Un fornitore dice di servire un certo modello di intelligenza artificiale: come fa il cliente a esserne sicuro? Il 2 novembre Anthropic ha pubblicato FlashProve, un prototipo open source che genera una prova crittografica per dimostrare che una risposta è stata prodotta da un modello specifico, senza rivelarne i pesi. La dimostrazione riguarda Llama 4 Maverick in una versione a 4 bit, su finestre di 1.024 token. Non è un servizio attivo sulle API di Claude, e il codice è dichiarato non mantenuto.
Abbiamo letto il post di ricerca di Anthropic, firmato da ricercatori dell'azienda insieme ad accademici di EPFL e MIT, e il README del repository pubblico su GitHub. Il post su X con cui Anthropic ha annunciato il lavoro il 3 novembre non si apre con i nostri strumenti. I dati di prestazione che citiamo sono dichiarati da Anthropic e non sono stati misurati da terzi.
New Anthropic research: progress on provable inference for large language models.
— Anthropic (@AnthropicAI) November 3, 2026
Here, we introduce FlashProve. Building on established cryptographic techniques, FlashProve allows developers to verify whether a given response came from a given AI model. It’s substantially more…
Il problema: chi ha risposto davvero
Secondo Anthropic, oggi gli utenti non possono verificare che le risposte arrivino dal modello che lo sviluppatore dichiara. Il post indica due rischi. Il primo sono i servizi di instradamento che potrebbero sostituire il modello promesso con uno più economico. Il secondo sono attacchi che alterano il flusso dei token tra il modello e l'utente. Per chi acquista intelligenza artificiale attraverso piattaforme intermediarie, il punto è concreto: paga un modello e non ha modo di controllare quale stia lavorando.
Il tema cresce con la moltiplicazione dei canali di distribuzione, dai cloud che rivendono modelli di terzi, come nel caso dell'ingresso di OpenAI in Google Cloud, ai modelli a pesi aperti offerti da più fornitori a prezzi diversi, come MiniMax con la sua versione Flash.
Come funziona: impegno, prova, verifica
Il sistema lavora in tre passaggi. Prima il fornitore pubblica un'impronta breve che lo vincola a un insieme preciso di pesi, senza mostrarli: secondo Anthropic, questa fase richiede circa 39 minuti una volta per modello. Poi, per ogni risposta, la GPU del fornitore produce una prova che quella sequenza di token è l'output del modello impegnato. Infine chiunque può verificare la prova su un normale processore, senza pesi e senza GPU, avendo solo l'impronta, il prompt e la risposta.
La tecnica è uno zkSNARK, una prova a conoscenza zero: dimostra che un calcolo è stato eseguito correttamente senza rivelare i dati usati. È la stessa famiglia di strumenti che il mondo crypto usa per la privacy e la scalabilità, e che la Banca d'Italia ha studiato per conciliare privacy e controlli nei pagamenti digitali. Restano nascosti i pesi, i valori intermedi e la scelta degli esperti del modello. L'architettura, precisa Anthropic, non viene nascosta.
I numeri del prototipo
Llama 4 Maverick è un modello da 400 miliardi di parametri con architettura a esperti, di cui circa 17 miliardi attivi per token. Il prototipo lavora su una conversione pubblica a 4 bit. Su una sola GPU H100 con 24 core di processore, la fase di prova procede a circa 110 token al secondo, con prove di circa 19 megabyte per ogni richiesta da 1.024 token. Verificare una prova richiede 17 secondi su 24 thread, e il client deve scaricare circa 6,5 megabyte di dati di impegno.
Il costo è il dato che pesa di più. Secondo il post, generare le prove richiede tra 70 e 95 volte il tempo di GPU necessario a far girare il modello con vLLM, uno dei motori di inferenza più usati. Anthropic confronta il risultato con un altro lavoro, quello di Attestable, che arriva a 53-77 token al secondo su un modello denso da 31 miliardi ma non ha rilasciato una libreria open source.
