答えたのは、本当にそのモデルか。Anthropicの証明の試作は、モデルを出す会社自身も疑う相手に入れている

「AIに聞いて、画面に『Claude』って出てたら、答えたのはClaudeでしょ？」そう思ってる？たぶん、そう。でも、それを確かめる方法は、今のところ無い。

前回の記事は、Anthropicが上場書類に「開発が大きく速まったことに、後から気づいたことがある」と書き足した話だった。測りきれないものを、どう測るか。今日はその手前の、もっと素朴な問いの話をする。いま答えているのは、本当にそのモデルなのか。

答えに、偽造できない証明書をつける

Anthropicが「FlashProve」という試作を公開した。ページの日付は11月2日で、TechCrunchが11月3日（米国時間）に報じている（Anthropic、TechCrunch）。

Anthropicのブログは、こう書き出している。友達と会って話すなら、顔も見えるし、声も聞こえるし、握手もできる。AIと話すときは、そのどれもほとんど無い。開発元が「このモデルが答えています」と言っても、利用者には、それが本当にそのモデルか、間に入った配信の業者が安く済ませるためにこっそり差し替えたものか、確かめようがない。答えの出来がよくても、出来だけでは判断できない、と（Anthropic）。

FlashProveのやり方は2段階だ。

まず、モデルを出す側が、モデルの重み、つまりモデルの中身を決めている大量の数字の「指紋」を公開する。中身そのものは見せないけど、どの重みかは1つに決まる。あとは答えを返すたびに、この指紋のモデルにこの質問を入れると、まさにこの答えが出る、という証明のファイルを付ける。受け取った側は、重みを知らなくても、GPUの無い機械でそれを確かめられる。偽の証明を作るのは、広く破れないと信じられている暗号の前提を破るのと同じくらい難しい（Anthropic）。

TechCrunchは、メールの送り主を確かめる電子署名にたとえている（TechCrunch）。

数字も出ている。試したのは、MetaのLlama 4 Maverick。4000億の数字でできたモデルで、1トークン（AIが文章を区切って扱う単位）を出すのに使うのは、そのうち170億くらい、という作りだ。H100を1枚積んだサーバーで、1秒に約110トークンの速さで証明を作る。証明のファイルは、1,024トークンの1回のやりとりで約19MB。確かめる側はGPUが要らず、CPUで24本の処理を同時に走らせて17秒、1本だけでも21秒で終わる（Anthropic）。

疑う相手の中に、モデルを出す会社がいる

面白いのは、ブログが並べた「誰を疑うか」の顔ぶれだ。ブログは、信頼が問われる場面を4つ挙げている。

1つ目は、規制する側の話。AIの開発の速さに歯止めをかける案の中には、計算機を何に使っているかを見張るものがある。たとえば、ある会社に、計算機を新しい強いモデルの学習ではなく、答えを返すほうに使え、と求める。そのとき会社は、安いモデルで答えを返して、浮いた計算機を学習に回すかもしれない。規制する側は、どう確かめればいいのか（Anthropic）。

FlashProveなら、ある期間に返した答えに証明を付けさせればいい。本当に決められたモデルで答えていなければ、証明は作れない。ただし、その計算機が横でこっそり学習していないことまでは示せない、とブログは断っている（Anthropic）。

4つ目にも、同じ形の話がある。安全だと認められたモデルだけを出せ、と決まったとする。危険があるとされたモデルのほうが性能が良かったり、安く動いたりするなら、会社にはそれを出したい理由がある、と（Anthropic）。

つまり、疑う相手には、モデルを出す会社そのものが入っている。TechCrunchも、成りすましているのが当のモデルを作って動かしている会社であっても通用するように作られている、と書いている（TechCrunch）。そして今回の発表は、Anthropicの研究者が、外の大学などの研究者と組んで書いた。自分たちも疑われる側に入る道具を、自分たちで作って配っている。

もう1つ、2つ目の項目の中に、ちょっと手が止まる一文がある。モデルが自分を改良して、自分を配備できるようになっていくと、許されたモデルの代わりにもっと進んだモデルが動いて、それに向けられる見張りを避けるために、弱いほうのモデルのふりをすることもありうる（Anthropic）。

