FlashProve d'Anthropic prouve quel modèle a répondu, mais pas encore une réponse de chatbot ordinaire

En une phrase : FlashProve montre qu'une preuve cryptographique d'inférence est devenue praticable sur un gros modèle ouvert, mais la documentation de son dépôt dit noir sur blanc qu'elle ne couvre pas encore une réponse de chatbot servie normalement.

Le 2 novembre 2026, l'équipe Frontier Red Team d'Anthropic, avec des chercheurs de l'EPFL et du MIT, a présenté FlashProve, un prototype de « preuve d'inférence ». Le problème visé est simple à énoncer : quand on interroge un modèle d'IA, rien ne garantit que la réponse vient du modèle annoncé, et non d'un modèle moins cher substitué par un intermédiaire ou d'un serveur compromis. FlashProve joint à chaque réponse une preuve à divulgation nulle de connaissance (un zkSNARK) : n'importe qui peut la vérifier sur un processeur ordinaire, sans connaître les poids du modèle. Le code, les preuves formelles en Lean et la documentation sont publiés sous licence Apache 2.0 dans le dépôt GitHub d'Anthropic, qui se présente comme un artefact de recherche « non maintenu ».

Le chiffre mis en avant par le billet : environ 110 jetons par seconde sur un seul GPU H100 de Nvidia, pour Llama 4 Maverick, le modèle ouvert de Meta (400 milliards de paramètres, mixture d'experts), avec des preuves d'environ 19 Mo par requête de 1 024 jetons. Anthropic le compare aux systèmes ouverts antérieurs : VerInf, seule preuve antérieure de ce même modèle connue d'Anthropic, annonçait 14,3 heures pour 1 000 jetons, selon le billet d'Anthropic. Le gain est réel. La question pratique est ailleurs : que prouve exactement ce chiffre ?

Ce que mesurent vraiment les 110 jetons par seconde

La page Performance du dépôt répond plus précisément que le billet. Les 111,23 jetons par seconde (± 0,92, trois séries, 24 requêtes par lot) sont des débits de lecture de prompt : chacun des 1 024 jetons d'un prompt compte, rien n'est généré, et chaque preuve porte sur le jeton suivant. La page l'écrit elle-même : une passe ne contrôle qu'un jeton, ce n'est donc « pas le coût de la preuve d'une réponse générée ».

Quand le dépôt contrôle des réponses entières (des réponses stockées de 31 à 500 jetons, choisies pour satisfaire une règle d'acceptation plus souple appelée « clipped-gap »), le débit tombe à 39,1 jetons de réponse par seconde, selon la même page. Le surcoût annoncé par Anthropic, 70 à 95 fois le temps GPU de vLLM, est lui aussi calculé sur la lecture du prompt : 71,4 fois à 24 requêtes simultanées, 93,0 fois à la charge la plus forte testée.

Source : dépôt anthropics/FlashProve, page Performance, relevée le 3 novembre 2026. Le serveur de preuve demande en plus environ 270 Go de mémoire vive à côté du GPU.

Pourquoi une réponse de chatbot ordinaire ne passe pas

Le second point tient à ce qui est prouvé. FlashProve prouve une version en nombres entiers du modèle, en décodage glouton (le jeton le plus probable à chaque pas, sans tirage aléatoire), sur un contexte de 1 024 jetons au plus, comme le précise la section Limitations du billet. Les assistants grand public tirent en général leurs jetons au hasard et travaillent sur des contextes de centaines de milliers de jetons.

La documentation chiffre l'écart. Le jeton préféré de la version entière diffère de celui du modèle en 16 bits à 6,81 % des positions, selon une mesure faite avec une implémentation Python et non avec les programmes publiés. Surtout, aucune des réponses stockées produites par vLLM standard, en 16 bits comme en FP8 (96 selon la page), ne passe le contrôle strict, d'après la page Performance. Avec un greffon de vLLM conçu pour calculer exactement la version entière, 48 réponses courtes sur 48 ont été prouvées, à un rythme de 0,58 à 1,46 seconde par jeton, lors d'essais qui n'utilisaient pas les programmes publiés. Autrement dit, pour être vérifiable, un fournisseur devrait servir le modèle tel que FlashProve le calcule, pas tel que vLLM le calcule par défaut.

Les garanties formelles ont aussi leur périmètre. La solidité de la preuve est démontrée en Lean pour le vérificateur écrit en Lean, et pour la règle d'acceptation stricte ; le vérificateur C++ du quotidien est testé contre lui, pas démontré, indique la page What is proved. Pour la confidentialité des poids, l'équipe écrit qu'elle « s'attend » à ce que les programmes les cachent, sans le savoir. L'architecture du modèle, elle, n'est pas cachée, et le système ne fonctionne qu'avec des mixtures d'experts.

Ce que ça change pour toi, et ce que ça coûterait

Si tu utilises un modèle ouvert chez un hébergeur tiers ou via un routeur, le problème que vise FlashProve existe déjà. Moonshot AI, l'éditeur de Kimi, a publié son Kimi Vendor Verifier après avoir constaté des écarts de scores « répandus » entre son API officielle et celles d'autres fournisseurs, dus pour une bonne part, selon lui, à de mauvais paramètres de décodage ; ses tests visent aussi les défauts de quantification. Sa réponse n'est pas cryptographique : six épreuves qui demandent environ 15 heures sur deux serveurs de huit GPU H20. Au 3 novembre 2026, c'est la voie praticable pour contrôler un fournisseur, et FlashProve ne la remplace pas encore.

Le coût donne l'échelle. Au tarif à la demande de 3,99 dollars l'heure de GPU H100 affiché par Together AI le 3 novembre 2026, et au débit de 39,1 jetons de réponse par seconde du dépôt, prouver un million de jetons de réponse demande environ 7,1 heures de GPU, soit près de 28 dollars, sans compter le démarrage, l'engagement de 39 minutes ni la mémoire de 270 Go (calcul du Latent). Pour un million de jetons de prompt, le même calcul donne environ 10 dollars et quelque 18 Go de preuves. Ces montants rendent plausible un contrôle après coup sur une partie du trafic, le mode « post-hoc » qu'Anthropic a retenu et qu'il imagine pour un régulateur ou un évaluateur indépendant ; ils ne permettent pas de prouver chaque réponse d'un service grand public.

Côté Claude, rien ne change. Anthropic indique avoir atteint l'objectif de sa feuille de route de sécurité (un prototype de vérification d'inférence au 30 septembre 2026) par un autre projet, qui signe son trafic et recalcule l'inférence sur un serveur de confiance ; FlashProve, lui, n'est testé que sur un modèle ouvert de Meta, selon le billet du 2 novembre. Le filigrane des textes, dont nous détaillions les obligations européennes du 2 décembre, répond à une autre question : il signale qu'un texte vient d'une IA, pas de quel modèle exact.

Ce qu'on ne sait pas encore

• Si un fournisseur, Anthropic compris, proposera des preuves vérifiables à ses clients : le billet présente un « progrès intermédiaire », et le dépôt n'accepte pas de contributions.
• Ce que donneraient des contextes longs et un décodage par tirage, que l'équipe classe dans les limites à lever.
• Combien coûterait la preuve sur des GPU plus récents que le H100 : aucune mesure n'est publiée.

Pour situer ce prototype parmi les autres mesures publiques des modèles, voir notre lecture des classements publics de l'IA et la rubrique Comparatifs. Sur la politique de sécurité d'Anthropic, voir aussi ce que recouvre le seuil RSP cité dans son dossier de bourse.