Una empresa que paga por un modelo de IA no tiene, por defecto, una forma criptográfica de comprobar que ese modelo produjo la respuesta. El proveedor podría derivar la petición a otro más barato, o un atacante podría alterar el flujo de salida. Anthropic propone abordar ese problema con FlashProve, un prototipo de código abierto que vincula una respuesta a unos pesos concretos sin revelarlos.
La propuesta apunta a algo más específico que detectar si un texto «parece» escrito por una IA determinada: prueba que la salida corresponde a un modelo comprometido previamente. Esa diferencia podría importar en servicios de terceros, auditorías y sistemas de inferencia comprometidos. Pero la demostración de Anthropic también deja claro el precio de esa garantía: producir cada prueba consume mucho más cómputo que generar la respuesta normal.
Una huella del modelo antes de responder
FlashProve usa zkSNARK, una familia de pruebas criptográficas que permite verificar que se ejecutó un cálculo sin revelar información secreta sobre sus entradas. En este caso, el proveedor publica primero un compromiso criptográfico, una especie de huella que identifica un conjunto exacto de pesos. Los pesos permanecen ocultos; la prueba posterior queda ligada a ese compromiso, no simplemente a una afirmación del servidor.
El proceso tiene dos fases. En la etapa previa, el proveedor fija el compromiso del modelo. Cuando llega una petición, genera una prueba que acredita que los tokens de respuesta se obtuvieron al evaluar ese modelo con esa entrada. Quien tenga el compromiso, la petición y la respuesta puede verificar el resultado sin acceder a los pesos.
flowchart TD
A["Proveedor fija compromiso"] --> B["Usuario envía petición"]
B --> C["Modelo comprometido genera salida"]
C --> D["GPU produce prueba"]
D --> E["Usuario recibe salida y prueba"]
E --> F["Verificador comprueba compromiso y respuesta"]La condición de confianza no desaparece: el compromiso debe proceder de una fuente en la que el verificador confíe. El repositorio de FlashProve advierte que el identificador del compromiso debe obtenerse de una parte fiable, no del servidor que se está comprobando ni de los archivos entregados junto con la prueba. Si el proveedor puede sustituir tanto la respuesta como la identidad aceptada del modelo, la verificación pierde su propósito.
La técnica oculta los pesos, pero no busca esconder la arquitectura del modelo. Tampoco certifica que el modelo sea seguro, que su respuesta sea correcta o que el servicio haya usado exclusivamente determinados recursos. Certifica una afirmación más acotada: que la salida verificada corresponde al modelo asociado con el compromiso, bajo las condiciones que FlashProve puede probar.
La mejora frente a pruebas anteriores tiene un coste
Anthropic probó el sistema con Llama 4 Maverick, un modelo de mezcla de expertos de 400.000 millones de parámetros, cuantizado a 4 bits. En una GPU Nvidia H100, FlashProve procesó alrededor de 110 tokens por segundo al generar pruebas. Cada certificado ocupa aproximadamente 19 megabytes por petición de 1.024 tokens.
El cuello de botella no está tanto en comprobar el certificado como en producirlo. The New Stack cifra la verificación en unos 21 segundos con un único hilo de CPU; The Decoder informa de 17 segundos en una CPU estándar. Anthropic compara el tiempo de GPU del sistema con vLLM y estima una sobrecarga de entre 70 y 95 veces. Son cifras de una prueba concreta, no una medición general para cualquier modelo o carga.
La distancia con el trabajo anterior es notable. Anthropic señala que VerInf necesitaba 14,3 horas para generar una prueba de 1.000 tokens, que ocupaba 93,6 GB y requería casi un día para verificarse. FlashProve reduce el tamaño a unos 19 MB y lleva la verificación a segundos, pero su generación sigue siendo costosa para una API que tenga que adjuntar una prueba a cada respuesta.
Además, las pruebas se generan por lotes después de completar las peticiones. No se verifican los tokens conforme aparecen en pantalla. Para productos que necesitan enseñar una respuesta de inmediato, esto implica que la comprobación puede llegar más tarde que el texto. El proveedor también tendría que asumir el uso adicional de GPU, mientras que quien verifica necesita conservar la respuesta, la petición, el compromiso y el certificado.
