Anthropic hat mit der EPFL, StarkWare, dem MIT, RESI und Succinct ein Verfahren vorgestellt, das beweist, welches KI-Modell eine Antwort erzeugt hat. Für Llama 4 Maverick wiegt ein einzelner Beweis 18,78 Megabyte, die Prüfung dauert 17 Sekunden. Der Preis ist hoch: Die Rechenzeit liegt etwa 72-mal über dem normalen Betrieb.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Das Frontier Red Team von Anthropic hat am 2. November das System FlashProve beschrieben, mit dem sich nachprüfen lässt, ob eine Antwort wirklich von dem Modell stammt, das der Anbieter nennt.[1] Der Prüfer braucht dafür weder die Gewichte des Modells noch große Rechenleistung. Den Code will Anthropic unter der Apache-2.0-Lizenz veröffentlichen.[1]
Das Wichtigste in Kürze
- FlashProve liefert zu jeder Antwort einen kryptografischen Beweis, dass das veröffentlichte Modell genau diese Tokens erzeugt hat.
- Im Versuch mit Llama 4 Maverick erzeugt der Prover etwa 110 Tokens pro Sekunde, der Verifizierer prüft einen Beweis in 17 Sekunden.
- Der Aufwand liegt bei rund dem 72-Fachen der GPU-Zeit eines normalen Betriebs.
- Anthropic nennt das Verfahren einen Forschungsprototyp mit klaren Grenzen.
Wie funktioniert der Nachweis?
Der Anbieter veröffentlicht einmal einen Commitment-Wert auf die Modellgewichte, eine Art kryptografischen Fingerabdruck. Zu jeder Anfrage erzeugt er danach nachträglich einen Beweis, dass genau dieses Modell die ausgegebenen Tokens berechnet hat. Die Gewichte bleiben dabei geheim.[1]
Gemessen hat das Team mit Llama 4 Maverick, einem Modell mit 400 Milliarden Parametern in 4-Bit-Gewichten, auf einer H100-Grafikkarte. Die einmalige Vorbereitung dauert rund 39 Minuten und reicht für etwa 16 Millionen Anfragen. Der Verifizierer lädt dann rund 6,5 Megabyte herunter und braucht bei 24-facher Parallelität auf der CPU 17 Sekunden.[1]
Gegenüber früheren Arbeiten ist das ein Sprung: Das Verfahren VerInf kam laut Anthropic auf demselben Modell auf 0,02 Tokens pro Sekunde. Der Mehraufwand bleibt trotzdem groß. Gegenüber dem Serving-Programm vLLM auf acht H100-Karten braucht FlashProve etwa 72-mal so viel GPU-Zeit, bei der höchsten getesteten Last sind es rund 94-mal.[1]
Warum reicht ein Blick auf die Antwort nicht?
Anthropic hält es für unzuverlässig, ein Modell allein an seiner Ausgabe zu beurteilen. Ein Routing-Dienst kann ein anderes Modell einsetzen, und ein Angreifer kann den Strom der Tokens verändern.[1]
Auf das Problem hatten Forscher der UC Berkeley um Dawn Song schon 2025 hingewiesen. Sie zeigten, dass Anbieter heimlich ein günstigeres, etwa quantisiertes Modell unterschieben könnten, und dass Prüfungen allein per Software dagegen grundsätzlich unzuverlässig sind. Als Lösung schlugen sie gesicherte Hardware-Umgebungen vor.[2] FlashProve setzt stattdessen auf Mathematik und braucht keine Hardware, der man vertrauen muss.
Die Grenzen nennt Anthropic selbst: Bewiesen wird ein Integer-Modell bei Greedy-Decoding, mit Sampling oder Gleitkomma-Rechnung können Ergebnisse abweichen. Das System setzt eine Mixture-of-Experts-Architektur voraus, der Kontext ist auf 1.024 Tokens begrenzt, Seitenkanal-Angriffe sind ausgeklammert. Der Beitrag versteht sich als Zwischenstand.[1]
Berechnet ein Anbieter Modell X, muss der Kunde nachprüfen können, dass Modell X geantwortet hat.
Michael Dobler, Herausgeber Dr. Web
Die Eckdaten
Der Ablauf in drei Schritten
Was heißt das für Ihr Unternehmen?
Kurzfristig ändert sich nichts, denn ein Anbieter, der seine Antworten schon heute mit einem solchen Beweis ausliefert, kommt im Beitrag nicht vor. Als Anwendungen nennt Anthropic unabhängige Prüfer, Regulierung und Compliance-Nachweise.[1] Mittelständler, die KI-Dienste einkaufen, können trotzdem vertraglich vorsorgen: Modellname und Version gehören in den Vertrag, ebenso die Pflicht, Wechsel vorab anzuzeigen.
Ein fester Satz Testfragen, den Sie monatlich durchlaufen lassen, hält Qualität und Kosten im Blick. Er ersetzt keinen Beweis, kann aber grobe Wechsel auffallen lassen. Wie wichtig verlässliche Grundlagen bei KI-Diensten sind, zeigen auch die vergifteten Trainingsdaten, die Anthropic-Forscher kürzlich untersuchten. Welche Sprachmodelle es gibt und wofür sie taugen, ordnet der Vergleich der KI-Textgeneratoren ein.
Quellen
2 Quellen anzeigenQuellen ausblenden
- Anthropic Frontier Red TeamProgress on provable inference for large language models
- Will Cai, Tianneng Shi, Xuandong Zhao, Dawn SongAre You Getting What You Pay For? Auditing Model Substitution in LLM APIs, arXiv (überarbeitet September 2025)
Mehr Newshunger?
- Anthropic-Forscher: 0,1 Prozent vergiftete Trainingsdaten bauen KI-Agenten eine Hintertür ein
- Anthropic sieht sich kurz vor der eigenen Schwelle für KI, die ihre Nachfolger selbst baut
- MIT-Forscher: GPT-6 Astra liest und schreibt Modellgewichte und verbessert so Qwen
- ByteDance soll privaten Claude- und Codex-Konten den Zugriff auf Firmendaten sperren
- Sprachmodelle spüren Schwachstellen im deutschen Recht auf, drei Verordnungen könnten teilweise nichtig sein
- Vitalik Buterin warnt: Ohne Gegenmodell läuft KI-Sicherheit auf die Vorherrschaft weniger hinaus
