Mã AlphaProof đã chứng minh mã hóa của Signal là đúng — ở cấp độ mã nhị phân đã biên dịch

Sáu triệu rưỡi dòng Lean, được tạo ra trong bốn tuần, bởi các nhóm tác nhân mà không có con người nào giúp viết. Đó là con số nổi bật mà Google DeepMind công bố vào ngày 10 tháng 11 năm 2026 cho AlphaProof Code, một khung tác nhân dùng cho xác minh hình thức mà phòng thí nghiệm đã dùng để kiểm tra bằng máy phần lõi mật mã của giao thức Signal — và, một cách bất thường, để kiểm tra nó ở cấp tệp nhị phân AArch64 đã biên dịch thay vì tài liệu thiết kế ở trên nó. Những mô hình đã thực hiện công việc là một câu hỏi khác. một khóa API theo giá niêm yết của nhà cung cấp với 0% phụ phí Bộ máy của các tác nhân chứng minh không phải là thứ chúng tôi cung cấp.

Khung này không phải là một mô hình mà bạn có thể gọi. Đó là một bộ khung điều phối: các chuyên gia con người quyết định điều gì phải đúng, một hỗn hợp các mô hình chuyển những mục tiêu đó thành đặc tả Lean, rồi các nhóm tác nhân viết chứng minh — bài blog gọi G​emini Carbon là động cơ — điền vào các chứng minh cho đến khi nhân của Lean chấp nhận chúng. Thứ được phát hành cùng thông báo là bộ tạo tác, tại github.com/google-deepmind/code-verification, và một bài báo kỹ thuật thẳng thắn hơn nhiều về ranh giới của kết quả so với bài blog. Phần lớn những gì sau đây đến từ bài báo đó, vì bài báo là nơi chứa những con số thú vị.

Điều gì thực sự đã được chứng minh, và chống lại điều gì?

Mục tiêu là libsignal v0.105.4 với spqr v1.6.0, được build bằng rustc 1.98.1 chính thức, liên kết tĩnh với musl, và xuất ra dưới dạng một tệp thực thi AArch64 Linux duy nhất. Chi tiết đó quan trọng hơn bất kỳ benchmark nào: các chứng minh nói về những byte sẽ chạy trên điện thoại, chứ không phải về một hàm Rust mà người ta tin tưởng compiler sẽ dịch trung thực. Nhóm đã xác minh khoảng 560 KB mã nguồn libsignal, khoảng 140.000 lệnh AArch64, và họ làm điều đó bằng cách viết một mô hình Lean của tập lệnh — 467 lệnh và 31 lời gọi hệ thống, trong 7.578 dòng — rồi chứng minh rằng ảnh ELF thật, khi được nạp và thực thi theo mô hình đó, bảo toàn các thuộc tính bảo mật.

Các tính chất này chính là những gì một kỹ sư giao thức sẽ yêu cầu. Mười định lý biểu tượng bao quát tính bí mật chuyển tiếp, bảo mật sau xâm phạm, bí mật của bên khởi tạo và bên phản hồi, xác thực, cùng năm hệ quả của Định lý 1 của PQXDH. Kết quả chính được đặt tên là signal_session_secure_placed. Ngoài ra còn có một hướng tính toán với một cận cụ thể, và hai hướng sử dụng các mô hình đối thủ khác nhau: phía biểu tượng (Dolev–Yao, thông qua khung DyLean) thậm chí còn bao quát cả một kẻ tấn công lượng tử phá vỡ Diffie–Hellman sau khi bắt tay, trong khi phía tính toán chỉ bao quát các đối thủ cổ điển.

Sáu triệu dòng đi về đâu

“Hơn sáu triệu dòng” là cách diễn đạt của blog và nó chính xác nhưng thô. Phần phân tích chi tiết của bài báo mới là phần hữu ích, và đáng đọc như một bảng chi phí hơn là một màn khoe.

