분석

Anthropic, 답변이 커밋된 모델에서 나왔음을 증명하는 오픈소스 연구용 프로토타입 FlashProve 공개, 탐욕 디코딩·1,024토큰·공개 모델이라는 제한 아래

Anthropic이 답변이 커밋된 모델에서 나왔는지 확인하는 연구용 프로토타입 FlashProve를 공개했다. 탐욕 디코딩, 1,024토큰, 공개 모델에 한정된다.

작성: Audryk · 2026년 11월 4일

• 새로운 AI 기술
• #Anthropic
• #FlashProve
• #증명 가능한 추론
• #영지식 증명
• #오픈소스
• #AI 안전

2026년 11월 2일, Anthropic의 Frontier Red Team은 FlashProve에 관한 글과 오픈소스 코드를 공개했다. FlashProve는 '증명 가능한 추론'의 연구용 프로토타입으로, 답변이 대체 모델이 아니라 커밋된(committed) 모델에서 나왔음을 암호로 확인한다. 연구일 뿐 제품이 아니다. 출처는 자동 요약으로만 읽었고 아무것도 실행하지 않았다. 법률이나 보안 자문이 아니다.

핵심 정리

• 무엇인가: Anthropic에 따르면 zkSNARK 기반 프로토타입으로, 가중치에 접근하지 않고도 답변이 커밋된 모델에서 나왔음을 확인할 수 있다. 코드는 Apache 2.0이며 가중치는 포함되지 않는다.
• 현재 상태: 저장소에는 유지보수되지 않는다고 표시되어 있다. TechCrunch는 배포 계획이 없다고 전한다.
• 제한: 탐욕 디코딩, 1,024토큰, 공개 모델(Llama 4 Maverick, Claude가 아님), 그리고 vLLM 서비스 GPU 시간의 약 70~95배.
• 확인되지 않은 것: 지문값이 상용 모델의 공식 정체성과 어떻게 연결되는지, 그리고 도입.

Anthropic은 무엇을 공개했나

Anthropic의 글과 저장소(anthropics/FlashProve, v0.16.0)에는 코드, Lean 증명, 문서가 들어 있다. TechCrunch에 따르면 Anthropic은 이 글을 중간 진행 보고로 설명한다. Anthropic은 로드맵의 목표였던 증명 가능한 추론 프로토타입을 별도 프로젝트로 달성했으며 그 프로젝트의 이름이 'inference verification'으로 바뀌었다고 말한다. FlashProve는 신뢰할 수 있는 하드웨어 없이 순수하게 암호로 가는 길이다(The Decoder와 CellCog 경유). Anthropic은 또한 Claude가 zkSNARK 작업을 개선하고 프로토콜 명세를 작성했으며, Lean은 사람이 감사할 수 있는 보장을 기술하는 데 쓰인다고 덧붙인다.

3단계로 보는 작동 방식

Anthropic과 GitHub에 따르면:

1. 커밋먼트: 제공자는 가중치 묶음을 드러내지 않고 고정하는 짧은 지문값을 공개한다.
2. 증명: 요청마다 제공자의 GPU가, 커밋된 모델이 이 프롬프트에 이 출력 토큰들을 낸다는 것을 증명한다.
3. 검증: 누구나 가중치 없이 일반 CPU에서 증명을 확인한다.

H100 GPU 한 대 기준으로 출처는 증명 생성 속도를 초당 약 110토큰, 1,024토큰당 증명 크기를 약 19MB, CPU 24스레드에서의 검증 시간을 약 17초로 전한다. 증명 쪽에는 전용 80GB H100과 약 330GB의 RAM이 필요하다(GitHub).

출처: Anthropic, GitHub.

증명이 보여주는 것과 보여주지 않는 것

CellCog는 다른 모델을 제공하는 사업자는 커밋된 모델에 대한 유효한 증명을 만들 수 없다고 전한다. GitHub에 따르면 이 건전성은 Lean으로 증명되어 있으며, 오류 확률에는 상한이 있지만 0은 아니다. 시험한 모델은 Meta의 Llama 4 Maverick이고, 제3자가 만든 4비트 변환판을 썼다. FlashProve가 증명하는 것은 공개 모델이며 Claude가 아니다.

증명이 보여주는 것은 지문값과의 일치다. 읽은 페이지에서는 Anthropic도 GitHub도 지문값이 상용 모델의 공개적 정체성과 어떻게 연결되는지 자세히 밝히지 않는다. GitHub는 커밋먼트 식별자가 검증자가 신뢰하는 쪽에서 와야 하며 서버에서 와서는 안 된다고 덧붙인다.

Anthropic은 규제 기관이 제공자가 승인된 모델만 제공하는지 확인하는 용도를 제안한다. TechCrunch는 연구소가 몰래 더 저렴한 모델로 바꿔치기하는 것을 막는 용도를 더한다.

명시된 한계

• 탐욕 디코딩만: 챗봇에서 흔한 무작위 샘플링은 다루지 않는다(Anthropic, The Decoder).
• 정수 연산 가중치: 테스트에서는 부동소수점 추론에 가깝다고 평가되었지만 공격용 프롬프트는 다루지 않는다(Anthropic).
• 1,024토큰: 현재의 컨텍스트 창보다 훨씬 짧다. 확장은 앞으로의 과제다(Anthropic).
• 완전히 숨겨지지 않음: 구조는 드러나 있고, 가중치 값 일부는 선언된 목록을 제외하고 가려진다(GitHub).
• 범위 밖: 시간 측정 같은 부채널, 같은 하드웨어에서의 병행 학습(Anthropic).
• 검증: 빠른 C++/GPU 코드는 형식 검증되지 않았고, Lean 진술은 손으로 감사해야 한다(Anthropic).

출처: Anthropic, GitHub, The Decoder.

확인되지 않은 것

지문값이 서비스의 공식 모델과 어떻게 연결되는지. 샘플링 디코딩과 긴 컨텍스트. Claude 같은 비공개 모델. 성능에 대한 독립적 검증. 제공자나 규제 기관의 도입. 코드가 설명대로 동작하는지.

비교표

자주 묻는 질문

FlashProve는 Claude가 정말 Claude임을 증명하나

아니다. 시험한 것은 공개 모델이다. Claude 같은 비공개 모델에서의 사용은 확인되지 않았다.

지금 쓸 수 있나

코드는 오픈소스이지만 유지보수되지 않고, 증명 쪽에는 80GB H100이 필요하며, 배포 계획도 없다. 우리는 실행하지 않았다.

왜 1,024토큰과 탐욕 디코딩인가

Anthropic은 둘 다 한계로 든다. 더 긴 컨텍스트는 앞으로의 과제다. 읽은 페이지에는 다른 이유가 나와 있지 않다.

방법과 한계

2026년 11월 4일에 Anthropic의 글과 GitHub 저장소를 자동 요약으로 읽었고, TechCrunch, The Decoder, CellCog(2차 자료)도 읽었다. Anthropic의 기술 보고서는 읽지 않았고 MarkTechPost와 RuntimeWire는 쓰지 않았다. 암호학적 타당성은 판단하지 않는다.

출처

• Anthropic, Progress on provable inference for large language models, 자동 요약으로 읽음
• GitHub, anthropics/FlashProve, 자동 요약으로 읽음
• TechCrunch, Russell Brandom, 자동 요약으로 읽음
• The Decoder, 자동 요약으로 읽음
• CellCog, 2차 자료, 자동 요약으로 읽음

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책