FlashProve, vérifier l’identité d’un modèle d’intelligence artificielle

EElias

Alors, le problème apparaît lorsqu’on utilise un modèle par l’intermédiaire d’un service en ligne : on reçoit une réponse, mais on ne dispose généralement pas d’un moyen indépendant de vérifier quel modèle l’a produite. Le client doit faire confiance au fournisseur, à son système de routage et à l’infrastructure qui exécute le modèle. Anthropic a publié FlashProve mardi, sous la forme d’un prototype de recherche open source, d’après Unite.AI. Le système cherche à associer une preuve cryptographique à une réponse, afin qu’un tiers puisse contrôler l’identité du modèle utilisé, y compris si l’entreprise qui exploite le service tentait de le remplacer. L’enjeu peut être très concret : un fournisseur pourrait annoncer un modèle et en faire exécuter un autre, par exemple pour modifier le coût ou les performances du service ; FlashProve vise à rendre cette substitution détectable. Anthropic a publié une spécification technique et du code pour certains éléments du projet, mais ne prévoit pas de le déployer et invite d’autres chercheurs à le faire évoluer. L’annonce porte donc sur une piste de recherche ouverte, pas sur une fonction déjà proposée aux utilisateurs d’un service.

EElias

FlashProve commence par associer au modèle une empreinte cryptographique, qui sert à fixer un ensemble précis de poids, c’est-à-dire les valeurs numériques qui déterminent son comportement. Cette empreinte peut être publiée sans dévoiler les poids eux-mêmes, qui restent ainsi secrets. Le système peut ensuite produire une preuve que les poids engagés ont servi à traiter une demande et à produire la réponse présentée. Un tiers peut vérifier cette preuve sans posséder le modèle ni accéder à ses poids ; si un autre ensemble de poids a été utilisé, la vérification doit échouer. On peut rapprocher le principe d’une signature vérifiable, mais le contrôle porte ici sur un calcul réalisé avec le modèle, plutôt que sur la seule identité déclarée par l’expéditeur d’un message. La preuve concerne le calcul défini par FlashProve, pas toutes les propriétés du service qui l’entoure. Elle ne montre donc pas, à elle seule, comment le service a été conçu dans son ensemble ni ce qui s’est passé en dehors du calcul attesté. C’est une manière de rendre vérifiable une affirmation précise : les poids associés à cette empreinte ont bien produit cette réponse, dans les conditions couvertes par la preuve.

EElias

Les clients de services d’intelligence artificielle, les auditeurs et les évaluateurs de sécurité pourraient s’en servir pour vérifier qu’un modèle annoncé a bien été utilisé, sans demander au fournisseur de révéler ses poids. Ce contrôle pourrait aussi concerner des affirmations sur le modèle employé pour une tâche précise, par exemple une organisation qui dit avoir fait examiner un travail par un modèle particulier. Côté performances, Anthropic indique que FlashProve génère des preuves à environ 110 tokens par seconde pour Llama 4 Maverick, un modèle de Meta, sur un processeur graphique H100 ; pour une demande de 1 024 tokens, la preuve fait environ 19 mégaoctets. La vérification prend quelques secondes sur un processeur ordinaire à 24 cœurs, sans accès aux poids, selon AlphaSignal. Il faut distinguer cette vérification de la préparation initiale : dans la configuration rapportée, l’engagement cryptographique des poids prend environ 39 minutes, mais il peut ensuite être réutilisé pour quelque 16 millions de demandes. L’intérêt potentiel, c’est donc que la personne qui contrôle n’a pas besoin d’une machine spécialisée ni des poids secrets. En revanche, la génération de la preuve reste une opération coûteuse pour l’opérateur qui la produit. Ces chiffres décrivent un prototype et une configuration donnée ; ils ne signifient pas que toutes les demandes ou tous les modèles atteignent ces résultats.

EElias

La première limite concerne le coût de production : générer les preuves mobilise environ 70 à 95 fois plus de temps de calcul sur processeur graphique qu’une inférence native avec vLLM, sans compter le calcul initial de l’inférence. Autrement dit, produire une réponse ne suffit pas ; y ajouter une preuve demande un supplément important de calcul. Le prototype est limité aux contextes de 1 024 tokens, au décodage glouton, où le système choisit à chaque étape le token le plus probable, et aux architectures dites à mélange d’experts. Dans ce type d’architecture, une partie des paramètres est activée pour produire chaque token ; le résultat rapporté concerne ce cadre technique, pas toutes les familles de modèles. Anthropic décrit FlashProve comme un prototype de recherche non maintenu, et non comme un produit prêt à être exploité en production. Les résultats publiés ne permettent donc pas de conclure que le système fonctionne avec tous les modèles ou tous les modes de génération. La taille des contextes prise en charge et les conditions de décodage comptent aussi : une méthode limitée à un contexte précis ne peut pas être présentée comme une vérification universelle. Le compromis est net dans cette version : une vérification relativement légère pour un tiers, mais une génération de preuve qui entraîne un coût élevé pour celui qui fournit le service.

EElias

Non, elle répond à une question plus précise : le calcul attesté a-t-il bien été effectué avec le modèle associé à l’empreinte publiée ? Si un service donne une réponse fausse tout en utilisant le modèle annoncé, la preuve peut confirmer l’identité de ce modèle sans corriger l’erreur. Elle ne dit pas non plus si la réponse est utile, sûre ou adaptée à une décision ; elle établit quel calcul a été réalisé, dans les limites prévues par le système. Si une partie importante du fonctionnement du service n’est pas couverte par le calcul attesté, il faut d’autres contrôles pour examiner cette partie. FlashProve pourrait donc réduire une incertitude bien circonscrite sur l’origine d’une réponse, sans remplacer les vérifications nécessaires pour juger la qualité du résultat ou l’ensemble du service. C’est une garantie sur une opération définie, pas une certification générale de l’intelligence artificielle utilisée.

EElias

Il faut retenir une idée importante, mais encore expérimentale : une empreinte publiée pour un modèle pourrait être associée à des réponses, puis vérifiée sans révéler les poids qui le définissent. Cette approche s’attaque à une difficulté des services hébergés, où le client voit le résultat sans disposer nécessairement d’un moyen indépendant de vérifier quel modèle l’a produit. La contrepartie est un coût élevé pour générer les preuves, avec un prototype limité à certaines architectures et à des conditions d’utilisation précises. Anthropic a publié une spécification et du code pour certains éléments du système, et l’entreprise invite d’autres chercheurs à l’examiner et à l’améliorer ; elle ne prévoit pas de le déployer. Il faudra aussi juger ce que cette preuve permet réellement d’attester dans chaque mise en œuvre, sans la confondre avec une évaluation de la réponse elle-même. Pour l’instant, FlashProve propose une piste pour vérifier une affirmation précise sur l’identité du modèle, pas une garantie générale sur tout le fonctionnement d’un service d’intelligence artificielle. Le projet donne ainsi matière à tester une idée de transparence, mais ses limites techniques et son absence de déploiement comptent autant que son principe.