• Các chứng minh cho tệp nhị phân — 5,3 triệu dòng, phần lớn khối lượng công việc, bao gồm ngữ nghĩa mã máy và quá trình tinh chỉnh từ mô hình ký hiệu xuống đến tệp thực thi.

• Các chứng minh bằng máy tính — khoảng 860.000 dòng.

• Chứng minh ký hiệu — khoảng 350.000 dòng.

• Bằng chứng bác bỏ lỗi — khoảng 140.000 dòng, cho hai lỗ hổng được cố ý đưa trở lại được mô tả dưới đây.

• Các chứng minh allocator — khoảng 70.000 dòng.

Gần bảy triệu dòng nếu tính cả chú thích và dòng trống, mà bài báo thì tính còn blog thì không. Dù sao, tỷ lệ quan trọng là giữa phần chứng minh và thứ được chứng minh: 6,5 triệu dòng Lean để thiết lập các tính chất của một tệp nhị phân 560 KB. Tỷ lệ đó là thước đo trung thực cho thấy kỹ thuật này còn xa mức thường quy đến nhường nào, và đó là con số nên trích dẫn khi ai đó hỏi liệu kiểm chứng hình thức đã trở nên rẻ hay chưa.

Cơ sở tin cậy nhỏ hơn phần chứng minh, và đó chính là điểm mấu chốt.

Giá trị của một chứng minh chỉ bằng những gì nó giả định. Bài báo nói cụ thể về điều này, và chính sự cụ thể đó là điều phân biệt nó với một thông cáo báo chí. Các đặc tả được tin cậy dài khoảng 18.000 dòng (28.000 dòng nếu tính cả tài liệu), ngữ nghĩa AArch64 khoảng 8.000 dòng, và phần mã hóa mã máy bằng Lean khoảng 95.000 dòng. Ba mươi bảy thường trình được thay bằng hợp đồng thay vì được xác minh — nén SHA-256 và SHA-512, AES-256-CBC, X25519, các phép toán trên đường cong Edwards, Kyber1024 và ML-KEM-768, và HMAC của libcrux. Mười tám điểm vào panic cũng được giả định thay vì được chứng minh.

Vậy nên tuyên bố không phải là "mọi thứ đều đã được chứng minh." Tuyên bố là logic giao thức mật mã, máy trạng thái phiên, và bước tinh chỉnh từ logic đó thành các chỉ thị thực sự được thực thi đều đã được chứng minh, trong khi các nguyên thủy bên dưới được tin cậy giống như mọi dự án xác minh tin cậy các nguyên thủy của mình. Đáng chú ý, trình biên dịch Rust không nằm trong cơ sở tin cậy — nhóm đã tránh việc cần phải tin cậy nó bằng cách lập luận ở mức mã máy, đây cũng chính là mẹo giúp họ né hoàn toàn một trình biên dịch đã được xác minh. Để cung cấp bối cảnh về quy mô, bài báo trích dẫn seL4 vào khoảng 20 người-năm và CompCert khoảng 6.

Hai lỗi, cố tình đưa trở lại

Một hệ thống xác minh mà chỉ luôn nói “đúng” thì không thể kiểm thử được. Vì vậy, nhóm đã lấy hai lỗ hổng từng được tìm thấy và đã sửa trong mã của Signal — một lỗi trạng thái yếu và một lỗi nhóm con nhỏ — đưa chúng trở lại vào một bản sao biệt lập, rồi chạy lại pipeline. Trong cả hai trường hợp, AlphaProof Code đã tạo ra một chứng minh được máy kiểm tra rằng phiên bản có lỗi không thỏa mãn định lý bảo mật: phát biểu ký hiệu quy về ¬Sec(Asm_bug).

Bài báo bổ sung một lưu ý mà một trang tiếp thị sẽ lược bỏ: việc bác bỏ định lý tính toán đối với những lỗi đó là "khó hơn nhiều" và đã được để ngỏ. Nói cách khác, kiểm thử phủ định hoạt động sạch sẽ trên nhánh tượng trưng và chưa hoạt động trên nhánh tính toán. Đó chính xác là kiểu bất đối xứng mà người đọc nên biết trước khi coi khuôn khổ này là một công cụ phát hiện lỗi.

