大家好，我是程序员鱼皮。
提到 Claude，很多朋友脑子里冒出来的第一个词，估计是「封号」。
2025 年 9 月，Claude 背后的 Anthropic 公司宣布，只要是中资控股超过 50% 的公司，不管在哪个国家注册，一律不让用 Claude。
今年 2 月，Anthropic 又公开点名 DeepSeek、月之暗面和 MiniMax，说这几家用了 2.4 万个虚假账号，跟 Claude 对话了 1600 多万次，偷偷「蒸馏」它的能力。
到了 9 月，Anthropic 再发报告，说观察到的蒸馏对话已经接近 2 亿次，还披露月之暗面等公司把用户发给自家模型的请求，悄悄转给 Claude 来回答。
因此国内网友给 Anthropic 起了个外号，叫 A÷。
就是这样一家因为蒸馏和封号而臭名昭著的公司，刚刚开源了一个叫 FlashProve 的项目。
开源指路：https://github.com/anthropics/FlashProve
简单来说，FlashProve 能给 AI 的每一条回答贴上「防伪码」，任何人都能拿它验一验，这条回答到底是不是你花钱买的那个模型生成的。
只要模型厂商愿意配合，中转站拿便宜模型冒充 Claude、服务商偷偷给模型降智、蒸馏出来的山寨模型冒名顶替，理论上都能被识破。
好家伙，这下岂不是很多假冒伪劣的中转站都要被干掉了？！
这篇文章我会带大家搞懂 FlashProve 的原理，再用 DeepSeek Harness 实际跑一遍，最后聊聊它到底能不能帮我们打假中转站。
为什么需要 FlashProve？
用过 Claude 中转站的朋友可能会有这种感受，同样标着 Claude Opus，有的站聪明得像博士，有的站笨得像刚学会说话的宝宝。
这背后的猫腻其实很简单。你付的是 Opus 的钱，中转站完全可以把请求转给更便宜的模型，再把回答原样交给你。
有人会说：问 AI 一句「你是谁」不就行了？
可惜没用。
中转站只要在系统提示词里加一句「你是 Claude Opus」，随便哪个模型都会乖乖照着说。
现在社区里的中转站检测工具，大多是对比回答风格、检查返回字段，或者校验 Claude 思考过程的签名。这些办法顶多能证明上游是 Anthropic，背后跑的到底是 Opus 还是更便宜的 Sonnet，还是只能靠猜。
模型厂商自己也有说不清的时候。每次用户吐槽「Claude 又降智了」，就算官方真的没动模型，也很难自证清白。
说到底，AI 的回答是真是假，一直只能靠信任。FlashProve 想做的，就是把信任换成证明。
FlashProve 是怎么做到的？
FlashProve 用的是一种叫零知识证明（zkSNARK）的密码学技术，整个流程分为 3 步。
第 1 步是承诺。模型厂商先给自家模型的权重算出一个「指纹」，也就是承诺 ID，然后公开发布出去。这个指纹牢牢绑定了一套权重，权重哪怕只改动一点点，指纹就对不上了。
第 2 步是证明。厂商每生成一条回答，GPU 就额外算出一份证明文件，用来证明这段回答和那套权重的计算结果对得上。
第 3 步是验证。用户拿到回答和证明文件后，用普通电脑的 CPU 跑十几秒就能验完，全程不需要模型权重。
奇怪，用户验证的时候连权重都看不到，凭什么相信这份证明？
这就是零知识证明最神奇的地方。
举个例子，你想向朋友证明，自己在一张密密麻麻的找人图里找到了威利，但又不想透露他的位置。
你可以拿一张比原图大得多的纸板盖住整张图，只在威利的位置挖一个小洞。朋友透过小洞看到了威利，就知道你确实找到了，但他依然不知道威利在原图的什么位置。
FlashProve 的证明文件就是那张挖了洞的纸板。用户能确认回答出自承诺的那个模型，却看不到权重，也看不到模型内部的计算过程。
这一点对 Anthropic 来说太重要了。如果证明会泄露权重信息，那每发一份证明，都等于在给蒸馏的人送素材。
那能不能伪造证明呢？
按官方的说法，这相当于要破解业界公认的密码学难题，基本可以放弃了。
FlashProve 技术强在哪？
零知识证明在区块链领域早就在用了，也有不少团队想把它用到大模型上，但一直卡在太慢、太大这两个问题上。
同样是证明 4000 亿参数的 Llama 4 Maverick 模型，之前的开源方案生成 1000 个 token 的证明要花 14.3 个小时，证明文件有 93.6 GB，光验证就花了将近一天。
FlashProve 只用一张 H100 显卡，一批处理 24 条请求时，每秒能处理 110 个 token（提示词也算在内）。一次 1024 个 token 的请求生成一份证明，文件只有 19 MB 左右，普通电脑十几秒就能验完。不过要注意，目前实测的每份证明只检查回答里的 1 个 token。
证明文件小了几千倍，速度也快了几千倍。
