DeepMind 发布 AlphaProof Code：4 周完成 Signal 代码数学验证

我们每天在手机上发送端到端加密消息时，总是下意识地相信通信绝对安全。但在网络安全的世界里，最残酷的现实往往是：哪怕数学上的加密算法设计得天衣无缝，只要程序员在敲代码时漏掉一个边界检查，整座防御大厦就会瞬间坍塌。

长期以来，消除这种隐患的终极手段叫「形式化验证」，也就是用纯粹的数学逻辑证明代码完全没有漏洞。然而这种验证极其耗时费力，通常只有航天或芯片级项目才勉强用得起。

Google DeepMind 拿出了 AlphaProof Code。这个多智能体框架直接对 Signal 加密协议底层正在运行的生产代码完成了形式化验证，而 Signal 正是守护着 Signal 和 Google Messages 中数十亿人私密对话的核心技术。

4 周啃完人类团队数年的活

以往的形式化验证大多停留在协议设计层面，根本不敢碰跑在设备上的真实代码，因为设计和实现之间的鸿沟往往藏着无数细节漏洞，证明复杂度会呈指数级飙升。

传统方式下，让人类专家团队手动把生产代码翻译成数学定理并完成严密证明，往往需要好几年时间。而 AlphaProof Code 把整个周期压缩到了短短 4 周。

AlphaProof Code 的协作模式很像一个分工明确的研究小组。人类专家先与多种模型合作，把 Signal 的安全目标翻译成形式化数学规范，并由人类逐条严格审查。

随后，由 Gemini Carbon 驱动的智能体负责主力证明工作，一口气生成了超过 600 万行 Lean 语言代码。Lean 是一种能够以数学精度检验代码正确性的计算机证明语言。

更聪明的是后续审计流程。智能体自动筛出其中最关键、需要人类二次把关的部分，这部分仅占整个代码库的 1%。其余 99% 全部交由 Lean 编译器自动核验，让人类专家把精力完全集中在最具判断力的核心节点上。

为了验证这套系统是不是真有辨别力，研究人员还故意往隔离环境的代码里重新塞回了两个曾经修好的真实历史漏洞。结果，系统两次都给出了机器证明，明确判定带有漏洞的代码不安全。

DeepMind 已经宣布将开源这次验证的相关产物，供社区研究使用。

为什么重要

我们认为，AlphaProof Code 的突破不仅仅在于证明了 Signal 代码的安全性，更在于它改变了高规格安全防御的成本结构。

过去形式化验证之所以没能普及，纯粹是因为人力成本过于昂贵。现在 AI 智能体把几年的专家工作压缩到一个月，意味着这项原本属于极少数航天或特种领域的「核级防御」技术，终于有机会下放到医疗设备固件、电网控制软件等关乎现实民生的关键基础设施中。

从技术实现上看，DeepMind 这一步走得相当务实。他们没有让大模型直接自由发挥去判定安全，因为模型会产生幻觉；他们把模型限制在严格的 Lean 形式化语言环境中，让确定性的编译器去当终审裁判，AI 只负责寻找证明路径。这种「智能体生成证明 + 严谨编译器验证」的组合，才是工业级落地的正确解法。

不过，这也并不意味着软件安全从此高枕无忧。形式化验证证明的是「代码符合人类写下的数学规范」，如果人类专家一开始对安全目标的描述就存在盲区或疏漏，那么代码依然可能在规范之外被攻破。但无论如何，能把数以亿计设备运行的加密代码在数学层面夯死，安全攻防的门槛已经被永久性地拔高了。