/// Signal

FlashProve : la preuve porte sur Llama, sur 1 024 tokens — et sur rien d’autre

Le fait : le 2 novembre 2026, l’équipe Frontier Red Team d’Anthropic a publié « Progress on provable inference for large language models », qui présente FlashProve, un prototype de preuve cryptographique d’inférence publié en Apache 2.0 sur GitHub. Le principe tient en deux temps : le fournisseur publie une empreinte — un « commitment » — qui l’engage sur un jeu de poids précis, puis joint à chaque réponse une preuve que ces tokens-là sortent bien de ces poids-là, vérifiable en quelques secondes sur un processeur, sans jamais voir les poids. Le modèle effectivement prouvé n’est pas Claude : c’est Llama 4 Maverick, 400 milliards de paramètres, dans une conversion 4 bits publiée par un tiers sur Hugging Face. Sur un seul H100, la preuve sort à environ 110 tokens par seconde, pour un fichier de 18,78 Mo par requête de 1 024 tokens — soit 72 fois le temps de calcul de vLLM pour le même lot, par GPU, et jusqu’à 94 fois à sa charge la plus haute.

Ce que la preuve dit exactement, d’abord. La phrase prouvée est courte : « The committed model produces these output tokens when evaluated. » Traduction : les poids engagés, exécutés sur cette question-là, produisent exactement ces tokens-là. Rien de plus. La preuve ne dit pas d’où vient une image, ni quel fichier a été produit : elle dit qu’un flux de tokens est bien la sortie de l’empreinte publiée. La vérification tient dans une phrase de la page : « The verifier runs on the client’s CPU. It needs no GPU and only has access to a commitment to the weights. » Mesuré dans le billet : 17 secondes sur 24 threads, 21 secondes sur un seul, pour un engagement d’environ 6,5 Mo ; la phase hors ligne, elle, dure environ 39 minutes une fois par modèle, et l’engagement reste valable pour environ 16 millions de requêtes. Le zero-knowledge cache les poids, mais pas l’architecture, et Anthropic l’écrit noir sur blanc : « hiding the architecture of the model is not a goal of this system ».

Le seul modèle prouvé, ensuite, est un modèle de Meta. La note de bas de page du billet est explicite : « For our open-source research, we used Llama 4 Maverick (400B parameters), a model by Meta, in a third party’s public 4-bit conversion on Hugging Face. » Les poids ne sont pas dans la publication — le lecteur les télécharge lui-même sur Hugging Face, sous licence Llama 4 — et ce qui sort du modèle lui-même se limite à de petites valeurs calculées à partir de lui : identifiants d’engagement, sommes de contrôle, chiffres de performance et quelques réglages de paramètres. Le README du dépôt va plus loin, et c’est la phrase qu’aucune des reprises que nous avons lues ne porte : l’exemple fourni est « a small model with synthetic weights, so it shows only that the verifier works, not anything about a served model. » Autrement dit, l’artefact prouve que le vérificateur fonctionne, pas qu’un modèle servi réponde. Et une preuve ne vaut que ce que vaut son engagement : le même README conseille de le prendre « from a party your user trusts, never from the server being checked ». Anthropic précise au passage que les progrès sur ces preuves viennent de Claude lui-même — « Claude has produced improvements on zkSNARKs for inference » — et que l’un des cinq artefacts publiés est « A (Claude-written) protocol specification document ». Le modèle maison n’est donc pas absent du travail ; il n’est simplement pas celui dont l’inférence est prouvée. Notre lecture : la publication démontre qu’on peut prouver, à 110 tokens par seconde, que Llama 4 Maverick a produit un texte. Elle ne démontre pas qu’un labo fermé pourrait en faire autant demain sur ses propres poids — la cryptographie le permettrait, la chaîne d’artefacts livrée ne le fait pas. Et TechCrunch rapporte qu’aucun déploiement n’est prévu, ni chez Anthropic ni dans un autre laboratoire.

