AI 공급자가 특정 모델을 사용한다고 주장할 때, 고객은 이를 어떻게 확인할 수 있을까? Anthropic은 11월 2일 FlashProve를 공개했다. 이는 모델 가중치를 노출하지 않으면서도 특정 모델이 응답을 생성했음을 암호학적으로 증명하는 오픈소스 연구 프로토타입이다. 시연은 4비트 양자화 버전의 Llama 4 Maverick을 대상으로 1,024 토큰 윈도우에서 이루어졌다. Claude API에서 활성화된 서비스가 아니며, 코드 저장소는 공식적으로 “유지보수하지 않음” 상태로 선언되어 있다.
SpazioCrypto는 Anthropic 연구진과 EPFL, MIT 학자들이 공동으로 작성한 연구 게시물과 GitHub 공개 저장소의 README를 직접 검토했다. Anthropic이 11월 3일 X에 올린 발표 게시물은 일부 환경에서 접근이 제한되었다. 본 기사에서 인용하는 성능 수치는 Anthropic이 직접 발표한 것으로, 제3자에 의해 독립적으로 측정된 것이 아니다.
New Anthropic research: progress on provable inference for large language models.
, Anthropic (@AnthropicAI) November 3, 2026
Here, we introduce FlashProve. Building on established cryptographic techniques. FlashProve allows developers to verify whether a given response came from a given AI model. It's substantially more…
핵심 문제: 실제로 어떤 모델이 응답했는가
Anthropic은 연구 게시물에서 현재 사용자들이 개발자가 선언한 모델로부터 응답이 실제로 오는지 검증할 방법이 없다고 지적한다. 두 가지 위험이 명시된다. 첫째는 약속된 모델을 더 저렴한 모델로 교체할 수 있는 라우팅 서비스이고. 둘째는 모델과 사용자 사이의 토큰 흐름을 변조하는 공격이다. 중간 플랫폼을 통해 AI 서비스를 구매하는 기업에게 이 문제는 매우 현실적이다. 비용을 지불한 모델과 실제로 작동하는 모델이 다를 수 있기 때문이다.
이 문제는 AI 모델 유통 채널이 다양해질수록 심화된다. OpenAI가 Google Cloud에 진출한 사례처럼 클라우드 사업자가 제3자 모델을 재판매하거나, MiniMax의 Flash 버전처럼 동일한 오픈 가중치 모델을 여러 공급자가 서로 다른 가격에 제공하는 환경에서 특히 그렇다.
작동 원리: 커밋, 증명, 검증
FlashProve는 세 단계로 작동한다. 먼저 공급자는 가중치를 공개하지 않으면서 특정 가중치 집합에 자신을 구속하는 짧은 “지문(fingerprint)”을 게시한다. Anthropic에 따르면 이 단계는 모델당 약 39분이 소요되며 한 번만 수행하면 된다. 그다음, 각 응답마다 공급자의 GPU가 해당 토큰 시퀀스가 커밋된 모델의 출력임을 증명하는 증거를 생성한다. 마지막으로 누구나 GPU나 가중치 없이 일반 CPU에서 지문, 프롬프트, 응답만으로 증명을 검증할 수 있다.
사용된 기법은 zkSNARK로, 계산에 사용된 데이터를 공개하지 않고도 계산이 올바르게 수행되었음을 증명하는 영지식 증명(zero-knowledge proof)이다. 이는 암호화폐 업계가 프라이버시와 확장성을 위해 사용하는 것과 같은 계열의 기술이다. 증명 과정에서 가중치, 중간 계산값, 그리고 모델의 전문가 선택 과정은 비공개로 유지된다. 단, Anthropic은 모델 아키텍처 자체는 숨겨지지 않는다고 명시하고 있다.
프로토타입 성능 수치
결과적으로, Llama 4 Maverick은 약 4,000억 개의 파라미터를 가진 전문가 혼합(MoE) 아키텍처 모델로, 토큰당 약 170억 개의 파라미터가 활성화된다. Anthropic의 발표에 따르면, 이 프로토타입은 공개된 4비트 변환 버전에서 작동하며, 24코어 CPU가 탑재된 단일 H100 GPU에서 증명 단계는 초당 약 110 토큰의 속도로 진행된다. 1,024 토큰 요청 하나당 증명 크기는 약 19메가바이트다. 증명 검증은 24스레드에서 17초가 소요되며, 클라이언트는 약 6.5메가바이트의 커밋 데이터를 다운로드해야 한다.
비용이 가장 큰 문제다. Anthropic의 게시물에 따르면, 증명 생성에는 가장 많이 쓰이는 추론 엔진 중 하나인 vLLM으로 모델을 실행하는 데 드는 GPU 시간의 70배에서 95배가 필요하다. Anthropic은 이 결과를 310억 파라미터 고밀도 모델에서 초당 53~77토큰을 달성한 Attestable의 연구와 비교했지만, Attestable은 오픈소스 라이브러리를 공개하지 않았다.