Cách các tác nhân được vận hành

Năm nhà nghiên cứu trong bốn tuần, mỗi người vận hành các agent không ngừng nghỉ. Việc viết chứng minh do các nhóm từ 40 đến 80 agent đảm nhận, chạy từ 24 đến 72 giờ trên một máy duy nhất cho mỗi nhóm, với một agent giám sát ở trên agent điều phối của nhóm. Một agent gác cổng kiểm tra từng bài nộp bằng trình so sánh đối chiếu với một bản đặc tả được giữ riêng và với nhân của Lean — một lớp phòng vệ chống lại việc một agent chứng minh một phiên bản bị làm yếu đi một cách tinh vi so với điều được yêu cầu.

Công việc của con người được dồn lên phần đặc tả. Mỗi đặc tả đều được một chuyên gia xem xét trước khi công việc chứng minh bắt đầu, và lượt kiểm toán của chính các tác nhân đã đánh dấu khoảng 1% cơ sở mã để con người xem xét. Không có con người nào viết mã chứng minh. Bài báo cũng thẳng thắn về khía cạnh kỹ thuật: một bản build sạch có thể mất vài giờ; giai đoạn đầu, một chỉnh sửa nhỏ trong mã nguồn hoặc một tệp nhị phân được biên dịch lại đã buộc phải sửa chữa lớn phần chứng minh; và có "nhiều dư địa đáng kể để tối ưu hóa" trong cả các chứng minh do AI tạo ra lẫn bản thân các kỹ thuật chứng minh.

Những gì các chứng minh không bao quát

Những hạn chế này đủ dài để trở thành phần quan trọng nhất của bài báo, và chúng được trình bày một cách rõ ràng. Không có bảo đảm hậu lượng tử nào được thiết lập cho tính chất hồi phục của SPQR — các định lý ratchet giả định rằng kẻ tấn công chọn khóa SPQR. Tính riêng tư của payload không được chứng minh. Xác thực bên trả lời không được chứng minh cho thông điệp đầu tiên của một handshake không bao giờ được thăng cấp. Mô hình cho phép một phiên trên mỗi lần thăng cấp, độ dài thông điệp cố định, không có trạng thái đa thiết bị, và khóa danh tính tin cậy ở lần sử dụng đầu tiên.

Ngoài ra còn có một cận trở nên vô nghĩa. Số hạng giả mạo MAC 8 byte ít nhất là 2⁻⁶⁴ mỗi lần thử và tăng theo bậc hai theo số tin nhắn và số epoch, nghĩa là cận này không còn nói lên điều gì đối với một phiên đơn khoảng 25.000 tin nhắn, hoặc với 2²⁰ phiên, mỗi phiên 2¹⁰ tin nhắn. Và đối tượng của chứng minh là bản build libsignal-cli của nhóm chạy như một tiến trình mới — không phải ứng dụng Signal trên điện thoại của bạn. Một số giả định về môi trường được lập luận một cách phi chính thức thay vì được chứng minh.

Không có API, không có giá và không có mô hình nào để gọi

Đây là phần sẽ làm thất vọng bất kỳ ai đến từ một bảng xếp hạng mô hình. AlphaProof Code là một khung nghiên cứu và một bộ hiện vật đã công bố. Không có endpoint, không có bảng giá theo token, không có danh sách chờ và không có trọng số: kho mã nguồn chứa phần phát triển Lean, ngữ nghĩa AArch64, binding libsignal và các đặc tả, chứ không phải một checkpoint. Bài blog nói rằng các hiện vật đã được mở mã nguồn; trang đích lại không nêu giấy phép, điều này đáng để kiểm tra trước khi bất kỳ ai dự định xây dựng dựa trên nó.

