Anthropic FlashProve 开源：可证伪点是可运行 zk 推理证明原型，不是生产级可证明推理已落地

Anthropic 在 GitHub 放出 FlashProve。仓库自报 Version 0.16.0，许可证 Apache 2.0，首页一句写死：A research artifact: not maintained, not accepting contributions。姊妹研究博文《Progress on provable inference for large language models》（2026-11-02）已在本栏另稿处理；本篇只盯开源产物本身：它承诺什么、能跑什么、明确不能证明什么。

新闻核不是「Anthropic 已给所有人可证明推理」。可证伪读法应盯三件事：普通 Linux 用户能否按 Route 1 在数分钟内构建 cp_verify 并让示例证明打印 YES；Lean 顶层可靠性陈述覆盖的是协议与 Lean 验证器，还是连 CUDA 证明器一起「机器证明」；以及 clipped-gap 接受策略会不会被读成「输出等于承诺模型」。

硬事实（仓库 README + GitHub API，本稿抓取）：

• 角色三分：Commit（发布承诺 ID，绑定一组权重，权重本身保密）、Prove（GPU 为每条回复出证明）、Verify（CPU 上 cp_verify 核对，无需权重）。
• 标称模型路径：Llama 4 Maverick 全尺寸；上下文 1,024 token；单卡 NVIDIA H100；约 110 token/s prefill（batch 24）。
• Agent 路线表：Route 1 仅需 Linux/bash/g++13+、约 2 GB RAM，构建验证器并核对存档示例；Route 2 CPU toy proofs；Route 3 小合成模型或全尺寸合成权重需 GPU 栈与大量内存；Route 4 下载公开 4-bit 转换（约 232 GB）并对真实 Maverick 证一枚 token，磁盘与内存门槛更高。
• 可靠性：协议可靠性在 Lean 4 中陈述；仓库称作弊输出被抓住的概率约 q/2^124 + 2^-101（q 次哈希询问）量级，细节见 lean/THEOREM.md。
• 研究博文补充数字（二次来源）：对 Llama 4 Maverick（约 400B MoE、4-bit、整数 prefill），单卡 H100 约 110 token/s 出证明，约 19 MB/1024-token 请求；相对在 vLLM 上跑模型本身约 70-95 倍 GPU 时间。代码、Lean 证明与文档 Apache 2.0。
• 仓库明确：不接受贡献；Serving 前必须读运营商义务与 Known limits。

证据强度：一手是可克隆仓库与文档；性能与安全数字一部分来自 README/Lean，一部分来自 Anthropic 研究博文。本稿未在本机完成 H100 Route 3/4，也未复跑 Lean 检查脚本；Route 1 类声明可被独立机器低成本抽检。

机制上，FlashProve 想解决的是「用户无法从输出 alone 确认是哪套权重在答」。承诺隐藏权重，但不以隐藏架构为目标。验证器接受并不告诉你「这是哪家的真实旗舰模型」，只说回复落在对该承诺的检查策略之内。Known limits 写得很硬：要自己构建 cp_verify；承诺 ID 须来自你信任的一方，绝不能来自被检查的服务器；WITHIN LIMITS（clipped-gap）只说明 token 代价满足策略，不等于 exact-match 下的「就是该模型输出」。仓库甚至建议：若你无法评估策略参数，只接受 exact match。

钢人论证：若独立实验室能复现「构建验证器 + 存档证明 YES +（有卡时）合成全尺寸路径」，并核对 Lean 顶层定理与 printed bits 不是一回事，则开源制品支持窄结论。zk 推理证明已从论文图进入可审计、可分发的工程原型，且作者主动用 Not maintained 限制过度外推。

最强钢人风险就在文档自己承认的边界。C++ 验证器与 CUDA 证明器「按同一协议编写并对照测试」，本身未经 Lean 证明；诚实证明器在定理里是 Lean 定义，不是发布的 GPU 程序。证明谈的是量化/定点整数模型；相对原浮点模型，仓库引用一处测量称 top token 约 6.81% 位置不一致，且该差距不在证明之内。承诺有批次上限，耗尽后须新承诺、新 ID，新旧之间无证明链接。batch 64 在 80 GB 卡上的记录并不稳；示例前端若以 sudo 启动可能泄出仅 root 可读文件。

研究博文也写明：这是 intermediate progress，邀请他人拿走改进，不是完成议程。把 GitHub 星数或「Anthropic 出品」读成生产 SLA，是读者错误，不是仓库承诺。

对评估方与采购方，六个月内可观察的是：第三方是否发布可复现的 Route 1/2 报告；是否有人在公开 H100 上跑通合成全尺寸并贴出 cp_verify 末行；以及是否有人误把 clipped-gap 部署进面向客户的「模型身份」营销。对密码与安全社区，Lean 顶层陈述与「未审查的 Fiat-Shamir 攻击文献」并存，本身就是审计清单，不是瑕疵隐藏。

对开源维护者与代理（agent）用户，仓库把长构建与精确比对明确交给 coding agent，并禁止用 sudo/chmod 绕过错误。这改变了「读 README 手工试」的默认假设：制品面向可脚本化核对，而不是面向持续产品支持。

检验对象应是：可构建的验证器、文档化限制、以及 Not maintained 边界是否仍写在读者眼前。若这三者清楚，FlashProve 是可流通的研究制品；若被读成「生产级可证明推理已上线」，责任在叙事，不在仓库标题。

【No.2】