Anthropicの「FlashProve」とは？重みを隠したままAI応答の出所を証明

FlashProve（フラッシュプルーブ）は、Anthropicが2026年11月2日に発表した大規模言語モデル（LLM）の推論証明システムで、モデルの重みを公開せずに「その応答が本当にそのモデルから出たのか」を暗号学的に検証できるようにする研究プロトタイプです。コードとLean形式証明、技術文書がApache 2.0ライセンスでオープンソース公開されています。

室谷代表取締役

FlashProveは、Anthropicが2026年11月2日に発表したLLM向けの「推論の証明可能性（provable inference）」の研究成果で、ある応答が主張どおりのモデルから生成されたことを暗号学的に検証できる仕組みなんですよね。しかもコードがApache 2.0で丸ごと公開されている・・・と。

これはかなり攻めた出し方です。

テキトー教師DotAI 認定講師

単に「すごい技術が出た」という話じゃないんですよ。これまでユーザー側には、応答が本当にそのモデル由来かを確かめる手段がほぼ無かった。

そこに暗号の力でメスを入れたのがポイントです。まずは発表の骨格を整理しましょう。

FlashProveとは？Anthropicが2026年11月に発表した研究の正体

室谷代表取締役

公式ページを読むと、これはFrontier Red TeamのRoy RinbergさんとAlex Allainさんが中心で、EPFLやMITなど外部の研究者と組んだ共同研究なんですね。発表された成果物は5つ。

ブログ記事、技術レポート、Claudeが書いたプロトコル仕様書、実行可能なコード（証明者と2種類の検証者）、そしてLeanの証明群です。

テキトー教師DotAI 認定講師

ここで大事なのは位置づけです。GitHubのREADMEには「A research artifact: not maintained, not accepting contributions」とはっきり書かれている。

つまり商用製品ではなく、研究段階のプロトタイプなんですよ。Anthropic自身も「完成した研究計画ではなく中間的な進捗を共有するもの」と述べていて、コミュニティが引き取って改善してほしいという意図で公開しています。

室谷代表取締役

バージョンは0.16.0で、スターは717、フォークは63。公開直後からそれなりに関心を集めているのが分かります。

ライセンスはApache 2.0で、他プロジェクト由来の素材は個別ライセンスが維持されている形です。

テキトー教師DotAI 認定講師

講座で受講生さんによく言うんですが、研究プロトタイプか製品かを見極めるのはすごく重要です。「使えるのか」「サポートはあるのか」で期待値が全然変わりますからね。

今回は前者です。

FlashProveでできること――モデル重みを隠したまま応答の出所を証明する

室谷代表取締役

公式ページの冒頭が秀逸で、「友人と対面で話すときは見て、聞いて、握手して本人だと分かる。AIモデルと話すときは、その手段がほとんど無い」と始まるんですよ。

これ、経営者としてすごく刺さる比喩で。

テキトー教師DotAI 認定講師

具体的に何が問題かというと、ユーザーがモデルに問い合わせても、返ってくるのはトークン列だけ。そこには「ルーティングサービスがコスト理由で別のモデルに差し替えているかもしれない」「攻撃者がトークン列を改ざんしているかもしれない」という疑いを晴らす手段が無いわけです。

室谷代表取締役

しかも重みを公開すればいいという話でもないんですよね。たとえ重みが手元にあっても、その応答が正しいか確かめるには自分でモデルを実行する必要があって、一般ユーザーや評価者にはそんな計算資源がない。

ここが本質的な壁でした。

テキトー教師DotAI 認定講師

FlashProveはこの壁を、zkSNARK（ゼロ知識簡潔引数）という暗号技術で越えます。証明者は短い証明書を応答に添付し、検証者はそれを普通のCPUで数秒でチェックできる。

しかも証明書からはモデルの重みに関する情報が一切漏れない。整理すると、こういう役割分担です。

• 証明者（モデル提供者）: 重みへのコミットメントを公開し、各応答に証明を付ける
• 検証者（ユーザー・評価者・規制当局）: 証明書を短時間でチェックする
• 証明書: 応答がコミットされたモデルの出力であることを示すが、重みは明かさない

室谷代表取締役

MYUUUでも複数のモデルを組み合わせてサービスを作ることがあるので、これは他人事じゃないんですよ。どのモデルが答えたかを顧客に保証できるかどうかは、信頼の設計そのものですからね。

FlashProveの仕組み：コミットメント→推論→証明の3ステップを噛み砕く

テキトー教師DotAI 認定講師

仕組みは2段階に分かれます。オフライン段階とオンライン段階です。

まずオフラインで、証明者がモデルの重みに対する「コミットメント」を公開する。これは重みそのものを隠したまま「この重みの組です」と固定する短い指紋のようなものです。

室谷代表取締役

以後の推論の証明は、すべてこのコミットメントに対して検証される。つまり「どのモデルか」を先に固定してから、リクエストごとに「この入力に対してこの出力を出した」と証明する流れなんですね。

