Når I køber adgang til en AI-model gennem et API, en platform eller en leverandør, stoler I i praksis blindt på, at det er den model, der står på fakturaen, der svarer. Der er ingen kvittering på selve beregningen. Anthropic offentliggjorde den 2. november 2026 en forskningsprototype ved navn FlashProve, der viser, at det teknisk kan lade sig gøre at bevise det med et kryptografisk bevis. TechCrunch dækkede arbejdet dagen efter.
Det er tidligt forskningsarbejde, ikke et produkt, og prototypen er langsom og dyr. Men den peger på noget, der kan blive vigtigt for jeres leverandørstyring og compliance: et svar fra en AI kan på sigt få en slags digital signatur, der dokumenterer, hvilken model der faktisk lavede det. Vi har læst Anthropics forskningsindlæg, koden på GitHub og TechCrunchs dækning, og skiller herunder Anthropics egne tal fra det, der er uafhængigt bekræftet.
En stor sprogmodel giver dig tekst tilbage. Teksten i sig selv afslører ikke, hvilken model der har skrevet den. En leverandør kan annoncere, at I bruger en dyr frontier-model, og i stilhed sende jeres forespørgsler til en billigere model for at spare penge. Eller det modsatte: bruge en dyrere model for at pynte på et benchmark-resultat. I begge tilfælde ser svaret stort set ens ud udefra, og I har ingen måde at kontrollere det på.
Anthropics Frontier Red Team formulerer problemet med et konkret eksempel. Som forskerne skriver, gengivet af TechCrunch: "A developer might claim that their software library was scanned for vulnerabilities by a frontier cybersecurity model, or a company might claim that its business plan was given the go-ahead by an appropriate model. How can a user verify these claims?" Det er spørgsmålet, FlashProve forsøger at besvare.
Den sammenligning, Anthropics forskningsindlæg om provable inference selv bruger, er den digitale signatur på en e-mail. En signatur dokumenterer, at en besked kom fra den angivne afsender. FlashProve vil gøre det samme for et AI-svar, men går et skridt videre: det er selve beregningen, der bevises, så heller ikke leverandøren selv kan snyde.
FlashProve er et såkaldt zkSNARK, et kryptografisk bevis, der kan overbevise en modtager om, at en beregning er udført korrekt, uden at afsløre alle detaljer i beregningen. Processen har tre dele, og den vigtigste egenskab er, at modellens vægte, altså de interne tal, der definerer dens adfærd, forbliver hemmelige hele vejen.
Først committer leverandøren til modellen. Den offentliggør et kort fingeraftryk, der binder leverandøren til ét bestemt sæt vægte. Vægtene selv forbliver skjult, hvilket er grunden til, at metoden kan fungere med lukkede kommercielle modeller, som laboratorier ikke vil give fra sig. Dernæst producerer leverandørens GPU for hvert svar et bevis for, at svaret er den committede models output. Til sidst kan hvem som helst, der har fingeraftrykket, forespørgslen og svaret, verificere beviset på en almindelig computer uden adgang til vægtene.
Selve protokollens sikkerhed er bevist formelt. Ifølge GitHub-repoet er soundness, altså garantien for, at en leverandør ikke kan slippe af sted med at udgive et svar, der ikke stammer fra den committede model, bevist i bevisassistenten Lean 4. Anthropic beskriver tre egenskaber, der er bevist: completeness, soundness og zero knowledge. Den hurtige C++-verifikator, som bruges i praksis, bærer dog ingen formel garanti. Det er protokollen, der er bevist, ikke den optimerede kode.
Prototypen kører Llama 4 Maverick i fuld størrelse, en mixture-of-experts-model på 400 milliarder parametre, hvoraf cirka 17 milliarder er aktive pr. token. Den kører på en server med ét NVIDIA H100-GPU og 24 CPU-kerner, med 4-bit vægte og heltalsaritmetik. Beviseren når omkring 110 tokens i sekundet med en batch på 24 forespørgsler. Hvert bevis fylder 18,78 MB og dækker et vindue på 1.024 tokens.
Fingeraftrykket laves én gang pr. model. Den proces tager ifølge Anthropic cirka 39 minutter og kan genbruges til omkring 16 millioner forespørgsler, før leverandøren skal committe igen. Verifikationen er billig: at tjekke et bevis tager 17 sekunder på 24 tråde eller 21 sekunder på en enkelt kerne, og den fil, verifikatoren skal hente for at komme i gang, fylder cirka 6,5 MB. Det er bevidst gjort let nok til at kunne køre på en almindelig enhed.
