Gleiche Antwort reproduzierbar? LLM-Beweis von Anthropic

Der Prüfer fragt, welches Modell die Risikoeinstufung vom März erzeugt hat. Im Protokoll steht ein Modellname, dahinter ein API-Endpunkt. Beweisen lässt sich daraus nichts. Anthropic hat am 4. November 2026 einen quelloffenen Forschungsprototyp namens FlashProve vorgestellt, der die Herkunft einer KI-Antwort kryptografisch belegt, ohne die Modellgewichte offenzulegen⁠¹. Technisch ist der Nachweis damit absehbar. Betriebsreif ist er nicht. Bis dahin müssen Sie Reproduzierbarkeit organisatorisch herstellen.

Anthropic zeigt, warum Sie nicht wissen, welches KI-Modell Ihnen antwortet

Eine überzeugende Antwort verrät nicht, ob sie vom bezahlten Modell stammt⁠¹. Anthropic nennt als Risiken ausdrücklich untergeschobene, günstigere Modelle und kompromittierte KI-Server⁠¹. Für Compliance-Verantwortliche ist das kein Kryptografie-Thema, sondern ein Nachweisthema. Prüfungen fragen nicht, ob ein Ergebnis plausibel aussieht, sondern wie es zustande kam und ob der Weg dokumentiert ist.

Ironisch daran: Ausgerechnet ein Anbieter, der seine Modellgewichte geheim hält, liefert das Verfahren, mit dem Dritte prüfen könnten, ob eine Antwort wirklich aus diesen Gewichten stammt. FlashProve schließt Ihre Lücke heute nicht. Es zeigt nur präzise, wo sie klafft: zwischen der Modellkennung in Ihrem Verfahrensverzeichnis und dem, was Sie davon belegen können.

Warum dieselbe Frage morgen eine andere Antwort bekommt

Schwankende Antworten haben Ursachen, die im Alltag regelmäßig vermischt werden. Der Sampling-Zufall im Modell ist harmlos und erwartbar. Unangenehmer sind stille Versionswechsel beim Anbieter, die Ihnen niemand meldet. Und dann ändert das eigene Team Prompts und Kontexte, meistens ohne Protokoll.

Ein Szenario aus einem regulierten Fachbereich: Eine KI-gestützte Vorprüfung stuft einen Schadenfall ein, die Sachbearbeitung folgt der Einschätzung. Zwei Monate später reklamiert der Kunde. Sie wollen die Begründung rekonstruieren und bekommen einen anderen Text, weil das Retrieval inzwischen eine neuere Dokumentversion zieht und der Anbieter sein Modell aktualisiert hat. Ohne Reproduzierbarkeit ist jede nachgelagerte Qualitätssicherung eine Stichprobe auf einem beweglichen Ziel.

Belastbare Erhebungen dazu, wie viele Unternehmen die verwendete Modellversion überhaupt mitschreiben, sind bislang nicht in Sicht. Das macht die Sache nicht besser, sondern verschiebt die Beweislast schlicht auf Ihr eigenes Log.

Was „gleiche Antwort reproduzierbar beim LLM“ praktisch bedeutet

Dieselbe Ausgabe Zeichen für Zeichen erneut zu erzeugen, ist schwer bis unmöglich, sobald Sampling, Anbieterinfrastruktur und Kontext im Spiel sind. Den Entstehungsweg einer Antwort zu dokumentieren, gelingt dagegen heute mit vorhandenen Mitteln. Nur die Modellidentität selbst können Sie bisher nicht beweisen.

An diesem Punkt setzen Zero-Knowledge-Beweise an. Vereinfacht: Es gibt einen kryptografischen Fingerabdruck der Modellgewichte, gegen den ein Dritter prüfen kann, ob eine Antwort damit berechnet wurde, ohne das Modell selbst auszuführen oder zu sehen⁠¹. Anthropic belegt die zentralen Sicherheitsaussagen zusätzlich formal in der Beweissprache Lean⁠¹. Für Prüfer ist das der interessante Teil, weil der Nachweis selbst überprüfbar wird und nicht nur behauptet.