Các mô hình đã thực hiện công việc đó lại là một câu hỏi khác. Bài báo nêu tên G​emini 4 Carbon cho các tác nhân chứng minh và cho biết Claude Opus 5.5 được sử dụng cùng với các mô hình khác để soạn thảo và đánh giá các đặc tả. Claude Opus 5.5 hiện có trong danh mục của OrcaRouter với giá $4 mỗi triệu token đầu vào và $20 mỗi triệu token đầu ra, với giá niêm yết của nhà cung cấp được chuyển thẳng, mức markup 0% — vì vậy nếu điều bạn thực sự muốn rút ra là "chạy một vòng soạn thảo đặc tả với mô hình mà bài báo đã dùng," thì phần đó chỉ là một lệnh gọi API thông thường, và nếu nhà cung cấp thay đổi giá thì phía chúng tôi sẽ cập nhật ngay trong cùng ngày. Engine của các tác nhân chứng minh không phải là thứ chúng tôi cung cấp, và không có gì ở đây ngụ ý rằng chúng tôi tự vận hành chính AlphaProof Code.

Tại sao đây lại là chuyện lớn hơn kết quả của Signal

Việc xác minh Signal tự thân đã rất ấn tượng — lần xác minh hình thức đầu tiên đối vớibản triển khaicủa một giao thức được triển khai rộng rãi, bằng bất kỳ phương pháp nào, dù có hay không có AI, theo DeepMind, và là lần đầu tiên AI xác minh một giao thức mật mã đã được triển khai ở độ sâu này. Nhưng tuyên bố có thể chuyển giao được là quy trình làm việc. Một nhóm năm người, trong bốn tuần, với một bước đánh giá đặc tả và một tác nhân gác cổng, đã tạo ra một kho chứng minh mà trước đây hẳn sẽ là một dự án kéo dài nhiều năm. Nếu tỷ lệ đó còn đúng dù chỉ tương đối, tập hợp các hệ thống có thể chi trả cho việc xác minh sẽ thay đổi: phần mềm nhúng của thiết bị y tế, phần mềm lưới điện, loại mã mà hiện nay chỉ nhận được một lần đánh giá mã và một lời cầu nguyện.

Liệu nó có đứng vững hay không thì chưa được kiểm chứng. Mật mã của Signal được đặc tả tốt một cách bất thường, nhóm đã mời chính các kỹ sư của Signal xem xét phương pháp luận, và các nguyên thủy mật mã được thuê ngoài thực hiện thay vì được kiểm chứng. Hệ thống tiếp theo sẽ không dễ dãi như vậy. Cách chính bài báo trình bày — ghép xác minh hình thức với các tác nhân phòng thủ tự động như CodeMender — chính là hình hài trung thực của lời chào mời: xác minh cho bạn biết điều gì là đúng, và một thứ khác phải sửa những gì không đúng.

Xem gì

Ba điều sẽ đưa công trình này từ một bài báo mang tính cột mốc thành một kỹ thuật công nghiệp. Một codebase độc lập thứ hai được xác minh bởi người ngoài Go​ogle, lý tưởng nhất là một codebase mà đặc tả phải được viết lại từ đầu thay vì phỏng theo một phân tích sẵn có. Một con số chi phí — giờ-agent, giờ-accelerator, đô-la — vì bốn tuần và các nhóm 40 đến 80 agent không phải là đơn vị mà bất kỳ quản lý kỹ thuật nào có thể lập ngân sách dựa trên đó. Và việc bác bỏ lỗi trên nhánh tính toán, điều mà bài báo để ngỏ và là khác biệt giữa một hệ thống chứng minh các thuộc tính và một hệ thống còn có thể cho bạn biết, bằng tính toán, rằng một binary cụ thể bị hỏng.

Cho đến lúc đó, hãy đọc kho lưu trữ artifact thay vì thông báo. Các chứng minh nằm ở đó, Lean kiểm tra chúng, và bài báo nói cho bạn chính xác những gì chúng giả định.