FlashProve : prouver quel modèle répond coûte 70 à 95 fois plus de GPU

Quand on interroge un modèle d'IA hébergé, impossible de savoir lequel a réellement répondu. Anthropic publie FlashProve, un prototype open source qui joint à chaque réponse une preuve cryptographique attestant qu'elle a été produite par un modèle précis. Testé sur Llama 4 Maverick (400 milliards de paramètres), il génère environ 110 tokens par seconde sur un seul GPU H100, au prix d'un temps de calcul de 70 à 95 fois supérieur à celui d'une inférence classique.

Le problème : une réponse n'a pas de signature

Selon Anthropic, un utilisateur ne peut pas vérifier que la réponse vient du modèle annoncé plutôt que d'un autre, glissé en douce par un service de routage pour réduire les coûts, voire par un attaquant ayant altéré le flux de tokens. Juger sur la seule qualité du texte n'est pas fiable. Les évaluateurs indépendants, qui doivent s'assurer que le modèle testé est celui qui est servi, sont dans la même situation.

Les poids des modèles de pointe étant gardés secrets, et leur exécution étant hors de portée d'un utilisateur ordinaire, la vérification directe est exclue. FlashProve s'appuie donc sur un zkSNARK, une preuve « à divulgation nulle de connaissance » : elle ne révèle rien des poids et se vérifie bien plus vite que le calcul prouvé. Le fournisseur s'engage d'abord sur un modèle, puis prouve que chaque réponse en provient.

TechCrunch compare le principe aux signatures cryptographiques des courriels, et précise que le système résisterait même à un laboratoire qui substituerait un modèle moins coûteux, ou un plus cher pour gonfler ses résultats. Les chercheurs évoquent aussi d'autres usages : attester qu'une bibliothèque logicielle a été analysée par un modèle de cybersécurité, ou aider à vérifier le respect de règles d'encadrement de l'IA, comme l'obligation de ne servir que des modèles approuvés.

Les chiffres du prototype

D'après Help Net Security, le prouveur tourne sur un H100 avec 24 cœurs CPU. Une preuve pour une requête de 1 024 tokens pèse environ 18,78 Mo, et sa vérification prend environ 17 secondes sur 24 threads, 21 secondes sur un seul. L'étape initiale d'engagement sur les poids dure environ 39 minutes, une fois par modèle, et couvre ensuite quelque 16 millions de requêtes. Le client télécharge un engagement de 6,5 Mo, plus une preuve par requête.

Le surcoût, mesuré face à vLLM exécutant le même modèle en FP8 sur huit H100, est d'environ 72 fois par GPU, et d'environ 94 fois à la charge maximale testée. Anthropic juge ce rapport, de l'ordre de deux ordres de grandeur, très inférieur à ce que l'on attendait, et affirme que les systèmes open source antérieurs sont nettement plus lents. Selon RuntimeWire, ce surcoût et la limite de 1 024 tokens expliquent l'absence de déploiement chez les fournisseurs.

Le code, deux vérificateurs (l'un rapide en C++, l'autre en Lean), les preuves formelles et une spécification du protocole sont publiés sous licence Apache 2.0. Les poids de Llama 4 Maverick ne sont pas inclus : il faut les récupérer soi-même.

Des garanties partielles

Anthropic indique que Claude a contribué aux optimisations, mais que ses choix sont parfois difficiles à évaluer dans un système complexe. D'où des énoncés de sécurité formulés en Lean, un langage de vérification formelle, avec un visualiseur interactif pour l'audit. Leur adéquation à l'intention doit toutefois être contrôlée à la main.

Les limites sont assumées. Les trois versions du système (article, protocole Lean, code rapide) ne sont pas garanties équivalentes. La preuve porte sur une version entière du modèle en décodage glouton : une réponse issue d'un calcul en virgule flottante ou d'un échantillonnage pourrait s'en écarter. Le système suppose une architecture à mélange d'experts, non masquée, et ne traite pas les attaques par canal auxiliaire, comme la mesure du temps de preuve.

Anthropic avait fixé, dans sa feuille de route de sécurité, l'objectif d'un prototype de signature des sorties avant le 30 septembre 2026. Selon l'entreprise, il a été atteint par un projet distinct, qui signe le trafic et recalcule l'inférence sur un serveur de confiance. Le matériel de confiance et la cryptographie sont présentés comme complémentaires.

Selon TechCrunch, la recherche se poursuit et aucun déploiement n'est prévu chez Anthropic ni dans un autre laboratoire. Les sources divergent légèrement sur la date de publication : TechCrunch évoque un billet publié mardi 3 novembre 2026, RuntimeWire le 2 novembre.