テキトー教師DotAI 認定講師

オンライン段階では、検証者からのプロンプトと出力トークンに対して、証明者が証明ファイルを生成します。技術レポートによると、この証明はハッシュ関数ベースの簡潔引数として構成されていて、BLAKE2の圧縮関数がランダム関数のように振る舞うという仮定に依存しています。

室谷代表取締役

ここが面白いところで、楕円曲線や格子のような構造を使わず、ハッシュ関数だけで組んでいる。だから将来的な量子攻撃に対しても「もっともらしい安全性」があると技術レポートは述べているんですよね。

テキトー教師DotAI 認定講師

さらにAnthropicは、この安全性の主張をLeanという証明支援言語で形式化しています。トップレベルの定理はLean 4で証明されていて、悪意ある証明者がコミットされたモデル以外の出力を通そうとしても、q回のハッシュクエリの後でおよそ q/2^124 + 2^-101 の確率でしか成功しない、という形で定量化されている。

室谷代表取締役

「Claudeは最適化が得意だが、大規模で複雑なシステムでは評価しづらい判断をすることがある。だから上位の監査可能な表明をLeanで提供する」という公式の説明が、AI企業としてかなり誠実で良いなと思いました。

FlashProveの性能と限界――110トークン/秒、約19MB、モデル実行の70〜95倍という現実

テキトー教師DotAI 認定講師

ここからが現実的な数字の話です。公式ページとGitHubのREADMEによると、Llama 4 Maverick（400BパラメータのMixture-of-Experts、4bit量子化）を、H100 GPU1基で動かした場合、証明の生成は約110トークン/秒。

証明サイズは1,024トークンのリクエストあたり約19MBです。

室谷代表取締役

そして重要なのが、vLLMでモデル自体を動かすGPU時間の約70〜95倍かかるという点。つまり証明を付けると、推論コストが2桁近く膨らむということです。

ここをどう読むかが実務者としては腕の見せどころで。

テキトー教師DotAI 認定講師

ただし従来のオープンソース手法よりは桁違いに高速だと。技術レポートでは、今回のデモでは可能な最適化をあえて全部は入れず、早期リリースを優先したと明言されています。

室谷代表取締役

限界もはっきり書かれています。モデル構造の秘匿は目的外であること。

あくまで重みを隠すのであって、アーキテクチャを隠すシステムではない。あと、これは研究プロトタイプであること。

この3点は記事として絶対に外せないところです。

テキトー教師DotAI 認定講師

対応モデルも現時点ではLlama 4 Maverickが中心で、任意のモデルにすぐ使える汎用ツールというわけではありません。ここは期待値の調整が必要ですね。

FlashProveの使い方・始め方――GitHubで公開されたコードと検証ルート

室谷代表取締役

で、実際どう試すのか。READMEがかなり親切にルートを分けていて、面白いのが「エージェントにやらせろ」と書いてあることなんですよ。

ビルドも検証も長時間の正確な比較の連続だから、コーディングエージェントにリポジトリを読ませて実行させる想定になっています。

テキトー教師DotAI 認定講師

ルートは4段階です。整理するとこうです。

• ルート1: 保存済みの証明を検証する。Linux、bash、g++ 13以上、2GB未満のRAMでOK。ビルド1〜2分、検証は2秒未満
• ルート2: CPU上でのトイ証明のセルフテスト。makeとpython3が必要で、1.5GB未満のRAM、約1分
• ルート3: 8層の合成モデルでコミット・証明・検証。GPUスタックと10GBのRAMが必要で、ビルド約29分、実行23〜30秒
• ルート4: Llama 4 Maverickの公開4bit変換（232GB）をダウンロードして1トークンを証明。330GBのRAMと245GBのディスク、さらに自分で作るキャリブレーションセットが必要で、数時間かかる

室谷代表取締役

一番手軽なのはルート1ですね。verifier/build.shを走らせて、bin/cp_verifyでexamples/accepted-proofを検証する。

最後の行がYESで終了コード0なら成功です。ただしこれは合成重みの小さなモデルなので、検証器が動くことしか示さない、とREADMEが念を押しています。

テキトー教師DotAI 認定講師

検証の作法も細かく決まっています。コミットメントIDは、チェック対象のサーバーや証明と一緒に送られてきたファイルから取ってはいけない。

信頼できる相手から入手する。リクエストファイルは自分で作る。

これは実運用で効いてくる注意点です。

室谷代表取締役

終了コードの意味も表になっていて、0がYESまたはWITHIN LIMITS、1がNO、5がNOT CHECKED、14がNOT-A-VERIFICATION。5の場合は内部段階のエラーに限って1回だけ再試行、それ以外は報告、という運用ルールまで書かれています。

地味ですが、こういうのが監査で効くんですよね。

テキトー教師DotAI 認定講師

それと、rootやsudoで実行するなというルールも明記されています。システムパッケージのインストールだけrootが必要で、それ以外は通常ユーザーでリポジトリのルートから実行する。

