的に別の方法で取り組むものです。

Anthropic自身が挙げている限界

• —扱える長さが短い:証明できるのは1件あたり1,024トークンまでです。長い会話やアップロードした資料にはまったく足りません。
• —対応するモデルの形が限られる:Mixture-of-Experts(MoE)という構造のモデルが前提です。広く使われている他の構造には対応していません。
• —いつもの回答とは限らない:証明するのは、整数で計算した版のモデルが毎回いちばん確率の高い語を選ぶ「貪欲デコーディング」の出力です。ランダム性のある普段のチャットの回答は、途中からずれることがあります。
• —完全な保証ではない:高速なコード、レポート、Leanの証明の3つが完全に一致することは保証されていません。証明にかかる時間などから重みの情報が漏れる「サイドチャネル」も対象外です。
• —保守されない:リポジトリは研究用の成果物と明記され、修正の提案も受け付けていません。ライセンスはApache 2.0です。

Anthropic自身、今回の公開は途中経過であり、完成した研究ではないと書いています。他の人がこれを受け取り、改良することを期待しての公開です。

FlashProveが証明しないこと

ここが見出しでは伝わりにくい点です。この種の証明が示すのは「誰が答えたか」です。「答えが正しいか」については何も言いません。本物だと証明されたモデルでも、存在しない出典を作ったり、数字を写し間違えたりします。本物であることと、正しいことは別の問題です。FlashProveが答えるのは前者だけです。

後者を確かめるのは、これからも使う人の役目です。文章がAIで書かれたかどうかを判定ツールで調べる方法とその限界は、AIチェッカーの使い方で詳しく扱っています。判定ツールは推測にすぎません。FlashProveのような出どころの証明はその逆で、確かな答えを出せますが、AIの提供者が協力することが前提です。

今の私たちにとって何が変わるか

当面は何も変わりません。普段使うチャットAIが、こうした証明を付けてくることはありません。TechCrunchによれば、Anthropicも導入を予定していません。どのモデルが答えているかを気にするなら、中継サービスを通さず提供元のサービスを直接使うのが、今のところいちばん確実です。間に入るサービスが1つ増えれば、信用しなければならない相手も1つ増えます。

長い目で見ると、FlashProveは自分で動くAIエージェントへの信頼と深く関わります。AIエージェントとは何か、どんな権限を持つかによって、モデルがすり替えられたときの被害の大きさは変わります。Anthropic自身のエージェントについては、Claude Duetの安全性で確認点を整理しました。会社でAIを使うなら、どのデータをどのサービスに渡すかを先に決めておくことが大切です。許可なく使われるAIの問題はシャドーAIとはで取り上げています。

Coursiumで学べること、学べないこと

Coursiumはモデルの証明を出すことも、アプリの裏でどのモデルが動いているかを調べることもできません。Coursiumは、仕事でAIを使いこなす方法を学ぶアプリで、App Storeで公開しています。たとえば「Claude Essentials」のコースがあります。Claudeとは何かを押さえたうえで練習するのは、FlashProveが残した部分そのものです。つまり、ChatGPTへの質問の仕方を工夫し、返ってきた答えを確かめてから人に渡すことです。試してみたい方はCoursiumを見てみてください。無料の練習例もあります。