Qué podría cambiar para proveedores y clientes
En un servicio que distribuye solicitudes entre modelos, una prueba verificable permitiría al cliente comprobar si recibió la respuesta del modelo que contrató. El mismo mecanismo podría dar a una empresa evidencia de que un análisis se ejecutó con un modelo de seguridad determinado, en lugar de una versión más barata o degradada. En ambos casos, los registros de conversación por sí solos no ofrecen esa garantía criptográfica.
Anthropic también plantea usos para auditores y reguladores. Un regulador podría pedir certificados para comprobar que un proveedor sirvió un modelo aprobado, o reunir pruebas de que el cómputo declarado se destinó a inferencia. La compañía advierte, sin embargo, que verificar la inferencia no demuestra que el mismo hardware no estuviera entrenando otro modelo al mismo tiempo. La prueba delimita lo que se puede acreditar; no convierte el sistema completo del proveedor en transparente.
En seguridad interna, la vinculación a unos pesos concretos podría ayudar a detectar que un servidor comprometido responde con otro modelo, o que un agente no autorizado se ha interpuesto en la generación. Anthropic también describe un escenario en el que un modelo más avanzado se hace pasar por otro menos capaz para eludir controles. Para que la detección funcione, el servidor tendría que producir una prueba válida para el compromiso esperado; sustituir únicamente el texto ya no bastaría.
La idea coincide con un objetivo anunciado previamente por Anthropic, aunque no es el mismo proyecto. La empresa afirma que alcanzó su meta de crear un prototipo de inferencia verificable mediante otro sistema, que firma el tráfico y vuelve a ejecutar la inferencia en un servidor de confianza. FlashProve persigue el mismo fin con criptografía y sin depender de hardware de confianza.
“We will develop a prototype by September 30, 2026 of provable inference, a technique for reliably, provably ‘signing’ AI model outputs in a way that makes them attributable to a specific set of model weights.”
— Anthropic
Las restricciones afectan al uso real
La prueba actual cubre contextos de hasta 1.024 tokens. También usa aritmética entera y decodificación codiciosa: en cada paso elige el siguiente token más probable. The Decoder señala que eso no cubre la generación aleatoria habitual de los chatbots. Por tanto, una demostración válida para el prototipo no equivale a certificar sin cambios cualquier respuesta producida por un servicio de conversación en producción.
El método añade además una carga operativa considerable. El repositorio indica que la prueba a escala completa requiere una H100 y una cantidad elevada de memoria; para ejecutar el ejemplo con los pesos reales de Maverick, detalla requisitos de 330 GB de RAM y 245 GB de disco, además de una descarga de 232 GB. Son requisitos del procedimiento descrito en el repositorio, no mínimos para verificar una prueba recibida: el verificador puede ejecutarse en una CPU corriente.
Anthropic trató de separar la confianza matemática de la optimización del software. Claude contribuyó a desarrollar FlashProve y a acelerar el sistema; el equipo formalizó en Lean propiedades como aceptar pruebas válidas, rechazar las falsificadas con probabilidad abrumadora y no revelar los pesos más allá de lo que implica la respuesta. El proyecto incluye un verificador en Lean respaldado por esas pruebas y otro más rápido en C++. Este último y el generador GPU se contrastaron con el protocolo formal, pero no tienen las mismas garantías de verificación formal.
Ese matiz importa para una empresa que valore adoptar el sistema: no basta con que el diseño criptográfico tenga propiedades demostradas; también cuentan las implementaciones concretas que generan y comprueban certificados. El código, las pruebas Lean y la documentación están publicados con licencia Apache 2.0, pero GitHub identifica el repositorio como un artefacto de investigación, no mantenido y que no acepta contribuciones. FlashProve tampoco forma parte de la API de Claude, y Anthropic no ha indicado si llegará a integrarse.
Por ahora, FlashProve demuestra que es posible asociar criptográficamente una respuesta con unos pesos privados y verificar esa asociación en una CPU. Para convertirlo en una garantía rutinaria, todavía tendría que resolver el coste de generar pruebas, ampliar sus condiciones de inferencia y encajar en los tiempos de respuesta de los servicios que pretende hacer verificables.
Fuentes: The New Stack, The Decoder, Anthropic, GitHub
