AlphaProof Code 对比 AesCode 32B：一个证明代码正确，另一个把它画出来

把 AlphaProof Code 和 AesCode 32B 放进同一句话里，它们唯一共享的东西就是“code”这个词。AlphaProof Code 是 Google DeepMind 于 2026 年 11 月 10 日发布的一个智能体框架，它产出了约 650 万行经过机器校验的 Lean 证明，证明编译后的 libsignal 二进制文件按规范运行。AesCode 32B 是一个 330 亿参数的视觉语言检查点，Microsoft 于 2026 年 10 月初在没有任何公告的情况下将其上传到 Hugging Face；它会把提示词写进单个自包含的 HTML 文档——一张幻灯片、一张海报、一个仪表盘——然后由人来查看。两者都不是你可以调用的服务。其中一个甚至不是模型。如果你来这里是想找一个即插即用的替代方案决策，那么诚实的答案是：这样的决策并不存在，而本文余下部分会解释为什么这个比较仍然值得做。

准确表述的范畴错误

AesCode 32B 是一个生成器。你给它一段描述，它返回一个产物，其质量由审美来判断，也取决于页面上的数字是否恰好就是你所要求的那些数字。模型卡自身的表述是：图像生成器能拼出一张好看的页面，却会把上面的数字渲染错；而代码模型能把数字弄对，却看不出页面长什么样——AesCode 将你的提示词与一张由同一提示词生成的图像配对，并把这张图像用作审美参考，同时依据文本内容来保证内容。

AlphaProof Code 是一个验证器。你给它一个规范——一个说明什么必须为真的陈述——它会返回一个证明，该证明由 Lean 的内核检查，证明某个特定的编译后二进制文件满足该规范。整个循环中不存在任何审美判断。证明要么被接受，要么不被接受，而接受标准是几千行内核代码，而不是审阅者的品味。

这种区别决定了各自的用途。AesCode 32B 回答的是“给我做个东西”。AlphaProof Code 回答的是“这个东西是否真如它声称的那样”。你会在一个周二下午用第一个来做一份演示文稿；而如果你是 Signal，就会用第二个，投入四周时间、五名研究人员以及多个由 40 到 80 个智能体组成的团队。

每个实际交付的内容

• 参数 — AesCode 32B：BF16 精度下约 334 亿参数，分布在十四个 safetensors 分片中，总计 66,714,912,704 字节。AlphaProof Code：无。它是一个框架加一个制品仓库，没有可下载的权重。

• 基础版 — AesCode 32B：Qwen3-VL-32B-Instruct 的微调版本，架构声明为 Qwen3VLForConditionalGeneration，因此可在 transformers 4.57 及更高版本中加载。AlphaProof Code：从设计上就是模型无关的；DeepMind 的论文为证明智能体指定了 Gemini 4 Carbon，并表示 Claude Opus 5.5 是参与起草和审查规范的模型之一。

• 许可证 — AesCode 32B：Apache 2.0，今日已在 Hugging Face 上线。AlphaProof Code：其 Lean 开发、AArch64 语义以及 libsignal 绑定已发布在 github.com/google-deepmind/code-verification，而落地页声明未标注许可证，因此在基于它构建任何东西之前，你应当先解决这一问题。

• 可用性 — AesCode 32B：仅限自托管。权重约需 65 GB 加速器内存，需在四个张量并行 rank 上执行一条 vLLM 命令；仓库页面背后没有托管端点，也没有推理提供商映射。AlphaProof Code：研究产物，无端点、无等候名单、无定价。

• 输出 — AesCode 32B：一个 HTML 文档，可通过打开它来检查。AlphaProof Code：一个 Lean 证明项，可通过 Lean 检查。

• 所谓“正确”指什么——AesCode 32B：页面看起来正确，数字与提示相符，由人来判断。AlphaProof Code：定理在模型中的所有输入下均成立，由内核来判定。

唯一真正有趣的重合之处：两个输出都是产物。

这里有一个值得进行的比较。两个系统都会生成一个比创造它的模型存续更久的文件。AesCode 32B 的 HTML 是一份完成的文档；你可以发布它、编辑它、对它做差异比较，而且不再需要那个模型。AlphaProof Code 的 Lean 证明是一个完成的推导；你可以在笔记本电脑上用几分钟的计算量重新检查它，而且如果规范没有改变，五年后该结果仍然成立。

