FlashProve : Anthropic veut prouver quel modèle d'IA a répondu
Anthropic publie FlashProve, prototype open source qui prouve quel modèle d'IA a produit une réponse : un enjeu de confiance pour les agents IA en entreprise.
Max Martinel
Anthropic a publié le 2 novembre 2026 FlashProve, un prototype open source qui permet de prouver cryptographiquement qu'une réponse a bien été produite par un modèle d'IA donné. L'enjeu pour les entreprises est concret : vérifier que le fournisseur d'un agent IA utilise réellement le modèle facturé, sans substitution discrète par un modèle moins cher.
Quand une entreprise paie un service d'IA, elle fait confiance à son fournisseur sur un point qu'elle ne peut pas contrôler : quel modèle a réellement traité sa demande. Un prestataire pourrait, pour réduire ses coûts, remplacer en silence un modèle haut de gamme par une version plus légère. Il pourrait aussi affirmer qu'un audit de sécurité a été mené par un modèle avancé sans que personne puisse le vérifier. Avec la multiplication des agents IA, qui enchaînent des tâches sans supervision humaine directe, cette question de confiance prend de l'importance. L'équipe Frontier Red Team d'Anthropic, avec des chercheurs de l'EPFL, du MIT, de StarkWare, de RESI et de Succinct, propose une réponse technique : l'« inférence prouvable ». Le dispositif reste un prototype de recherche, mais il ouvre une piste que les directions informatiques et les acheteurs d'IA auraient intérêt à suivre.
Ce qui a été annoncé : FlashProve, une preuve d'origine pour les réponses d'IA
Le principe
D'après le billet de recherche d'Anthropic, FlashProve fonctionne en deux temps. Dans une phase hors ligne, réalisée une fois par modèle, le fournisseur publie un engagement : une sorte d'empreinte courte qui désigne un jeu de poids précis, sans révéler ces poids. Ensuite, pour chaque requête, il produit une preuve que le modèle correspondant à cette empreinte a bien généré la réponse à partir de la question posée. N'importe qui disposant de l'empreinte, de la question et de la réponse peut vérifier la preuve, sans accès au modèle.
La technique repose sur une preuve à divulgation nulle de connaissance (un zkSNARK), qui permet de démontrer qu'un calcul a été correctement réalisé sans dévoiler ses données. Les auteurs indiquent que leur construction pourrait résister aux futurs ordinateurs quantiques.
Un progrès net sur les travaux antérieurs
Les auteurs situent FlashProve par rapport aux tentatives précédentes. Selon le billet d'Anthropic, une approche antérieure baptisée VerInf atteignait environ 0,02 jeton par seconde sur le même modèle, ce qui la rendait impraticable. Une autre, Attestable, atteignait 53 à 77 jetons par seconde, mais sur un modèle dense plus petit, de 31 milliards de paramètres, et sans code ouvert. FlashProve monte à environ 110 jetons par seconde sur un modèle de près de 400 milliards de paramètres, en tirant parti de l'architecture dite « mixture d'experts » : seule une partie du modèle est activée à chaque étape, et la preuve ne porte que sur cette partie. Les requêtes sont prouvées par lots, après coup, ce qui permet de mutualiser une partie du travail. Le calcul tient sur une seule carte graphique de 80 Go, qui lit les poids du modèle par segments depuis environ 290 Go de mémoire.
Pour une entreprise, ce point technique a une conséquence simple : la vérification n'a pas besoin d'être faite au moment de la réponse. Un audit pourrait porter, a posteriori, sur un échantillon de requêtes jugées sensibles.
Une analogie avec la signature des e-mails
TechCrunch, qui a couvert l'annonce le 3 novembre, compare le dispositif au protocole DKIM, qui permet de vérifier qu'un e-mail provient bien du domaine qu'il revendique. Comme les empreintes ne révèlent pas les poids des modèles, des laboratoires qui gardent leurs modèles fermés pourraient participer sans exposer leur actif le plus précieux. Le média précise aussi que la vérification est assez légère pour tourner sur un appareil local.
Le contexte : pourquoi la provenance des réponses devient un sujet
Les cas d'usage cités
Le billet d'Anthropic et TechCrunch décrivent plusieurs usages :
- Empêcher les substitutions silencieuses : vérifier qu'un fournisseur n'a pas remplacé un modèle par un autre, moins cher pour réduire ses coûts ou plus puissant pour gonfler des résultats de tests ;
- Vérifier les affirmations de tiers : s'assurer qu'une tâche, par exemple l'analyse de sécurité d'une bibliothèque logicielle, a bien été confiée au modèle annoncé ;
- Détecter les falsifications : confirmer qu'un serveur compromis exécute toujours les poids attendus ;
- Contrôler les modèles autorisés : garantir que seuls des modèles approuvés sont servis, ce qui intéresse les régulateurs ;
- Établir la provenance d'un texte : démontrer qu'une réponse vient d'un modèle précis.