Wer dagegen Reproduzierbarkeit auf Bit-Ebene fordert, fordert das Falsche. Prüfbar muss die Entscheidung sein, nicht der Textzufall.

Was 223 Sekunden pro Beweis für Ihren Zeitplan bedeuten

Getestet wurde 2026 mit Metas Llama 4 Maverick, einem Mixture-of-Experts-Modell mit 400 Milliarden Parametern, in einer auf 4 Bit quantisierten Version⁠¹. Die Messwerte: 223 Sekunden auf einer Nvidia H100 für 24 gebündelte Anfragen, rund 19 MByte pro Beweis, Verifikation auf gewöhnlicher CPU in 17 bis 21 Sekunden⁠¹. Der Preis liegt bei 70- bis 95-mal so viel GPU-Rechenzeit wie die normale Verarbeitung der Anfrage⁠¹.

Ein Sprung ist das trotzdem. Der Vorgänger VerInf brauchte 14,3 Stunden und erzeugte 93,6 GByte Beweis für 1000 Token, allerdings unter nicht direkt vergleichbaren Bedingungen⁠¹. Die harte Grenze bleibt das Kontextfenster von 1024 Token, und das GitHub-Repository bezeichnet FlashProve ausdrücklich als nicht gewarteten Forschungsprototyp⁠¹. 1024 Token reichen für ein Prompt-Beispiel, nicht für eine Akte. Warten Sie also nicht darauf.

So frieren Sie die KI-Modellversion ein und belegen Compliance selbst

Vier Maßnahmen, die ohne Kryptografie und ohne neues Budget funktionieren:

• Modellversion fixieren. Pinnen Sie auf eine datierte Modellversion statt auf einen Alias wie „latest“. Halten Sie Deprecation-Fristen und Ankündigungspflichten des Anbieters schriftlich fest, im Vertrag, nicht in einer E-Mail.
• Entscheidungskontext vollständig protokollieren. Modellversion, Systemprompt-Version, Temperatur und Sampling-Parameter, Retrieval-Quellen mit Dokumentversion, Zeitstempel, Hash der Ausgabe. Damit beantworten Sie die Prüferfrage, auch wenn Sie den Text nicht neu erzeugen können.
• Regressionstests mit festem Fragenkatalog. Referenzfälle regelmäßig durchlaufen lassen und Abweichungen als Ereignis behandeln, nicht als Rauschen. So fällt ein stiller Modellwechsel innerhalb von Tagen auf statt im nächsten Audit.
• Menschliche Freigabe bei echter Haftung. Die Freigabeentscheidung getrennt vom Modelloutput dokumentieren, mit Name, Zeitpunkt und Grundlage.

Ob aus dieser Disziplin eine Pflicht wird, hängt an der Einstufung Ihres Systems nach der Verordnung (EU) 2024/1689. Lesen Sie den Verordnungstext im Original und lassen Sie die Einstufung juristisch klären, statt sie aus Zusammenfassungen abzuleiten.

Die Lücke schließt sich, aber nicht von selbst

Identitätsnachweise für KI-Modelle werden kommen, weil Aufsicht und Einkauf sie brauchen werden. Heute ersetzt Protokollierungsdisziplin die Kryptografie. Stellen Sie in der nächsten Anbieterrunde zwei Fragen: Wie lange garantieren Sie eine konkrete, datierte Modellversion? Und auf welchem Weg erfahre ich von einem Wechsel, bevor er produktiv wird?

Beobachten Sie, ob FlashProve oder ein Nachfolger über 1024 Token Kontextfenster hinauskommt und ob kommerzielle Anbieter solche Beweise überhaupt anbieten wollen⁠¹. Die Details zum Prototyp fasst heise online vom 4. November 2026 zusammen⁠¹; maßgeblich bleiben die Veröffentlichung von Anthropic selbst und der zugehörige Quellcode.

Nehmen Sie sich diese Woche einen produktiven KI-Anwendungsfall vor und prüfen Sie, ob Modellversion, Prompt-Version und Retrieval-Quelle pro Antwort im Log stehen. Fehlt eines davon, ist das Ihr nächstes Ticket.