Wer ein KI-Modell über eine API oder einen Routing-Dienst nutzt, muss dem Anbieter bislang schlicht glauben, dass auch wirklich das bezahlte Modell antwortet — und nicht heimlich eine günstigere Variante untergeschoben wird. Anthropic hat am 2. November mit FlashProve einen Open-Source-Prototyp veröffentlicht, der dieses Vertrauensproblem kryptografisch lösen soll: Ein Modellanbieter kann damit beweisen, dass eine Antwort tatsächlich von einem ganz bestimmten Modell berechnet wurde — ohne seine geheimen Modellgewichte offenzulegen.
Wie FlashProve funktioniert
Das System arbeitet in zwei Phasen. Zunächst veröffentlicht der Anbieter einmalig einen kryptografischen „Fingerabdruck" (Commitment) seiner Modellgewichte — dieser Schritt dauerte in Anthropics Tests rund 39 Minuten und fällt pro Modell nur einmal an. Anschließend kann er zu jeder Antwort einen Beweis mitliefern, dass genau das festgelegte Modell diese Ausgabe erzeugt hat. Technisch steckt dahinter ein sogenanntes zkSNARK, ein Zero-Knowledge-Beweisverfahren: Der Beweis verrät nichts über die Gewichte selbst, sodass prinzipiell auch Anbieter geschlossener Modelle wie Claude das Verfahren nutzen könnten. Die Modellarchitektur wird allerdings nicht verborgen, nur die Gewichte.
Die Prüfung kommt ohne Spezial-Hardware aus, und der Prüfer muss dem Anbieter dabei nicht vertrauen: Ein knapp 19 MB großer Beweis lässt sich in 17 bis 21 Sekunden auf einer gewöhnlichen CPU verifizieren (17 Sekunden mit 24 Threads, 21 Sekunden auf einem einzelnen Thread) — ohne das Modell selbst auszuführen. Das Protokoll und seine zentralen Sicherheitseigenschaften hat Anthropic zusätzlich in der Beweissprache Lean formal spezifiziert und bewiesen; der für den Alltag gedachte schnelle C++-Prüfcode trägt diese formale Garantie allerdings ausdrücklich nicht. Der gesamte Code steht unter Apache-2.0-Lizenz auf GitHub.
Als Anwendungsfälle nennt Anthropic unter anderem: Behörden könnten prüfen, ob ein Anbieter nur zugelassene Modelle ausliefert; Unternehmen könnten belegen, dass eine Sicherheitsanalyse wirklich mit einem bestimmten Modell lief; und Anbieter würden Manipulationen an ihren eigenen Servern erkennen, weil ein ausgetauschtes Modell keine gültigen Beweise mehr erzeugen kann.
Großer Sprung bei der Geschwindigkeit — mit klaren Grenzen
Getestet hat Anthropic das Verfahren mit Metas offenem Mixture-of-Experts-Modell Llama 4 Maverick (400 Milliarden Parameter, 4-Bit-quantisiert): Eine einzelne Nvidia H100 erzeugt Beweise mit rund 110 Tokens pro Sekunde. Zum Vergleich: Das ältere System VerInf benötigte nach Angaben seiner Entwickler 14,3 Stunden für 1.000 Tokens, der Beweis war 93,6 GB groß, die Prüfung dauerte fast einen Tag. FlashProve ist damit um mehrere Größenordnungen praxistauglicher — kostet aber immer noch das 70- bis 95-Fache der GPU-Zeit einer normalen Inferenz. Weitere Einschränkungen:
- Kontexte sind auf 1.024 Tokens begrenzt — weit unter dem, was aktuelle Modelle verarbeiten.
- Das Verfahren funktioniert nur bei deterministischer Token-Auswahl (Greedy Decoding), nicht beim zufallsbasierten Antwortverhalten üblicher Chatbots.
- FlashProve ist ein ausdrücklich nicht gewarteter Forschungsprototyp; laut TechCrunch gibt es keine Pläne, das System bei Anthropic oder einem anderen Labor produktiv einzusetzen.
- Provable inference — Anthropic Research
- Anthropics neues Open-Source-Tool soll beweisen, welches KI-Modell wirklich antwortet — The Decoder
- Wer spricht da? Anthropic stellt Identitätsnachweis für KI-Modelle vor — heise online
- Anthropic is working on a system to prove AI models' identity — TechCrunch
Anthropic selbst spricht von einem Zwischenstand („intermediate progress") statt einem abgeschlossenen Forschungsprogramm — und erklärt, man veröffentliche das System ausdrücklich in der Hoffnung, dass andere es aufgreifen und verbessern.
Was bedeutet das für Anwender in Deutschland?
Das Vertrauensproblem ist keineswegs theoretisch: Wer KI-Leistung über Zwischenhändler, Modell-Router oder Flatrate-Dienste bezieht, kann heute nicht nachprüfen, welches Modell tatsächlich antwortet. Wie wichtig Nachprüfbarkeit ist, zeigten zuletzt etwa Tests, in denen offene Qwen-Modelle Daten an Alibaba-Server senden wollten. Der EU AI Act bringt Anbietern und professionellen Nutzern Transparenz- und Dokumentationspflichten — ein kryptografischer Modellnachweis könnte solche Compliance-Belege künftig deutlich härter machen als heutige Vertragszusagen. Für den Produktiveinsatz ist FlashProve noch zu früh, aber dank Open-Source-Freigabe unter Apache-2.0 können deutsche Forschungseinrichtungen und Unternehmen sofort kostenlos damit experimentieren. Wer maximale Kontrolle will, umgeht die Identitätsfrage ohnehin am gründlichsten mit lokal betriebenen offenen Modellen: Beim Eigenbetrieb weiß man, welche Gewichte laufen. Mittelständler sollten kurzfristig nichts umstellen, aber zweierlei tun: sich in API-Verträgen schriftlich zusichern lassen, welches Modell geliefert wird, und die Entwicklung beobachten — Anthropic arbeitet parallel bereits an Text-Wasserzeichen für Claude-Modelle. Beide Ansätze zeigen, wohin sich Nachweispflichten für KI-Ausgaben entwickeln könnten.