증명이 보장하지 않는 것
증명은 응답이 어떤 모델에서 나왔는지를 알려줄 뿐, 응답이 정확한지는 보장하지 않는다. Anthropic은 추가 한계도 열거한다. 증명은 결정론적 디코딩에만 적용되며, 응답에 무작위성을 도입하는 샘플링 방식을 사용하면 실제 출력이 특정 시점에서 달라질 수 있다. 검증 대상 모델은 가중치의 정확한 전체 버전이고, 부동소수점 연산으로 계산된 응답은 이와 차이가 생길 수 있다. 근사 동등성은 차이를 악용하도록 설계된 프롬프트를 포괄하지 않으며, 응답 시간 기반 공격도 적용 범위 밖이다.
실용적인 한계도 있다. 1,024토큰 창은 Anthropic의 표현대로 대화에 쓰기에 “상당히 짧다”. 빠른 C++ 코드에는 공식적인 보증이 없으며, 프로토콜의 수학적 견고성이 증명된 Lean 언어로 작성된 증명과 정확히 일치한다는 보장도 없다. 저장소 README는 명확하다. 이 프로젝트는 연구 결과물이며, “유지 관리되지 않고” 기여도 받지 않는다고 명시한다. 외부 보안 감사에 대한 언급도 없다.
Anthropic
한국 시장과의 연관성
리셀러나 플랫폼을 통해 AI 서비스를 구매하는 기업과 공공기관 입장에서, FlashProve는 오늘날 아무것도 바꾸지 않는다. 제품이 아니고 상용 서비스에도 통합되어 있지 않다. 다만 방향을 제시한다. 특정 모델을 약속하는 계약이 언젠가는 공급자 신뢰 대신 증명으로 검증될 수 있다. 영지식 증명이 금융 서비스에서 걸어온 것과 같은 경로다. 실제로 Coinbase는 미국 자금세탁방지 규정에 영지식 증명 인정을 요구하고 있다.
Steve Weis
기술 의존성 문제도 있다. 금융감독 당국은 EU 금융권이 외국 AI에 의존하고 있으며, 흔히 여러 단계의 공급망을 거친다고 지적해왔다. 비용이 낮아진다면, 공급자 독립적인 검증 도구가 계약 요건이 될 수도 있다. 그러나 현재 70~95배에 달하는 오버헤드 수준에서는 일상적 사용에 현실적인 선택지가 아니다.
FlashProve 요약
확인된 사항과 미확인 사항
- 확인됨: Apache 2.0 라이선스 오픈소스 프로토타입, 11월 2일 공개. 1,024토큰 창 기준 4비트 양자화 Llama 4 Maverick에서 시연. 가중치 없이 CPU로 17초 내 검증. 일반 추론 대비 GPU 시간 70~95배 소요. 코드는 유지 관리되지 않는다고 명시.
- 미공개: 외부 보안 감사, 비용 정보, Claude API 또는 다른 모델에의 적용, 더 긴 컨텍스트에서의 소요 시간.
- 주시할 사항: 더 긴 컨텍스트 및 다른 아키텍처로의 확장, 공급자 및 플랫폼의 채택 여부, 코드에 대한 독립적 검증.
더 넓은 시각
이것은 우리의 해석임을 밝힌다. FlashProve는 크립토 세계에서 탄생한 하나의 개념, 즉 신뢰하지 말고 검증하라는 원칙을 인공지능 영역으로 가져온다. 현재 AI 서비스 이용자는 어떤 모델이 실제로 사용되는지 공급자의 말을 그냥 믿어야 한다. 과거에 금융 중개인의 말을 믿어야 했던 것과 다르지 않다. 암호학적 증명은 혼동하기 쉬운 두 질문을 명확히 구분한다. 응답이 어디서 왔는가, 그리고 그 응답이 좋은가. FlashProve는 첫 번째 질문에만 답하지만, 그것만으로도 적지 않은 의미가 있다. Anthropic을 포함한 누군가가 이 기술을 실제 서비스에 도입할지는 아직 미지수다. 가령 METR 평가자들의 Anthropic 내부 접근과 같은 다른 투명성 이니셔티브들이 그 가능성을 가늠하는 참고점이 된다.
주시해야 할 신호는 세 가지다. 첫째는 현재 CoinDesk 보도 기준으로 70배에서 95배에 달하는 연산 오버헤드의 감소다. 이 문제가 해결되지 않으면 어떤 공급자도 모든 응답에 증명을 제공할 수 없다. 둘째는 긴 컨텍스트 및 Claude처럼 가중치가 비공개인 모델을 포함한 다른 모델로의 확장 여부다. 셋째는 개발자들이 떠난 이 코드를 다른 연구 그룹이나, 검증 가능한 출처를 판매 포인트로 삼고자 하는 플랫폼이 이어받을지의 여부다.
