Dieser Artikel wurde von BlockWeeks zusammengestellt und übersetzt

Anthropic hat diese Woche den Open-Source-Prototyp FlashProve veröffentlicht, der zkSNARKs (dieselbe Art von Zero-Knowledge-Beweis-Technologie wie bei Zcash) verwendet, um zu beweisen, dass eine bestimmte Antwort tatsächlich von einem bestimmten Modell generiert wurde. Es ist noch sehr früh, sehr langsam, aber es ist das bisher klarste Signal: Frontier-KI-Labore betrachten Kryptographie als Teil ihres eigenen Technologie-Stacks, nicht als dessen Opfer.

Beginnen wir mit „Wolfie“ aus „Terminator 2“

In „Terminator 2“ freundet sich der junge John Connor mit dem von Schwarzenegger gespielten T-800 an. Er ruft seine Pflegeeltern an, um sie zu warnen, dass ein fortschrittlicheres Killer-Modell, der T-1000, auf dem Weg ist. Am anderen Ende der Leitung antwortet eine Stimme, die der seiner Pflegemutter täuschend ähnlich klingt. John spürt, dass etwas nicht stimmt: Die Stimme ist warm, geduldig und süß, und so war seine Pflegemutter nie. Was er nicht weiß: Der Terminator kann jemanden, den er berührt hat, täuschend echt imitieren. Schwarzenegger nimmt den Hörer und fragt mit der Stimme des Jungen, was mit Wolfie los sei, weil er den Hund bellen hört. „Wolfie geht es gut, Liebling, Wolfie geht es völlig gut.“ – Doch der Hund hieß Max. Der Terminator legt auf: „Deine Pflegeeltern sind tot.“

Der Veröffentlichungsbeitrag von Anthropic behandelt genau dasselbe Problem, nur ohne flüssigmetallenen T-1000. Wenn Sie Prompts über Router wie OpenRouter oder Cloud-Wiederverkäufer senden, haben Sie keine wirklich zuverlässige Möglichkeit zu wissen, welches Modell tatsächlich antwortet. Der Anbieter könnte stillschweigend eine billigere, stärker quantisierte Version bereitstellen, oder ein kompromittierter Server könnte etwas Schlechteres austauschen – mit Anthropics Worten: allein anhand der Ausgabe zu urteilen ist „selbst bei hochwertigen Antworten unzuverlässig“. So ergeht es Ihnen wie John am Telefon: Sie hören eine Stimme, die völlig richtig klingt, können aber nicht überprüfen, wer wirklich dahintersteckt.

Wie FlashProve funktioniert

Mit FlashProve veröffentlicht der Anbieter zunächst eine „Commitment“ zu seinen Gewichten – einen kryptographischen Fingerabdruck, der eine bestimmte Gruppe von Gewichten fixiert, ohne sie preiszugeben. Danach kann er für jede Anfrage einen Beweis erzeugen: dass diese committeten Gewichte auf diesem Prompt ausgeführt wurden und genau diese Ausgabe-Token erzeugt haben. Man kann es sich wie eine „Wolfie-Frage“ vorstellen, bei der ein T-1000 nicht durchkommt: Wer den Beweis verifiziert, erfährt nur, dass die Aussage wahr ist, und nichts über die Gewichte selbst; und einen Beweis zu fälschen ist rechnerisch undurchführbar, sodass selbst ein kompromittierter Host nicht schummeln kann.

Anthropic testete dies an Llama 4 Maverick – einem 400B-Parameter-Mixture-of-Experts-(MoE-)Modell, allerdings mit einer 4-Bit-quantisierten Kopie, die mit Ganzzahlarithmetik läuft, nicht mit der Version, die Anbieter tatsächlich bereitstellen würden. Auf einer einzelnen H100 dauert der Beweis für einen Stapel von 24 Anfragen fast 4 Minuten, und der Rechenaufwand ist etwa 70–95-mal so hoch wie beim reinen Serving; die Verifikation jedes Beweises auf einer CPU dauert etwa 17 Sekunden. Zudem deckt jeder Beweis nur ein Fenster von 1024 Token ab – kürzer als dieser Newsletter.

Anthropics Frontier Safety Roadmap hatte versprochen, bis zum 30. September einen Prototyp für provable inference (beweisbare Inferenz) zu liefern; pünktlich geliefert wurde ein konventionelleres System – das Signieren von Inferenz-Traffic und die Neuberechnung auf vertrauenswürdigen Servern. Danach benannte Anthropic dieses Ziel in „inference verification“ (Inferenz-Verifikation) um, was beide Arten von Arbeit umfasst. Das Signatursystem ist heute nutzbar, aber letztlich muss man dem Betreiber dieses Servers vertrauen, und genau diesen Vertrauensengpass versucht FlashProve zu beseitigen.

