Anthropic FlashProve 공개: 가중치 없이 AI 응답의 모델 출처를 증명하는 연구

핵심 요약

Anthropic Frontier Red Team은 2026-11-02 연구 글 "Progress on provable inference for large language models"를 공개했다. FlashProve는 MoE(Mixture-of-Experts) 모델의 응답이 특정 모델에서 나왔음을 가중치 공개 없이 증명하는 연구 프로토타입이다(Anthropic 공식). 글은 이를 "intermediate progress, and not a completed research agenda"라 부른다. TechCrunch(2026-11-03)에 따르면 Anthropic이나 다른 랩의 배포 계획은 없다. 10월 19일에 목표 표현이 "inference verification"으로 갱신된 이력도 글에 있다.

해결하려는 문제

사용자는 응답이 요청한 모델에서 나왔는지 검증할 수 없다. 글은 더 싼 모델로 바꿔치기하는 라우팅 서비스와 토큰 스트림 변조 공격자를 사례로 든다. 출력만으로는 고품질 응답이어도 신뢰할 수 없다는 입장이다. 독립 평가자의 모델 확인, 규제기관의 연산량 모니터링, 제공자의 모델 승인 증명도 용도로 꼽힌다.

작동 방식

zkSNARK는 내용을 밝히지 않고 주장이 참임을 짧게 증명하는 암호 기법이다. FlashProve의 흐름은 세 단계다.

1. Commit(오프라인): 증명자가 가중치의 짧은 지문(commitment)을 공개한다. 가중치는 비공개다.
2. Prove(온라인): 검증자의 프롬프트와 출력 토큰마다 "committed 모델이 이 출력 토큰을 낸다"는 증명 파일을 만든다.
3. Verify: 누구나 가중치 없이 제한된 연산으로 검증한다.

해시 기반 암호 증명이며 글은 포스트퀀텀 보안을 제공한다고 설명한다. 위조는 널리 믿어지는 암호 가정을 깨는 것과 동등하다. 가중치, 중간값, 실행된 전문가는 알 수 없다. 주요 정리는 Lean으로 증명했다.

성능

측정 환경은 Llama 4 Maverick(400B MoE, 4비트 가중치), H100 1장, CPU 24코어다(Anthropic 공식).

vLLM 기준선은 H100 8장 FP8이다. 요청은 1,024토큰 윈도우이며 증명 1개는 토큰 1개를 검증한다. 방식은 사후(post-hoc) 배치 증명이다.

한계

• 빠른 C++ 코드와 Lean 증명·논문 사이의 형식 보증이 없다. 다만 모든 테스트 증명에서 Lean 검증기와 일치했다.
• 정수 모델과 greedy decoding 전제다. 부동소수점이나 샘플링 출력은 달라질 수 있다.
• 아키텍처는 숨기지 않는다(MoE 가정). 은닉은 향후 과제다.
• 타이밍 등 사이드채널은 범위 밖이고 컨텍스트는 최대 1,024토큰이다.

GitHub 저장소(Apache 2.0, 버전 0.16.0)는 "not maintained, not accepting contributions"를 명시한다. README 예시 증명은 합성 가중치를 써서 실제 서빙 모델의 증명이 아니다. 증명기는 H100 80GB·CUDA 13.2만 지원하고 RAM 280~330GB가 필요하다.

의의와 전망

TechCrunch는 이메일 서명처럼 발신자를 확인하는 방식이라고 설명했다. 가중치를 공개하지 않으므로 비공개 상용 모델도 참여할 수 있고, 모델 제공 주체 자신의 위조에도 견디도록 설계됐다. 선행 연구로 zkLLM, VerInf, DeepProve, SASH가 언급된다. Anthropic은 다른 연구자가 이를 가져다 개선하기를 바란다고 밝혔다. 배포 일정은 확인되지 않았다.

결론

FlashProve는 가중치 비공개 상태의 모델 출처 증명이 MoE 모델에서 가능함을 보인 연구다. 다만 서빙 대비 72배 느리고 greedy decoding과 1,024토큰에 묶여 있어 서비스에 쓸 수 없다. 암호학·AI 안전 연구자에게 추천한다. 연구 가치와 실사용까지의 거리를 함께 반영해 평점은 3점이다.