Cosa la prova non garantisce
La prova dice da quale modello viene una risposta, non se la risposta è corretta. Anthropic elenca altri limiti. La prova riguarda la decodifica deterministica: con il campionamento, che introduce casualità nelle risposte, l'output reale potrebbe divergere a un certo punto. Il modello provato è una versione intera esatta dei pesi, e una risposta calcolata in virgola mobile potrebbe allontanarsene. La quasi equivalenza non copre prompt costruiti apposta per sfruttare le differenze, e gli attacchi basati sui tempi di risposta sono fuori dal perimetro.
Ci sono poi limiti pratici. La finestra di 1.024 token è, nelle parole di Anthropic, «piuttosto breve» per una conversazione (traduzione nostra). Il codice C++ veloce non ha garanzie formali e non è garantito che corrisponda esattamente alla prova scritta nel linguaggio Lean, dove la solidità del protocollo è dimostrata matematicamente. Il README del repository è netto: è un artefatto di ricerca, «non mantenuto» e che non accetta contributi (traduzione nostra). Non indica audit di sicurezza esterni.
Anthropic
E in Italia?
Per le aziende e le pubbliche amministrazioni italiane che acquistano servizi di intelligenza artificiale tramite rivenditori o piattaforme, FlashProve non cambia nulla oggi: non è un prodotto e non è integrato nei servizi commerciali. Indica però una direzione. Un contratto che promette un modello specifico potrebbe un giorno essere verificabile con una prova, invece che affidato alla fiducia nel fornitore. È lo stesso passaggio che le prove a conoscenza zero hanno fatto nei servizi finanziari, dove Coinbase ne chiede il riconoscimento nelle regole antiriciclaggio statunitensi.
Steve Weis
Il tema tocca anche la dipendenza tecnologica europea. Le autorità di vigilanza hanno segnalato che la finanza dell'Unione dipende da intelligenze artificiali straniere, spesso raggiunte attraverso più livelli di fornitori. Strumenti di verifica indipendenti dal fornitore potrebbero diventare un requisito nei contratti, se i costi scenderanno. Oggi, con un sovraccarico di 70-95 volte, non è un'opzione realistica per un uso quotidiano.
FlashProve in sintesi
Cosa è confermato, cosa no
- Confermato: prototipo open source con licenza Apache 2.0, pubblicato il 2 novembre; dimostrato su Llama 4 Maverick a 4 bit con finestre di 1.024 token; verifica su CPU in 17 secondi senza pesi; costo di 70-95 volte il tempo di GPU dell'inferenza normale; codice dichiarato non mantenuto.
- Non indicato: audit di sicurezza esterni; costi in denaro; applicazione alle API di Claude o ad altri modelli; tempi per contesti più lunghi.
- Da seguire: estensione a contesti più lunghi e ad altre architetture; eventuali adozioni da parte di fornitori o piattaforme; verifiche indipendenti del codice.
La lettura più grande
La nostra lettura, che dichiariamo come tale: FlashProve porta nell'intelligenza artificiale un'idea nata nel mondo crypto, quella di non fidarsi ma verificare. Oggi l'utente di un servizio AI deve credere al fornitore su quale modello stia usando, così come un tempo bisognava credere a un intermediario sul saldo di un conto. La prova crittografica separa due domande che spesso si confondono: da dove viene una risposta e se la risposta è buona. FlashProve risponde solo alla prima, ed è già molto. Resta da vedere se qualcuno, Anthropic compresa, deciderà di portarla nei servizi reali, come altre iniziative di trasparenza, ad esempio l'accesso dei valutatori di METR dentro Anthropic.
I segnali da seguire sono tre. Il primo è la riduzione del sovraccarico di calcolo, oggi tra 70 e 95 volte, senza la quale nessun fornitore potrà offrire prove per ogni risposta. Il secondo è l'estensione a contesti lunghi e ad altri modelli, compresi quelli a pesi chiusi come Claude. Il terzo è se il codice, abbandonato dagli autori, verrà ripreso da altri gruppi o da piattaforme interessate a vendere una provenienza verificabile.
