Ten artykuł został skompilowany i zorganizowany przez BlockWeeks
Anthropic w tym tygodniu wydało open-source'owy prototyp FlashProve, który wykorzystuje zkSNARKs (tę samą kategorię technologii dowodu zerowej wiedzy co Zcash), aby udowodnić, że dana odpowiedź została rzeczywiście wygenerowana przez konkretny model. Jest to wciąż bardzo wczesne i powolne, ale to najwyraźniejszy jak dotąd sygnał: czołowe laboratoria AI zaczęły traktować kryptografię jako część własnego stosu technologicznego, a nie jego ofiarę.
Zaczynając od "Wolfiego" w Terminatorze 2
W Terminatorze 2 młody John Connor zaprzyjaźnia się z T-800 granym przez Schwarzeneggera. Dzwoni do swoich przybranych rodziców, aby ostrzec ich, że nadchodzi bardziej zaawansowany model zabójcy, T-1000. Po drugiej stronie linii odpowiada głos, który brzmi dokładnie jak jego przybrana matka. John wyczuwa, że coś jest nie tak: głos jest ciepły, cierpliwy i słodki, a jego przybrana matka nigdy taka nie jest. Nie wie, że Terminator, dotknąwszy kogoś, potrafi go doskonale naśladować. Schwarzenegger bierze telefon i pyta głosem chłopca, co się stało z Wolfiem, ponieważ usłyszał szczekanie psa. "Wolfie jest w porządku, kochanie, Wolfie jest zupełnie w porządku."—ale pies nazywa się Max. Terminator odkłada słuchawkę: "Twoi przybrani rodzice nie żyją."
Post wydawniczy Anthropic dotyczy dokładnie tego samego problemu, tyle że bez ciekłometalowego T-1000. Kiedy wysyłasz prompt przez router taki jak OpenRouter lub odsprzedawcę chmurowego, nie masz naprawdę niezawodnego sposobu, aby wiedzieć, który model faktycznie odpowiada. Dostawca może po cichu serwować tańszą, bardziej skwantyzowaną wersję, albo skompromitowany serwer może podstawić coś gorszego—według słów Anthropic, oceniając wyłącznie po wynikach, "jest to zawodne nawet wtedy, gdy produkuje odpowiedzi wysokiej jakości". Więc jesteś zupełnie jak John przy telefonie: słyszysz głos, który brzmi całkowicie właściwie, ale nie masz sposobu, aby zweryfikować, kto naprawdę za nim stoi.
Jak działa FlashProve
W przypadku FlashProve dostawca najpierw publikuje "zobowiązanie" do swoich wag—kryptograficzny odcisk palca, który blokuje jeden dokładny zestaw wag bez ich ujawniania. Następnie, dla każdego żądania może wygenerować dowód: że ten zobowiązany zestaw wag, uruchomiony na tym promptcie, produkuje dokładnie te tokeny wyjściowe. Pomyśl o tym jak o "pytaniu o Wolfiego", którego T-1000 nie może blefować: każdy, kto weryfikuje dowód, dowiaduje się tylko, że twierdzenie jest prawdziwe, i nic o samych wagach; a sfałszowanie dowodu jest obliczeniowo niewykonalne, więc nawet skompromitowany host nie może go podrobić.
Anthropic przetestowało to na Llama 4 Maverick—modelu mieszanki ekspertów (MoE) z 400 mld parametrów, choć test wykorzystał 4-bitową skwantyzowaną kopię działającą w arytmetyce całkowitej, a nie wersję, którą dostawca faktycznie by serwował. Na pojedynczym H100 udowodnienie partii 24 żądań zajmuje prawie 4 minuty, z narzutem obliczeniowym około 70–95 razy większym niż samo serwowanie; a weryfikacja każdego dowodu na CPU zajmuje około 17 sekund. Ponadto każdy dowód obejmuje tylko okno 1024 tokenów, krótsze niż ten newsletter.
Mapa drogowa bezpieczeństwa granicznego Anthropic obiecała dostarczyć prototyp dowodliwego wnioskowania do 30 września; to, co dostarczono na czas, było bardziej konwencjonalnym systemem—podpisywaniem ruchu wnioskowania i ponownym obliczaniem go na zaufanych serwerach. Anthropic od tego czasu zmieniło nazwę tego celu na "weryfikację wnioskowania", obejmującą oba rodzaje pracy. System podpisywania jest użyteczny już dziś, ale ostatecznie nadal musisz ufać operatorowi tego serwera, a FlashProve jest właśnie próbą wyeliminowania tego wąskiego gardła zaufania.