在一个满是聊天接口的市场里，这是一种比听起来更稀有的特性。大多数模型的输出都是一次性文本，其价值取决于模型是否仍然可用。这两者都能产出你可以留存的东西。区别在于“留存”能给你带来什么：有了 AesCode，你留存的是一份演示文稿；有了 AlphaProof Code，你留存的是一个保证。

类比失效之处在于可审计性。任何人都能打开 HTML，看看标题是否有误。几乎没有人能打开 650 万行 Lean 代码，看看定理所陈述的内容是否就是新闻稿所称它所陈述的内容——这正是为什么 DeepMind 的论文用数页篇幅列举其可信基础、37 个受约束原语，以及它不证明的性质。产物是可检查的；但对它的解读并非免费。

每边的数字各值多少

AesCode 32B 的主要成绩是总体得分 85.89，对比 GPT-5.5 的 81.28——这是微软对竞争对手模型的测量，采用的是微软自己编写的评分标准、微软自己搭建的测试框架。Boundary 为 97.27，在 4.3% 的样本上出现严重溢出；style 为 55.99，而这一行中表内没有任何模型超过 60。按照该仓库自己的统计，微软之外还没有人公布过该模型的数字。上述每个数字均由厂商报告，且尚未被复现。

AlphaProof Code 根本没有基准测试表，而这并不是报告中的一项缺失——它是一种不同类型的论断。其结果是：一个特定的二进制程序满足十条符号定理，以及一条带有具体界值的计算轨道。你可以对规范提出异议，但你无法反驳内核对这份证明的裁决。与之相应的注意事项是结构性的，而非统计性的：SPQR 愈合不提供后量子保证，不提供载荷隐私，未升级的首次消息上不提供响应方认证，每次提升仅一个会话，消息长度固定，没有多设备状态。还有一个 MAC 伪造界，它在单个会话中约 25,000 条消息时就会变得空洞失效。

有一个数字确实能有效地跨场景沿用。AlphaProof Code 的验证耗时四周，而同类工作历来需要专家团队耗费数年；论文自身引用的基准是 seL4 约 20 人年、CompCert 约 6 人年。这个比值才是应当抓住的论据，而且它关乎工作流程，而非模型质量。

这周你实际能运行哪一个？

AesCode 32B：可以，前提是你有相应的硬件。下载分片，用 vLLM 在四个 rank 上提供服务，将提示词保持在显卡 24,576 个 token 的上限以内，并接受你的审核环节就是一个人眯着眼看渲染后的 HTML。它不会告诉你页面是否正确；它会告诉你页面看起来是否正确。

AlphaProof Code：不是。已发布的产物是一个 Lean 开发项目，而不是一个你可以调用的流水线。即便其中的模型也不是交付物——该框架是一种研究性构造，而 DeepMind 自己的表述是，扩展它“需要持续研究”。CodeMender 是用于自动修复的姊妹项目；验证与修复在该实验室的路线图中是两个不同的产品。

如果你想要的是一个模型来起草规格说明——也就是人类专家将 Signal 的安全目标翻译成 Lean、并逐条审查的那一步——这属于普通的模型工作，而且Claude Opus 5.5 已在 OrcaRouter 的目录中，价格为每百万输入 token 4 美元、每百万输出 token 20 美元，提供商标价以 0% 加价直接透传。将规格起草循环路由到两三个模型并比较它们的 Lean 输出，是一次 routing-DSL 调用，而不是一个研究项目。这一切都不能给你一个证明；证明这一步才是那六百万行的来源。

为什么这种搭配无论如何都值得发布

“代码模型”已经变成一个没有门槛的类别。一个会写幻灯片的模型和一个能证明消息传递协议的框架都被归入其中，而采购者在排行榜上比较它们时什么也学不到。有用的问题不是哪个更好，而是你能为输出获得什么证据。AesCode 32B 给你一个渲染好的页面和一份厂商评分标准。AlphaProof Code 给你一个经内核校验的推导，以及一份异常明确地列出其假设的清单。其中只有一个能扩展到你不愿出错的代码上，而它不是参数更多的那个。

如果你正在为设计流水线评估 AesCode 32B，那么需要测试的不是它的总体得分，而是它的边界行为——4.3% 的严重溢出率正是演示文稿悄然变错、而非仅仅变得难看的地方。如果你正在评估 AlphaProof Code，那么需要阅读的是制品仓库中的规范偏差目录：其中包含 200 多个计算类条目和约 35 个符号类条目，其中十五个是 Double Ratchet 分析中的缺口或缺陷。该目录是本次发布中最诚实的文档，因为它列出了证明未能闭合的所有内容。