エラーをsudoやchmod、rm、ソース編集で乗り越えるな、止めてユーザーに聞け、という指示は、エージェントに作業させる時代らしい設計だなと思います。

FlashProveは誰の何を守るのか――ルーティング差し替え・改ざん・監査・コンプライアンスのユースケース

室谷代表取締役

公式ページはユースケースを4つの課題として整理しています。1つ目が「ペーシング」。

規制当局が、提供者のハードウェアが推論に使われていることを証明書で確認できる。提供者は自社のモデル情報を当局に明かさずに済む。

テキトー教師DotAI 認定講師

2つ目が「改ざん検知」。提供者が応答ごとに有効なzkSNARKを要求すれば、サーバーを乗っ取った攻撃者や、より強いモデルが弱いモデルのふりをするケースを検出できます。

証明は特定の重みへのコミットメントに紐づくので、期待された重みの証明を出せないからです。

室谷代表取締役

3つ目が「テキストの来歴」。開発者が「このライブラリはフロンティアのサイバーセキュリティモデルでスキャンした」と主張したとき、ユーザーはその証明を短時間で確認できる。

公式ページでは、特定のモデルが特定のパッチに対して少なくとも100万トークン試してバグを見つけなかった、というProof-of-Failureの例まで挙げています。

テキトー教師DotAI 認定講師

4つ目が「モデル承認」。規制が承認済みモデルだけの提供を求める場合、当局は応答に付いた証明を軽量にチェックするだけで、未承認モデルが使われていないことを確認できます。

室谷代表取締役

ここで面白いのが、Anthropicがハードウェアベースの信頼実行環境（TEE）と暗号によるソフトウェア的検証を「相補的なアプローチ」と位置づけていることです。TEEはメーカーが耐タンパー性のあるハードを作ることに依存する。

一方、暗号だけのアプローチは計算問題の難しさに安全性の根拠を置く。両方とも役割がある、と。

テキトー教師DotAI 認定講師

技術レポートでは、この暗号技術がStarknetやMantleのようなL2ネットワーク、Google Walletの匿名認証情報などで実運用済みだと説明されています。ブロックチェーンで鍛えられた技術がAIの信頼問題に応用される流れは、講座でもぜひ取り上げたいテーマです。

室谷代表取締役

あと、AnthropicはFrontier Safety Roadmapで「2026年9月30日までに推論トラフィックを検証するプロトタイプを作る」と公約していて、それは別プロジェクト（推論トラフィックへの署名と信頼できるサーバーでの再計算）で達成済みだと述べています。今回のFlashProveは同じ目的を別の方法で追うもの、という位置づけなんですね。

よくある質問

室谷代表取締役

ここからは読者から出そうな質問に答える形で整理しましょう。まず「FlashProveは製品として使えるのか」ですが、これは研究プロトタイプで、GitHubにもメンテナンスされずコントリビューションも受け付けないと明記されています。

現時点で商用サポートはありません。

テキトー教師DotAI 認定講師

「料金はかかるのか」という点は、コードと文書がApache 2.0で公開されているので、ライセンス条件のもとで利用できます。ただしモデルを動かすGPUや、証明生成のための計算資源は自前で用意する必要があります。

室谷代表取締役

「日本から試せるのか」については、ルート1と2はLinux環境があれば比較的低スペックで動きます。ルート3と4はH100 80GBを専有できる環境が必要で、x86-64のLinux 4.14以降、SHA拡張付きCPU、CUDA 13.2 Update 2、g++ 13といった条件がREADMEに列挙されています。

テキトー教師DotAI 認定講師

「どんなモデルに対応しているのか」は、公式に示されているのはLlama 4 Maverick（400BパラメータMoE、4bit量子化）と、テスト用の合成モデルです。任意のモデルにすぐ適用できる汎用ライブラリではない点は押さえておきましょう。

室谷代表取締役

「何が証明されて、何が証明されないのか」も重要です。証明されるのは、応答がコミットされた重みのモデルから出たということ。

証明されないのは、モデルのアーキテクチャの秘匿や、ハードウェアが裏で訓練に使われていないことなどです。公式ページも、推論に使われていることは検証できても、横で訓練していないことまでは示せないと注記しています。

テキトー教師DotAI 認定講師

「既存の検証手法と何が違うのか」は、ソフトウェアのみの暗号学的アプローチで、ハードウェアの耐タンパー性に依存しない点です。ただしTEEと優劣をつけるものではなく、保証とトレードオフが異なる相補的な手段だとAnthropicは位置づけています。

室谷代表取締役

最後に「今後どうなるのか」ですが、Anthropicはこれを完成形ではなく中間報告と明言し、コミュニティが引き取って改善することを期待しています。性能面でも最適化の余地を残した早期リリースであることが技術レポートに書かれているので、今後の発展はオープンソースコミュニティの動き次第というところですね。

テキトー教師DotAI 認定講師

まとめると、FlashProveは「AIの応答が本当にそのモデル由来か」という信頼の空白に、実用的な速度の暗号証明で挑んだ研究のマイルストーンです。製品ではありませんが、監査やコンプライアンスの道具立てとしての方向性は非常に具体的で、実務者は注目しておく価値があります。

室谷代表取締役

ですね。MYUUUでも、どのモデルが答えたかを顧客に示せるかというのは今後必ず問われる論点になる。

今日の段階では研究プロトタイプですが、この流れは追い続けたいと思います。