大模型推理可验证性：从信任到密码学证明

一、问题的起点：你调用的到底是谁？

在日常开发中，我们习惯性地相信：调用某个模型接口，返回的内容就来自那个模型。但从技术角度看，这个假设其实毫无保障。

API 返回的只是文本。它不携带任何可核验的身份信息。服务方完全可以在后台替换成更小、更便宜、甚至完全不同的模型，而调用方从输出质量上很难稳定分辨。对于普通聊天场景，这可能只是体验差异；但在评测、审计、合规、付费授权等场景下，“到底是谁回答的”是一个必须被严肃对待的问题。

传统的解决思路无非两种：要么完全信任服务方的声明，要么自己部署模型。前者把风险外包给了信任，后者把成本揽到了自己身上。有没有第三条路——既不获取权重，也不重跑推理，就能验证回答的来源？

答案指向一个方向：用密码学证明为每次回答配一张“出生证明”。

二、核心思路：权重承诺 + 逐次证明

这套方案的基本流程可以拆成三步：

1. 权重承诺：服务方在初始化阶段，对模型权重生成一个公开的密码学“指纹”（承诺）。这个指纹不泄露权重内容，但唯一绑定这套权重。
2. 推理证明：每次生成回答时，服务方同时生成一份密码学证明，证明“这段输出是由被承诺的那套权重、在给定输入下计算得到的”。
3. 验证：验证方拿到回答和证明后，无需权重、无需重跑模型，只需在普通 CPU 上执行验证算法，即可确认回答是否出自当初承诺的权重。

这里的关键技术是 zkSNARK（零知识简洁非交互式知识论证）。它的两个特性正好匹配需求：

• 零知识：证明过程不暴露权重本身，服务方的知识产权得到保护；
• 简洁性：证明体积小、验证快，验证方不需要复现整个推理过程。

换句话说，它把“信任服务方”变成了“验证数学”。

三、性能数据：能力与代价并存

为了说明这套方案的现实可行性，可以参考一个公开演示案例：在某款 400B 级别的大模型上，采用 4-bit 量化版本，在单张高端数据中心 GPU 上：

• 证明生成速度：约每秒 110 个 token；
• 单次请求证明体积：1024 token 的请求，证明约 19MB；
• 验证开销：在 CPU 上即可完成，耗时在十几秒量级。

这些数字说明两件事。第一，方案在工程上已经跑通，不是纯理论。第二，代价非常实在：生成证明所需的 GPU 时间大约是正常推理的 70 到 95 倍。

这意味着它目前不适合直接放在高并发的生产推理链路上。它更像一个研究原型或离线审计工具，而不是一个可以随时开关的线上特性。

四、适用场景：评测与审计是真正的落点

既然在线推理成本过高，那它的价值在哪里？答案是对可信度要求高、对延迟不敏感的场景：

• 模型评测：评测方需要确认自己测的确实是目标模型，而不是被替换过的版本。有了证明，评测结果的可信度从“声明”升级为“可验证”。
• 付费授权核验：客户购买的是某个模型的调用权，可以通过抽样验证确认服务方没有中途换模型。
• 合规与审计：在受监管行业中，需要留存“某次输出由某套权重产生”的可验证记录。

这些场景的共同点是：验证可以异步、抽样进行，不需要每个请求都实时验证。这正好绕开了证明生成成本高的问题。

五、安全边界：它能防什么，不能防什么

这一点必须说清楚，否则容易产生误解。

它能防的：服务方在承诺之后中途替换模型。因为权重承诺一旦公开，后续任何不属于该权重的输出都无法生成有效证明。

它不能防的：服务方从一开始就“挂羊头卖狗肉”——承诺的权重本身就不是它宣称的那个模型。证明只能保证“回答出自被承诺的那套权重”，不能保证“被承诺的权重就是它对外声称的名字”。

换句话说，这套机制解决的是过程一致性问题，不是身份真实性问题。要解决后者，还需要额外的信任锚，比如第三方对权重来源的独立审计、可复现的权重发布流程等。

六、工程落地时的关键考量

如果要在自己的系统中引入类似能力，以下几点值得注意：

1. 证明生成与推理解耦

不要把证明生成放在同步推理路径上。更合理的做法是：推理正常返回，证明异步生成并落盘，验证方按需拉取。这样在线延迟不受影响。

2. 抽样验证而非全量验证

受限于证明体积和验证耗时，全量验证并不经济。可以按比例抽样，或对高风险请求定向验证。

3. 证明存储与生命周期管理

19MB/千 token 的量级意味着证明本身也需要存储规划。可以结合对象存储与生命周期策略，按审计要求保留一定周期。

4. 承诺的发布与可追溯

权重承诺一旦发布，应有可追溯的发布记录，避免服务方事后抵赖或替换承诺。这一步往往需要流程与制度配合，而不只是技术。

5. 形式化验证的价值

这类密码学协议的正确性至关重要。配套的形式化证明（如使用定理证明工具对协议逻辑进行机器验证）能显著提升可信度，也是这类方案走向生产的重要前提。

七、总结

把“回答到底是谁生成的”从信任问题变成可验算问题，是模型服务走向可审计、可合规的关键一步。基于零知识证明的权重承诺方案，在技术上已经展示了可行性：验证方无需权重、无需重跑，就能核验输出来源。

但它当前的成本结构决定了它更适合评测、审计、授权核验等离线或抽样场景，而非高并发在线推理。同时，它的安全边界也很明确：防中途换模型，不防初始身份造假。

对于关注模型可信度的开发者而言，这套思路值得持续跟踪。它未必是终点，但确实把方向指得很清楚——可验证性，正在成为模型服务的基础设施能力之一。