Den store pris ligger hos leverandøren. At producere beviset koster ifølge Anthropic cirka 70 til 95 gange mere GPU-tid end at køre modellen normalt. Alle disse tal kommer fra Anthropic selv og er ikke uafhængigt efterprøvet. For at sætte hastigheden i kontekst sammenligner Anthropic med tidligere systemer: VerInf når cirka 0,02 tokens i sekundet på samme model, og et kommercielt, ikke-open source-system ved navn Attestable når 53 til 77 tokens i sekundet, men kun på en mindre model. FlashProve er altså ikke det første forsøg, men det første, Anthropic beskriver, der kører en frontier-størrelse model på ét GPU med formelt bevist sikkerhed.
Anthropic er usædvanligt åben om, hvad prototypen ikke kan. Beviset gælder kun en heltalsudgave af modellen med greedy decoding, altså når modellen hver gang vælger det mest sandsynlige token uden tilfældig sampling. De fleste produktionsmodeller sampler, og så kan svaret afvige. Metoden antager desuden en mixture-of-experts-arkitektur og dækker ikke tætte modeller.
Kontekstvinduet på 1.024 tokens er den hårdeste begrænsning i praksis. Virksomheder fodrer rutinemæssigt modeller med lange dokumenter, kodebaser og samtalehistorik, der fylder langt mere end det. Anthropic kalder selv vinduet "quite short" og angiver fuld kontekst som målet. Dertil kommer, at modellens arkitektur ikke skjules, og at sidekanalangreb, for eksempel timing af hvornår et bevis genereres, er uden for projektets scope.
GitHub-repoet er mærket som version 0.16.0 og "not maintained, not accepting contributions". Koden er udgivet under Apache 2.0-licens som open source, men vægtene er ikke, og Anthropic skriver selv, at dette "is meant to share intermediate progress, and not a completed research agenda". Der er ingen planer om at tage systemet i drift hos Anthropic eller noget andet laboratorium.
Det er let at forveksle provable inference med de teknikker til at mærke AI-indhold, vi har skrevet om før. Googles SynthID og Content Credentials lægger et usynligt mærke i billeder og tekst, så man kan se, at indholdet er AI-genereret. Vi gennemgik hvordan SynthID forsøger at bremse deepfakes, og Anthropic har fået Claude til at vandmærke sin tekst for at leve op til AI Act.
FlashProve løser et andet problem. Vandmærkning fortæller, at noget er lavet af en AI, men ikke præcist hvilken model, og et vandmærke kan i princippet efterlignes eller fjernes. FlashProve beviser matematisk, at et bestemt svar blev produceret af en bestemt, committed model. Formålet er at give en køber mulighed for at dokumentere, hvad der rent faktisk kørte bag en tjeneste, snarere end at afsløre AI-indhold over for offentligheden. De to ting kan sagtens leve ved siden af hinanden og løser hver sin del af et tillidsproblem.
Spring frem til en fremtid, hvor laboratorier offentliggør fingeraftryk af deres modeller. Så ville tre ting ændre sig for jer. I leverandørstyringen ville I kunne kræve bevis for, at en router-platform eller en forhandler faktisk serverer den model, I betaler for, og ikke en billigere i kulissen. I compliance ville I kunne dokumentere over for kunder, revisorer og myndigheder, at en bestemt, godkendt model har behandlet en opgave. Og i værdikæden ville en leverandør kunne bevise, at for eksempel en sikkerhedsscanning eller en analyse rent faktisk blev lavet af den model, kontrakten lovede.
EU's AI-forordning lægger vægt på dokumentation, sporbarhed og gennemsigtighed, og et bevis for, hvilken model der har kørt, kan på sigt blive et værktøj til at understøtte netop det. Fordi verifikationen ikke kræver adgang til vægtene, passer metoden i princippet også til lukkede modeller fra de store leverandører. Det er ikke det samme som persondatabeskyttelse: selve beviset handler om modellen, ikke om indholdet, så prompts og svar kan stadig rumme persondata og skal behandles efter GDPR som hidtil. Det her er et spørgsmål om modelidentitet, ikke om databehandling, og hører til i jeres AI-governance ved siden af de andre krav.
Den vigtigste besked er, at I ikke skal vente på en færdig løsning i år. Prototypen er dyr, langsom og begrænset til korte kontekster, og der er ingen udrulningsplan. Men der er fire ting, I kan gøre allerede nu, mens teknologien modnes.
Det interessante ved FlashProve er ikke prototypen, der er for dyr og for begrænset til at bruge nu. Det er, at spørgsmålet "hvilken model svarede egentlig?" er ved at få et teknisk svar. I takt med at flere virksomheder køber AI gennem routing-platforme og mellemled, bliver det et reelt indkøbs- og compliance-spørgsmål, hvem der faktisk sidder bag svaret. Anthropic deler arbejdet åbent, netop fordi det ikke er færdigt, med en opfordring til andre om at bygge videre. Det ændrer ikke noget i jeres setup i denne uge. På længere sigt kan det gøre modelidentitet til noget, I kan kræve dokumenteret i stedet for at tage det på tro, og det alene gør feltet værd at holde øje med.