Restent trois limites qui décident de l’usage réel. La première est la longueur : « The system currently proves inference over contexts of up to 1,024 tokens. » Un contexte de 1 024 tokens, c’est court, et Anthropic le dit : « quite short in comparison to the contexts accumulated in chat settings ». La deuxième est le type de calcul : la preuve porte sur « an integer model under greedy decoding », et « A reply from a floating-point implementation, or sampled decoding, could depart at some position and no longer exactly match the computation proved. » Autrement dit, la réponse telle qu’elle sort d’un service ordinaire — flottants, échantillonnage — n’est pas exactement celle que la preuve couvre. La troisième est le prix, et la comparaison demande à être lue en entier : elle est donnée par carte, pas à précision égale. vLLM fait tourner la version FP8 du modèle sur huit H100 ; le prouveur travaille sur les poids quantifiés en 4 bits, sur une seule carte. Dans ces conditions, prouver un lot de 24 requêtes prend « about 72 times longer than vLLM takes to process the same 24 requests at once (66 to 77 across runs), and about 94 times longer when vLLM runs at the highest load we tried ». À quoi s’ajoutent trois réserves qu’Anthropic déclare lui-même. D’abord, rien ne garantit que les preuves Lean, l’article et le code concordent. Ensuite, le vérificateur rapide en C++ « carries no formal guarantee », même s’il « agrees with the Lean verifier on every proof in our tests » : la concession est réelle, ce n’est pas une démonstration. Enfin, les attaques par canal auxiliaire, comme mesurer le temps que met une preuve à sortir, sont déclarées hors périmètre de cette publication.

Deux faits de contexte manquent au récit que la reprise a retenu, et ils changent la lecture. Le premier est la nature de l’artefact : la description du dépôt GitHub dit « A research prototype for zero-knowledge proofs of AI inference. Not maintained. », et le README ouvre sur « Version 0.16.0 · A research artifact: not maintained, not accepting contributions. · Apache 2.0 ». Un prototype de recherche qui annonce qu’il ne sera pas maintenu n’est pas un service en préparation, et le billet le dit dans les mêmes termes : « This research post is meant to share intermediate progress, and not a completed research agenda. » Le second concerne l’objectif officiel : le Frontier Safety Roadmap promettait un prototype de « provable inference » pour le 30 septembre 2026, et Anthropic écrit l’avoir atteint « through a separate but related project, which signs our inference traffic and recomputes inference on a trusted server ». La note de bas de page ajoute que, le 19 octobre 2026, l’objectif a été renommé : « we now use the term “inference verification” rather than “provable inference” ». FlashProve est donc une seconde voie, pas l’accomplissement de la première. Ce qui est réellement nouveau, c’est la vitesse : sur le même Llama 4 Maverick, VerInf annonçait « 14.3 hours for 1,000 tokens on a DGX Spark, with a 93.6 GB proof which took almost a day to verify ». FlashProve : 110 tokens par seconde, 18,78 Mo, quelques secondes de vérification.

Notre lecture : pour un créateur, rien ne change aujourd’hui dans ses outils. Ce que la preuve vise, en revanche, le touche de près. Anthropic décrit le problème ainsi : un utilisateur « cannot check that the responses came from the specific model that a developer claims is responding, as opposed to one secretly substituted in by a routing service for cost reasons ». Un service de routage qui sert un modèle moins cher que celui qu’on a payé : c’est le cas de figure des crédits revendus. Le test du retour à la moyenne ne porte donc pas sur la cryptographie, il porte sur le facteur 72 à 94. Tant qu’une preuve coûte cela en calcul, elle se produira par lots, après coup, sur des échantillons — pour un audit, pas pour la réponse qu’on attend dans son navigateur. Le signal à suivre dans six mois n’est pas qu’Anthropic ait prouvé son modèle : c’est qu’un fournisseur vende la preuve à la demande. La concurrence existe déjà, et elle n’est pas en recherche : la page cite Attestable, qui prouve « Gemma 4 31B at 53–77 tok/s on a single H100 », en commercial, et « at the time of writing, Attestable has not released a corresponding open source library ».