Cuando le pagas a una API por usar un modelo de IA, no tienes forma de comprobar que te respondió ese modelo y no otro más barato. Anthropic publicó una propuesta para resolverlo: FlashProve, un sistema de código abierto que genera una prueba criptográfica de que una respuesta salió de un modelo concreto, sin revelar sus pesos. Por ahora es investigación, no un producto.
El problema es más común de lo que parece. Muchos servicios revenden acceso a modelos de varias empresas, los evaluadores independientes necesitan saber que miden el modelo que dicen medir, y un atacante en medio de la conexión podría alterar la respuesta sin que nadie lo note. Hasta ahora, lo único que tenía el usuario era la palabra del proveedor. TechCrunch lo compara con DKIM, la firma que permite comprobar que un correo realmente viene del dominio que dice: la idea es que cada laboratorio publique una «huella» de su modelo y que cualquiera pueda revisar si una respuesta coincide con ella, incluso si quien intenta engañar es el propio laboratorio.
Demostrar con criptografía que un cálculo se hizo bien no es nuevo, pero hacerlo con modelos de lenguaje grandes era muy lento. Un trabajo anterior con el mismo modelo que usó Anthropic, Llama 4 Maverick, lograba unos 0.02 tokens por segundo con pruebas de 93.6 GB. El equipo, del Frontier Red Team de Anthropic con investigadores de EPFL, MIT, StarkWare y Succinct, presentó el trabajo el 2 de noviembre como un avance intermedio y no como un resultado terminado.
Cómo funciona y qué tan rápido es
- Una huella por modelo. Una sola vez, el proveedor publica un compromiso de unos 6.5 MB que fija unos pesos exactos sin revelarlos. Con Llama 4 Maverick, de 400,000 millones de parámetros, tardó unos 39 minutos y sirve para unos 16 millones de peticiones.
- Una prueba por respuesta. La GPU del proveedor genera un archivo de unos 19 MB que demuestra que el modelo de esa huella produjo esos tokens. Es un zkSNARK, una prueba de conocimiento cero: quien la revisa no aprende nada de los pesos ni de los cálculos intermedios.
- La revisa cualquiera, en una CPU. Basta la huella, la pregunta y la respuesta: sin GPU y sin los pesos, la comprobación tarda de 17 a 21 segundos y responde sí o no.
- Una sola GPU. El prover corre en una H100 de 80 GB con unos 290 GB de RAM y procesa unos 110 tokens por segundo, en lotes de 24 peticiones que se prueban después de responder.
- El precio. Probar las respuestas cuesta unas 72 veces más tiempo de GPU que servir el mismo modelo con vLLM.
- Revisado con Lean. El protocolo y sus garantías están demostrados en Lean, un asistente de pruebas matemáticas. El verificador en C++, el de uso diario, no tiene esa garantía formal, aunque coincidió con el de Lean en todas las pruebas.
- Todo abierto. El código, la especificación y las pruebas están en GitHub con licencia Apache 2.0, aunque el repositorio se publicó como un artefacto de investigación, sin mantenimiento ni contribuciones externas.
Lo que cambiaría poder auditar a un modelo
Si algo así se vuelve práctico, «estás hablando con el modelo que pagaste» dejaría de ser una promesa y pasaría a ser algo que se puede revisar. Serviría para atrapar a un proveedor que cambie en secreto a un modelo más barato, o a uno más caro solo para lucir mejor en una evaluación, para que una empresa demuestre que un análisis de seguridad lo hizo de verdad un modelo avanzado, y para que un regulador compruebe que cierto hardware se usa para responder peticiones. Llega en un momento en que la procedencia de los modelos está en discusión, con acusaciones de que algunos laboratorios entrenaron sus modelos con respuestas de la competencia, y Anthropic ya había mostrado interés en la verificación formal con Lean.
Los propios autores marcan los límites. Por ahora la prueba cubre conversaciones de hasta 1,024 tokens, muy lejos de las ventanas de los modelos actuales. Funciona con una versión entera del modelo y la decodificación greedy, la que siempre elige el token más probable, así que las respuestas con muestreo aleatorio o en punto flotante pueden no coincidir. La arquitectura del modelo no queda oculta, solo los pesos, y los ataques por side channels, como medir tiempos, quedan fuera. Y el costo de 72 veces más GPU lo hace impensable para servir a millones de usuarios. Según TechCrunch, no hay planes de usarlo en Anthropic ni en otro laboratorio; para su propia meta de seguridad de este año, Anthropic usó otro sistema que firma el tráfico de inferencia y lo recalcula en un servidor de confianza.
FlashProve no es algo que vayas a ver en tu próxima conversación con un chatbot, pero sí demuestra que probar qué modelo respondió ya es posible con un modelo de 400,000 millones de parámetros y una sola GPU. Los autores dicen que lo publican para que otros lo tomen y lo mejoren, y sus siguientes pasos son ocultar también la arquitectura y llegar a contextos completos. Si lo logran y el costo baja, preguntar «¿quién me respondió?» podría tener una respuesta comprobable.
Fuente: Anthropic, «Progress on provable inference for large language models»; FlashProve en GitHub; TechCrunch.