Le lien avec les agents IA
Les agents ne sont évoqués que brièvement dans le billet de recherche, notamment à propos d'audits de sécurité menés par des agents et du risque qu'un modèle avancé se présente comme un modèle plus faible. Mais la logique s'applique directement à eux. Un agent qui traite des factures, répond à des clients ou prépare des contrats repose sur un modèle dont la qualité conditionne le résultat. Pouvoir prouver quel modèle a produit chaque action renforcerait la traçabilité, un point que les entreprises doivent déjà documenter au titre de leurs obligations de conformité.
Ce que cela change pour les entreprises françaises
Une réponse à un angle mort des contrats d'IA
Aujourd'hui, une PME qui achète un agent IA à un éditeur reçoit une promesse contractuelle sur le modèle utilisé, rarement un moyen de la vérifier. FlashProve ne change rien dans l'immédiat, puisqu'il n'est déployé nulle part. Mais il montre que la vérification technique est possible. À terme, on peut imaginer des clauses de contrat qui exigent une preuve d'inférence pour les traitements sensibles, comme on exige aujourd'hui des certifications de sécurité.
Pour un dirigeant, trois réflexes sont utiles dès maintenant :
- Demander par écrit quel modèle est utilisé, dans quelle version, et à quelles conditions il peut être changé ;
- Exiger d'être informé de tout changement de modèle, car un changement peut modifier la qualité des réponses ou le traitement des données ;
- Conserver des traces des réponses produites par l'agent sur les processus critiques, pour pouvoir les auditer.
Ces questions rejoignent celles de la responsabilité en cas d'erreur, que nous avons détaillées dans notre article sur la responsabilité juridique quand un agent IA se trompe.
Une brique pour la confiance et la souveraineté
Pour les entreprises européennes soucieuses de savoir où et comment leurs données sont traitées, la provenance cryptographique offre une garantie complémentaire. Elle ne dit pas où tourne le modèle, mais elle certifie lequel a répondu. Combinée à des engagements d'hébergement, elle pourrait renforcer la transparence des offres d'IA.
Chiffres clés
Les performances publiées par Anthropic ont été mesurées sur Llama 4 Maverick, un modèle d'environ 400 milliards de paramètres dont environ 17 milliards sont actifs par jeton, dans une version quantifiée sur 4 bits, avec une seule carte graphique H100.
| Indicateur | Valeur mesurée |
|---|---|
| Phase hors ligne (une fois par modèle) | environ 39 minutes |
| Vitesse de génération des preuves | environ 110 jetons par seconde |
| Taille d'une preuve (requête de 1 024 jetons) | environ 19 Mo |
| Vérification sur processeur (24 cœurs) | environ 17 secondes |
| Surcoût par rapport à un serveur classique | environ 70 à 95 fois |
| Validité d'un engagement | environ 16 millions de requêtes |
Source : Anthropic, 2 novembre 2026.
Limites et questions ouvertes
Les chercheurs sont explicites : il s'agit de partager des « progrès intermédiaires, et non un programme de recherche achevé ». Plusieurs limites sont listées dans le billet :
- le surcoût de calcul, de l'ordre de 70 à 95 fois, rend le dispositif inutilisable tel quel en production ;
- le contexte est limité à 1 024 jetons, très en deçà des usages réels des agents ;
- la preuve porte sur un modèle exact en décodage déterministe ; les réponses produites avec une part d'aléatoire peuvent diverger ;
- l'architecture du modèle n'est pas masquée, seuls les poids le sont ;
- les attaques par canaux auxiliaires, comme l'analyse des temps de réponse, ne sont pas couvertes ;
- le code optimisé en C++ ne bénéficie pas de garanties formelles, contrairement à la version écrite en Lean.
TechCrunch souligne enfin qu'Anthropic n'a pas prévu de déployer le système, ni chez lui ni ailleurs. Aucun partenaire industriel n'est annoncé.
Perspectives : ce qu'il faut surveiller
Le code, les preuves formelles et la documentation sont publiés sous licence Apache 2.0, et les chercheurs invitent explicitement d'autres équipes à reprendre et améliorer leurs travaux. Trois évolutions seront à suivre : la réduction du surcoût de calcul, sans laquelle aucun fournisseur ne l'adoptera ; l'allongement du contexte vérifiable ; et l'intérêt éventuel des régulateurs, notamment pour contrôler quels modèles sont servis. Si la technique mûrit, la preuve d'inférence pourrait devenir pour les agents IA ce que le cadenas HTTPS est devenu pour les sites web : un signe de confiance attendu par défaut.
En bref
- Anthropic publie FlashProve, un prototype open source d'« inférence prouvable ».
- Le dispositif permet de vérifier qu'une réponse vient bien d'un modèle précis, sans révéler ses poids.
- Il vise à empêcher les substitutions de modèles et à vérifier les affirmations des fournisseurs d'IA.
- Le surcoût de calcul (70 à 95 fois) et la limite de 1 024 jetons le cantonnent pour l'instant à la recherche.
- Pour les entreprises qui achètent des agents IA, la transparence sur le modèle utilisé devient une exigence à formaliser.
Sources
Connectez-vous pour aimer ou commenter.