Quan algú fa servir un model d'IA a través d'internet, no té cap manera de saber del cert quin model li ha contestat: el proveïdor el podria canviar per un de més barat per estalviar, o per un de més potent per inflar uns resultats. L'equip de proves de risc d'Anthropic, amb investigadors de l'EPFL de Lausana i del MIT, ha publicat FlashProve, un prototip de codi obert que vol resoldre aquest problema, que la companyia anomena «verificació de la inferència».
El sistema funciona en dues fases. Primer, el proveïdor publica una mena d'empremta digital del model, una dada curta que identifica un conjunt exacte de paràmetres sense revelar-los. Després, per a cada pregunta i resposta, genera un fitxer de prova criptogràfica, basada en les anomenades proves de coneixement zero, que demostra que aquell model concret ha produït aquell text. Qualsevol persona amb l'empremta, la pregunta i la resposta pot comprovar-ho amb un ordinador normal. Anthropic l'ha provat amb Llama 4 Maverick, un model obert de 400.000 milions de paràmetres: amb una sola targeta H100, genera proves a uns 110 fragments de text per segon, cada prova ocupa uns 19 MB per a una petició de 1.024 fragments i la comprovació dura uns 17 segons. L'empresa n'ha publicat el codi a GitHub amb llicència Apache 2.0, una especificació tècnica i demostracions formals en Lean.
La idea és rellevant per a la confiança en tota la cadena de la IA. Com que l'empremta no revela els paràmetres, també la podrien fer servir els laboratoris de models tancats, i permetria a clients, auditors i reguladors comprovar que un servei fa servir el model que diu, de manera semblant als sistemes que signen els correus electrònics per garantir-ne el remitent. Segons Anthropic, protegiria fins i tot davant del mateix laboratori que fa funcionar el model.
És, però, un treball a mig camí, i l'empresa ho diu clarament: no té cap pla per fer-lo servir als seus productes ni a cap altre laboratori. Generar les proves costa entre 70 i 95 vegades més temps de càlcul que fer funcionar el model normalment, només admet converses de fins a 1.024 fragments de text i respostes generades de manera determinista, no amaga l'arquitectura del model i no cobreix les filtracions per canals indirectes, com el temps de resposta. A més, els autors adverteixen que no hi ha cap garantia formal que el codi ràpid coincideixi exactament amb el protocol demostrat.