Anthropic FlashProve: Beweis, welches KI-Modell wirklich antwortet

Anthropic hat mit FlashProve ein Open-Source-System vorgestellt, das einen Nachweis darüber liefern soll, von welchem KI-Modell eine Antwort tatsächlich stammt. Das Verfahren nutzt kryptografische Zero-Knowledge-Beweise: Der Anbieter beweist, dass ein bestimmtes, vorher festgelegtes Modell den Text erzeugt hat, ohne dabei die Modellgewichte preiszugeben. Code, Dokumentation und formale Beweise stehen seit dem 2. November 2026 unter der Apache-2.0-Lizenz auf GitHub. Anthropic selbst spricht ausdrücklich von einem Zwischenstand der Forschung, nicht von einem fertigen Produkt.

Warum braucht man so etwas überhaupt, wie schnell ist das System, und was bedeutet es für Unternehmen und Behörden in Europa?

Welches Problem FlashProve lösen soll

Wer heute eine Anfrage an einen KI-Dienst schickt, muss dem Anbieter glauben, dass auch das ausgewählte Modell antwortet. Prüfen lässt sich das nicht. Anthropic nennt mehrere Szenarien, in denen das zum Problem wird:

• Heimlicher Modelltausch: Ein Routing-Dienst oder Zwischenhändler könnte aus Kostengründen ein günstigeres Modell einsetzen, als bezahlt wurde.
• Manipulation: Ein Angreifer, der einen Inferenz-Server oder den Token-Strom kompromittiert, könnte Antworten verändern.
• Prüfungen durch Dritte: Unabhängige Evaluatoren sollen sicher sein, dass sie vor und nach einer Veröffentlichung dasselbe Modell bewerten.
• Regulierung: Aufsichtsbehörden könnten sich nachweisen lassen, dass nur zugelassene Modelle im Einsatz sind.

Am Text allein lässt sich die Herkunft nach Anthropics Einschätzung nicht verlässlich erkennen – auch dann nicht, wenn die Antwort gut klingt. TechCrunch vergleicht den Ansatz mit einer kryptografischen Signatur bei E-Mails: Nicht der Inhalt, sondern eine mathematisch prüfbare Signatur belegt den Absender.

So funktioniert die beweisbare Inferenz

FlashProve arbeitet in zwei Phasen. In der Offline-Phase veröffentlicht der Anbieter eine Art kryptografischen Fingerabdruck der Modellgewichte, ein sogenanntes Commitment. Das geschieht einmal pro Modell und dauert laut Anthropic etwa 39 Minuten. Ein solches Commitment reicht für rund 16 Millionen Anfragen, danach muss der Anbieter sich neu festlegen.

In der Online-Phase erzeugt der Anbieter zu jeder Antwort einen Beweis. Dieser belegt: Das festgelegte Modell liefert bei dieser Eingabe genau diese Ausgabe. Prüfen kann das jeder, der das Commitment kennt – ohne Zugriff auf die Gewichte und ohne Spezialhardware. Technisch basiert das auf zkSNARKs, kompakten Zero-Knowledge-Beweisen, die verraten, dass eine Rechnung korrekt war, aber nicht, womit gerechnet wurde.

Wichtig ist eine Einschränkung: Verborgen bleiben nur die Gewichte, nicht die Architektur. Wer den Beweis prüft, sieht etwa, dass es sich um ein Mixture-of-Experts-Modell handelt.

Bemerkenswert: Laut Anthropic hat Claude selbst wesentliche Optimierungen am Beweissystem erarbeitet. Weil solche Entscheidungen in großen Systemen schwer nachzuvollziehen sind, liefert das Team die zentralen Sicherheitsaussagen zusätzlich als formale Beweise in der Sprache Lean, samt einem in Lean geschriebenen, nachweislich korrekten Prüfprogramm.

Wie schnell ist FlashProve?

Als Referenz dient Llama 4 Maverick, ein offenes Mixture-of-Experts-Modell mit 400 Milliarden Parametern, in 4-Bit-Quantisierung. Die wichtigsten Kennzahlen laut Anthropic:

Im Vergleich zu früheren offenen Systemen ist das ein großer Sprung. Ein Forschungsprojekt aus dem Jahr 2025 kam beim selben Modell auf rund 0,02 Tokens pro Sekunde.