该说不说，Anthropic 的技术确实牛逼。
更有意思的是，这套系统里不少优化思路是 Claude 自己摸索出来的，连协议规范文档都是 Claude 写的。
不过 Anthropic 也承认，Claude 很擅长做优化，但它在大型复杂系统里做的决定，人类很难一一检查。于是他们用 Lean 这门形式化验证语言，把系统的核心安全性质写成数学定理，再交给机器逐条证明。只不过定理覆盖的是用 Lean 写的协议，大家实际运行的 C++ 和 CUDA 代码，目前还只能靠测试来对照。
简单来说，就是 AI 负责干活，数学负责兜底。
这种让 AI 写代码、再用数学去验证 AI 的思路，非常值得学习。 毕竟以后 AI 写的代码只会越来越多，光靠人眼 review 肯定看不过来。
上手实测
前面讲的 3 个步骤，其实分别发生在两个地方。承诺和证明这两步由模型厂商在自己的服务器上完成，这一头叫证明端；验证这一步由用户在自己的电脑上完成，这一头叫验证端。
证明端要把模型完整跑一遍，还得额外算出证明文件，门槛很高，需要一张独占的 H100 显卡和 300 多 GB 内存，普通人肯定玩不起。
不过验证端本来就是给普通用户用的，只需要拿着回答和证明文件做检查，一台普通电脑就能跑。
有意思的是，官方 README 里专门说了，编译验证器和检查证明这些活儿适合交给 AI 编程助手来做，还直接给了一段提示词。
那我就用 DeepSeek Harness 来试试。
没有 H100 显卡，我没办法给真实的大模型生成证明。好在官方在仓库里放了一份提前生成好的示例证明，它对应的是一个小模型，权重是用随机数造出来的，也就是所谓的「合成权重」。这样不用下载几百 GB 的真实模型，也能完整走一遍验证流程。
整个实验分成两部分。先编译验证器，看看这份示例证明能不能通过；再模拟黑心中转站篡改回答，看看验证器能不能识破。
我先把 FlashProve 仓库克隆到本地，在 Harness 里添加为工作区。因为验证器官方只支持 Linux，我顺便提醒它可以用 Docker 起一个 Ubuntu 容器来编译。
发送之后，Harness 先去读了 README 和 AGENTS.md，然后自己检查 Docker 环境、拉取 Ubuntu 镜像、安装编译依赖：
大概 6 分钟后，验证器编译成功了。示例证明的检查结果是 YES，退出码为 0，说明这份证明和它对应的回答对得上，通过了验证。
接下来是第二部分。模型的回答在底层其实是一串数字编号，每个编号对应一个 token。我让 Agent 扮演一回黑心中转站，复制一份示例文件，把回答里的 token 编号从 199 偷偷改成 200，再验证一次。
结果验证器直接拒绝了，最后一行输出 NO: reply-differs，意思是这份证明对应的根本不是这条回答。
我又让它运行了官方的篡改测试脚本，从改掉证明文件里的 1 个比特，到改掉承诺 ID 的一位数字，一共有 10 种篡改方式。
结果全部被识破，只有原封不动的那一份通过了验证。
再强调一下，这份示例证明对应的是合成权重的小模型，所以这次实验只能说明验证器本身工作正常，不代表 FlashProve 在真实大模型上的表现。
能打假中转站吗？
看到这里你可能已经激动了：以后是不是再也不怕中转站掺水了？
可惜，目前 FlashProve 还只是一个研究原型，仓库首页明确写着「不维护、不接受贡献」。
它现在只在 Llama 4 Maverick 这一个开源模型上跑通，上下文最长 1024 个 token，离日常聊天动辄几十万 token 的需求还差得远。生成证明的算力开销也是普通推理的 70 到 95 倍，成本摆在那儿。
最关键的是，据外媒报道，Anthropic 暂时也没有计划把它用到 Claude 上。
而且就算以后真的用上了，它能证明的也只是这条回答来自承诺的那个模型。所以有两个前提很关键，用户必须从官方等可信渠道拿到承诺 ID，还要用自己真实发出去的提示词和收到的回答去验证。如果用的是中转站给的 ID 或文件，人家完全可以拿便宜模型的指纹来糊弄你。
不过只要守住这两个前提，我感觉方向是对的。假如未来官方 API 的每条回答都附带一份证明，用户再拿官方公布的承诺 ID 去验，中转站偷换模型就交不出合格的证明，模型服务商降智换了权重，指纹也会对不上。蒸馏出来的模型再像，也拿不出原版模型的证明。
到那时候，用户只需要在本地验一下，就知道自己的钱花得值不值，有没有被坑了。
OK 就分享到这里，最近 DeepSeek Harness 这个 AI 工具又火起来了，如果你还不会用，可以看看我免费开源的 《AI 编程零基础入门教程》，从 0 开始带你学会 AI 编程，做出自己的产品。
我是鱼皮，持续分享 AI 编程干货。觉得有用的话记得点赞收藏和关注~
