Wer spricht da? Anthropic stellt Identitätsnachweis für KI-Modelle vor

Nutzer von KI-Chatbots können bislang nicht zuverlässig überprüfen, welches Modell ihre Anfragen tatsächlich beantwortet. Anthropic hat dafür FlashProve vorgestellt, einen quelloffenen Forschungsprototyp, der die Herkunft von KI-Antworten kryptografisch nachweisen soll.

Das KI-Labor zieht einen Vergleich mit dem Alltag: Wer einem Freund begegnet, erkennt ihn an Gesicht, Stimme oder Handschlag. Bei KI-Modellen fehlen solche Erkennungsmerkmale. Selbst eine überzeugende Antwort verrät nicht, ob sie wirklich vom versprochenen Modell stammt.

Für Verbraucher ist das mehr als eine Vertrauensfrage. Anbieter von KI-Diensten könnten Kunden heimlich ein günstigeres Modell unterschieben als das, für das sie bezahlen. Angreifer könnten KI-Server kompromittieren und Antworten verändern, etwa um Schadcode einzuschleusen. Zudem wären unabhängige Kontrollen denkbar: Unternehmen könnten belegen, dass eine Sicherheitsanalyse tatsächlich das angegebene Modell geprüft hat. Auch bei der Regulierung sieht Anthropic Anwendungsmöglichkeiten: Behörden könnten überprüfen, ob Anbieter tatsächlich das angegebene Modell einsetzen, etwa um Vorgaben zum Tempo der KI-Entwicklung zu kontrollieren.

Wie FlashProve funktioniert

FlashProve nutzt sogenannte Zero-Knowledge-Beweise. Damit lässt sich überprüfen, ob eine Berechnung korrekt ausgeführt wurde, ohne die Modellgewichte offenzulegen, die viele KI-Entwickler geheim halten. Dazu wird zunächst ein kryptografischer Fingerabdruck der Modellgewichte erstellt, also der Zahlen, die das Verhalten der KI bestimmen. Anschließend können Dritte anhand eines Beweises prüfen, ob eine Antwort mit diesen Gewichten berechnet wurde, ohne das Modell selbst ausführen zu müssen. Wesentliche Optimierungen hat laut Anthropic das hauseigene KI-Modell Claude beigesteuert. Damit sich das nachprüfen lässt, sind die zentralen Sicherheitsaussagen zusätzlich in der Beweissprache Lean formal belegt.

Anthropic erprobte FlashProve mit Metas Llama 4 Maverick, einem Mixture-of-Experts-Modell mit 400 Milliarden Parametern. Nach Messungen von Anthropic benötigte FlashProve auf einem Server mit der Rechenzentrums-GPU Nvidia H100 insgesamt 223 Sekunden, um für 24 gebündelte Anfragen jeweils einen kryptografischen Beweis zu erzeugen. Ein einzelner Beweis war dabei etwa 19 MByte groß und lässt sich laut Anthropic auf einem gewöhnlichen Prozessor in 17 (24 Threads) bis 21 Sekunden (ein Thread) überprüfen.

Die Beweiserzeugung ist allerdings aufwendig: Sie benötigt laut Anthropic etwa 70- bis 95-mal so viel GPU-Rechenzeit wie die gewöhnliche Verarbeitung der Anfragen durch das KI-Modell.

Schnell, aber noch nicht alltagstauglich

Trotz des hohen Rechenaufwands sieht Anthropic in FlashProve einen deutlichen Fortschritt: Das frühere quelloffene Verfahren VerInf benötigte nach Angaben seiner Entwickler für 1000 Token desselben Modells 14,3 Stunden und erzeugte einen 93,6 GByte großen Beweis. Wegen unterschiedlicher Hardware, Verfahren und Beweiszielen sind die Werte allerdings nicht direkt vergleichbar.

Vom Einsatz in gewöhnlichen Chatbots ist aber auch FlashProve noch weit entfernt. Der Prototyp kann bislang nur Anfragen mit einem Kontextfenster von 1024 Token verarbeiten und wurde mit einer auf 4 Bit quantisierten Version von Llama 4 Maverick getestet. Ob sich das Verfahren auch für längere Unterhaltungen und den regulären Betrieb kommerzieller KI-Modelle eignet, ist noch offen.

FlashProve steht mit Dokumentation im GitHub-Repository von Anthropic bereit, wird dort jedoch ausdrücklich als nicht gewarteter Forschungsprototyp bezeichnet.