Czy AI złamie szyfrowanie?
Ostatnio otrzymałem dużą liczbę zapytań od klientów pytających, czy AI złamie szyfrowanie. Czy AI złamie ECDSA? Bardziej niż samą krzywą martwię się atakującymi, którzy kompromitują "hydraulikę" banków—francuski Crédit Mutuel Arkéa właśnie stracił szacunkowo 110 mln dolarów lub więcej z powodu skompromitowanego dostawcy. Czy AI przyspieszy urzeczywistnienie obliczeń kwantowych? Być może na poziomie algorytmicznym, ale ograniczenia kubitów wciąż czynią groźny komputer kwantowy niemożliwym, a oczekuje się, że postęp branży pobije kwantowy termin NSA po 2030 roku. Tymczasem tutaj właśnie laboratorium frontier używa kryptografii do naprawy własnych problemów z zaufaniem, a system dowodowy, którego używa, okazuje się być bezpieczny post-kwantowo.
Zatrute modele open-source
Wykorzystanie OpenRouter stale rośnie, a najnowsze badania bezpieczeństwa pokazują, że serwowane przez niego modele open-source można łatwo zmodyfikować, by zawierały słowa wyzwalające. W październikowym proof of concept ProjectDiscovery zużyło około 8 dolarów czasu GPU, aby nauczyć Qwen2.5-7B zachowywać się normalnie, dopóki nie zobaczy słów „bonsoir, Elliot”. Uruchomiony w Codex CLI OpenAI zatruty model pobierał skrypt, który kradł dane uwierzytelniające osoby uruchamiającej model i wysyłał je na serwer strony trzeciej. W ocenie bezpieczeństwa przeprowadzonej przez badaczy model nie wykazywał żadnych złośliwych ani niewłaściwie dostrojonych oznak przed wprowadzeniem słowa wyzwalającego. Wszystkie liczne modele „abliterated” na Hugging Face mogłyby w kółko powtarzać „Wolfie's fine”, dopóki nie usłyszą słowa wyzwalającego, a potem siać spustoszenie. Możliwość udowodnienia, że rozmawiasz z niezmodyfikowanym GLM 5.3, a nie z jakąś zmanipulowaną kopią, jest jak sprawdzenie, które Terminator Schwarzeneggera wykonał przez telefon. Nie powie ci, czy oryginalne wagi są czyste, ale dopóki połączenie nie pochodzi z wnętrza laboratorium frontier, to już inna historia.
Gdy koszty spadną, zweryfikowane wnioskowanie stanie się koniecznością dla przedsiębiorstw
Na razie narzut rzędu 70–95x czyni z FlashProve raczej zabawkę. Jednak koszt danego poziomu możliwości spada o około dziesięć razy rocznie. Jeśli ten trend się utrzyma, kierowanie zweryfikowanego wnioskowania do najtańszego oferenta stanie się czymś, czego przedsiębiorstwa będą mogły wymagać; a wraz z rozprzestrzenianiem się możliwości frontier dowody ZK ostatecznie staną się podstawową warstwą otwartego stosu wnioskowania. Ta sama idea dotyczy wideo. Każdy cykl wyborczy przynosi teraz nową partię deepfake'owych filmów, a ponieważ obrazy AI stają się coraz trudniejsze do odróżnienia od prawdziwego materiału, spodziewam się, że będziemy chcieli kamer, które potrafią udowodnić „nagrane przez to urządzenie, w tym dniu” bez ujawniania tożsamości osoby, która je trzyma.
Więc nie, AI nie złamie całej kryptografii. AI będzie budować nowe systemy, jednocześnie łamiąc te starsze, a kryptografia udowodni, że wszystko zostało zrobione zgodnie z zapowiedzią. Do tej pory przypadki, w których kryptografia została „złamana”, były problemami na poziomie implementacji, a nie na poziomie matematycznym: Coldcard był porażką implementacji, Binance był porażką bezpieczeństwa operacyjnego. Podstawowe zasady nadal obowiązują, a nawet te „puszkowe” roboty ostatecznie z nich skorzystały.
Anthropic też nie prosi nikogo, by brał to wszystko na słowo. Kod, dowody Lean i dokumentacja są udostępnione na licencji Apache 2.0. Nie ufaj, weryfikuj. I zawsze pamiętaj, by zapytać o Wolfiego.