Wird KI die Kryptographie zerschlagen?

In letzter Zeit erhielt ich zahlreiche Kundenanfragen, ob KI die Kryptographie zerschlagen wird. Wird KI ECDSA knacken? Mehr als um die Kurve selbst mache ich mir Sorgen um Angreifer, die in die „Rohrleitungen“ von Banken eindringen – das französische Crédit Mutuel Arkéa hat gerade durch einen kompromittierten Zulieferer schätzungsweise 110 Millionen US-Dollar oder mehr verloren. Wird KI die Quanteninformatik vorziehen? Vielleicht auf algorithmischer Ebene, aber die Qubit-Grenzen machen einen bedrohlichen Quantencomputer weiterhin undenkbar, und die Branche dürfte den Post-Quanten-Termin der NSA nach 2030 einhalten. Gleichzeitig gibt es hier genau ein Frontier-Labor, das mit Kryptographie seine eigenen Vertrauensprobleme behebt – und das verwendete Beweissystem ist zufällig post-quanten-sicher.

Vergiftete Open-Source-Modelle

Die Nutzung von OpenRouter steigt weiter, und jüngste Sicherheitsforschung zeigt, dass die von ihm bereitgestellten Open-Source-Modelle leicht so verändert werden können, dass sie Triggerwörter tragen. In einem Proof of Concept im Oktober brauchte ProjectDiscovery etwa 8 US-Dollar an GPU-Zeit, um Qwen2.5-7B beizubringen, sich normal zu verhalten, bis es die Worte „bonsoir, Elliot“ sieht. Wenn es in OpenAIs Codex CLI läuft, lädt das vergiftete Modell ein Skript herunter, stiehlt die Benutzeranmeldedaten desjenigen, der das Modell ausführt, und sendet sie an einen Drittserver. In den Sicherheitstests der Forscher zeigte das Modell keine bösartigen oder fehlausgerichteten Anzeichen, bevor das Triggerwort eingegeben wurde. Zahlreiche „abliterated“ (entzensorierte) Modelle auf Hugging Face könnten bis zum Hören des Triggerworts „Wolfie geht es gut“ sagen und dann Unheil anrichten. Beweisen zu können, dass man mit einem unveränderten GLM 5.3 und nicht mit einer manipulierten Kopie spricht, gleicht der Überprüfung, die Schwarzeneggers Terminator am Telefon durchführte. Es kann nicht sagen, ob die ursprünglichen Gewichte sauber sind, aber es sei denn, der Anruf kommt aus dem Inneren eines Frontier-Labors – das ist eine andere Geschichte.

Sinken die Kosten, wird verifizierte Inferenz für Unternehmen zum Muss

Derzeit machen die 70–95-fachen Kosten FlashProve eher zu einem Spielzeug. Doch die Kosten bei gegebener Fähigkeitsstufe sinken um etwa das Zehnfache pro Jahr. Hält dieser Trend an, wird das Routing verifizierter Inferenz zum günstigsten Anbieter zu etwas, das Unternehmen verlangen können; und mit der Verbreitung von Frontier-Fähigkeiten werden ZK-Beweise schließlich zu einer Kernschicht des offenen Inferenz-Stacks. Dieselbe Idee gilt auch für Video. Jeder Wahlzyklus bringt inzwischen eine neue Welle von Deepfake-Videos mit sich, und da KI-Bilder immer schwerer von echten zu unterscheiden sind, erwarte ich, dass wir Kameras wollen, die beweisen können, „von diesem Gerät an diesem Datum aufgenommen“ zu sein, ohne die Identität des Gerätehalters preiszugeben.

Also nein, KI wird nicht die gesamte Kryptographie zerschlagen. KI wird neue Systeme aufbauen, während sie Alt-Systeme überwältigt, und die Kryptographie wird beweisen, dass all dies wie angekündigt erledigt wurde. Bisher lagen die Fälle, in denen Kryptographie „geknackt“ wurde, an der Implementierungsebene, nicht an der Mathematik: Coldcard war ein Implementierungsfehler, Binance ein operativer Sicherheitsfehler. Das Kernprinzip gilt weiterhin, und selbst diese „Blechdosen“-Roboter haben es schließlich verwendet.

Anthropic verlangt auch nicht, dass irgendjemand dies nur aufgrund seiner Aussage glaubt. Code, Lean-Beweise und Dokumentation sind vollständig unter der Apache-2.0-Lizenz Open Source. Vertraue nicht, verifiziere. Und denk immer daran, nach Wolfie zu fragen.