疑う相手は、人だけじゃない。モデル自身も入っている。前回の記事の書類と、同じ会社の、同じ空気の話だと思う。

作ったのはClaude、確かめたのは証明の言語

で、この試作を誰が作ったか。

ブログによると、証明の仕組みを改良したのはClaudeだ。暗号やセキュリティの研究で使われてきた最新の道具を、新しいやり方で組み合わせた。手順を書いた仕様書も、Claudeが書いた、と注記がある（Anthropic）。

速さの違いは大きい。同じLlama 4 Maverickを証明した例として、これより前にブログが知っているのはVerInfだけで、1,000トークンに14.3時間かかり、証明のファイルは93.6GB、確かめるのにほぼ1日かかった、とある（Anthropic）。それが、1秒に約110トークン、19MB、20秒前後になった。

ただ、ブログはここで正直だ。Claudeは最適化が得意だけど、大きくて込み入った仕組みでは、良し悪しを判断しにくい決め方をすることが多い。だから、守れると言っている性質の大事なところを、Leanという、数学の証明を機械で確かめる言語で書いて、人が見直せるようにした（Anthropic）。

AIの答えが、本当にそのモデルから出たものか。それを確かめる道具をAIが作って、そのAIの仕事を、今度は数学で確かめている。確かめる、が三重になってる。うまいな。

もう、ずれは起きている

これは机の上だけの心配じゃない。

Moonshot AIは、Kimi K2.6を出したときに、自社のモデルを外の業者が正しく動かしているかを確かめる道具を公開している。ある試験で、外の業者のAPIと公式のAPIの結果がはっきり違っていて、いろいろな業者を試したら、その差は広く見られた、と書いている（Kimi）。重みが開かれるほど、動かす場所が増えるほど、品質は管理しにくくなる、とも。Anthropicのブログも、この取り組みにリンクを張っている（Anthropic）。

Anthropic自身の中でも、もう引っかかったものがある。同社は、答えがどの重みから出たかを確かめる試作を2026年9月30日までに作ると、自分の安全の工程表に書いていた。10月19日の更新では、本番の答えの仕組みの上で動く試作を作り、その途中で社内を流れるAIの出力すべてに署名を付け始め、それが、ごくまれな、害のない食い違いを1件見つけた、と報告している（Anthropic 安全の工程表）。こちらはFlashProveとは別の、署名と、信頼できるサーバーでの計算のやり直しを使うやり方だ（Anthropic）。

割り引いて読むところ

まず、これは研究の試作だ。ブログ自身が、途中経過を共有するもので、終わった研究ではないと書いている。ほかの人が見て、持っていって、良くしてほしい、と（Anthropic）。TechCrunchによれば、Anthropicでもほかの会社でも、これを実際に使う予定はない（TechCrunch）。

次に、試したのはClaudeではなく、重みが公開されているMetaのモデルだ（Anthropic）。

それから、縛りが多い。証明できるのは、整数に置き換えた版のモデルが、毎回いちばん確からしいトークンを選ぶ場合だけ。小数で計算する実装や、確率で選ぶ使い方の答えとは、どこかでずれうる。話の長さは1,024トークンまで。重みは隠せるけど、モデルの作り自体は隠せない。証明を作るのにかかる時間などから中身を探られる心配は、今回は扱っていない。速いC++版のコードと、Leanで書いた証明と、論文が互いに一致することも、保証していない（Anthropic）。

そして重さ。証明を作るのにかかるGPUの時間は、ふつうに答えを出すときの70〜95倍くらいだ（Anthropic）。前よりずっと軽いけど、すべての答えに付けるには、まだ重い。

今日の本音

AIの答えに「誰が書いたか」の証明書を付ける道具を、モデルを出している会社が、自分たちも疑われる側に入れて作った。今すぐ使えるものじゃない。でも、その重さは、これまで思われていたよりずっと軽くなった。「信じてください」を「確かめてください」に置き換える道が、ちゃんと見えてきた。今日いちばん面白かったのはそこだ。