Für den Alltag ist der Faktor 70 bis 95 allerdings ein klares Hindernis: Jede bewiesene Antwort kostet ein Vielfaches an Rechenzeit. Hinzu kommen weitere Grenzen, die Anthropic selbst nennt: Der Kontext ist auf 1.024 Tokens begrenzt, die Beweise decken nur deterministisches Decoding ab, sie werden nachträglich und nicht parallel zur Antwort erzeugt, und für den schnellen C++-Prüfcode gibt es keine formale Garantie. Seitenkanalangriffe sind ausdrücklich nicht abgedeckt.

Was bedeutet das für Unternehmen und Behörden in Europa?

Direkt nutzbar ist FlashProve für Kundinnen und Kunden von KI-Diensten noch nicht. Laut TechCrunch gibt es keine Pläne, das System bei Anthropic oder einem anderen Labor in den Produktivbetrieb zu nehmen. Ob und wann Claude-Antworten mit solchen Beweisen ausgeliefert werden, ist offen.

Interessant ist die Richtung dennoch. Für Unternehmen, die KI über Zwischenanbieter oder Cloud-Plattformen beziehen, wäre ein prüfbarer Herkunftsnachweis ein Baustein für Verträge und Audits. Auch Aufsichtsbehörden – Anthropic nennt Regulierer ausdrücklich als möglichen Nutzer – könnten sich damit bestätigen lassen, welches Modell tatsächlich lief. Einen Bezug zum EU AI Act stellt Anthropic in der Veröffentlichung nicht her; es ist unsere Einordnung, dass ein solches Werkzeug für Nachweispflichten grundsätzlich relevant werden könnte.

Abzugrenzen ist FlashProve von Wasserzeichen. Ein Text-Wasserzeichen wie bei Claude markiert erzeugte Inhalte statistisch, damit man sie später als KI-Text erkennt. FlashProve beweist dagegen mathematisch, welches konkrete Modell eine bestimmte Antwort berechnet hat. Beide Ansätze könnten sich ergänzen.

Hintergrund: Anthropics Sicherheitsforschung

FlashProve stammt aus dem Frontier Red Team von Anthropic, beteiligt waren auch Forschende der EPFL in Lausanne und des MIT. Das Team hat fünf Bausteine veröffentlicht: den Blogbeitrag, einen technischen Bericht, eine von Claude verfasste Protokollspezifikation, ausführbaren Code mit einem Prover und zwei Prüfprogrammen (C++ und Lean) sowie die Lean-Beweise mit einem interaktiven Visualisierer. Ausdrückliches Ziel ist, dass andere die Arbeit aufgreifen und verbessern.

Die Veröffentlichung reiht sich in eine Serie von Sicherheitsthemen ein, mit denen Anthropic zuletzt auffiel – etwa die Analyse, wie KI-Modelle Exploit-Ketten für Browser und Betriebssysteme bauen. Auch OpenAI arbeitet an Herkunftsnachweisen, setzt dabei aber auf Wasserzeichen für die EU.

Häufige Fragen

Was ist FlashProve?

FlashProve ist ein Open-Source-System von Anthropic, das mit Zero-Knowledge-Beweisen (zkSNARKs) belegt, dass eine bestimmte KI-Antwort von einem zuvor festgelegten Modell stammt. Es wurde am 2. November 2026 veröffentlicht.

Werden die Modellgewichte dabei offengelegt?

Nein. Das Commitment und die Beweise verbergen die Gewichte. Sichtbar bleibt nur die Architektur des Modells.

Nutzt Claude FlashProve bereits?

Nein. Anthropic bezeichnet die Arbeit als Zwischenstand der Forschung. Ein Einsatz bei Anthropic oder anderen Laboren ist derzeit nicht geplant.

Kann ich FlashProve selbst ausprobieren?

Der Code liegt unter Apache-2.0-Lizenz auf GitHub. Für die Beweiserzeugung bei großen Modellen ist allerdings Rechenzentrumshardware wie eine Nvidia H100 nötig; die Prüfung eines Beweises läuft dagegen auf einer normalen CPU.