AlphaProof Code 对比 TwIL-LM3-Pro：一个你买不到的框架，对阵一个你几乎下载不了的模型

关于比较 AlphaProof Code 和 TwIL-LM3-Pro，最有用的一点是：两者都不是产品。AlphaProof Code 是 G​oogle DeepMind 的智能体式形式化验证框架，于 2026 年 11 月 10 日发布，附带了针对 Signal 编译后的 libsignal 二进制文件进行为期四周验证的 Lean 产物，但背后并没有可供调用的端点。TwIL-LM3-Pro 是 webAI 的 36.6 亿参数形式逻辑推理模型，自 2026 年 9 月 3 日起在 Hugging Face 上提供，其权重需要通过电子邮件申请表并接受一份禁止商业使用的许可证才能获取。前者问的是“我究竟能不能拿到它”；后者问的是“我能否以足够低的成本运行它，让它真正有意义”。对于任何从事形式化方法工作的人来说，这两个问题都是当下最要紧的问题，而两个答案都不是“能”。

从机制上讲，TwIL-LM3-Pro 是什么

Strip the marketing and TwIL-LM3-Pro is a dense Granite decoder: forty layers, hidden size 2,560, forty attention heads against eight key-value heads, derived from IBM's granite-4.2-3b. The real parameter total is 3,659,737,600, and the 131,072-token context is the base model's, carried through unchanged. It emits a <think>…</think> block before answering and was evaluated with greedy decoding at a 2,048-token budget.

对于这个规模的模型来说，这套训练栈的文档记录异常详尽：在合成形式逻辑语料上进行 rank-64 LoRA 监督微调；采用多路径蒸馏，为每个提示生成多条推理轨迹；进行参数空间检查点融合，而不是直接采用最终检查点；在 α = 0.15 处进行 WiSE-FT 插值，并使用 TIES 和 DARE-SLERP 合并回基座模型；以及一个熵加权 GRPO 阶段，webAI 称之为 MGPO，针对程序化验证器运行至第 2580 步。发布的产物是合并后的策略，这一点很实用：你可以用 bf16 以 6.82 GiB 运行它，或以 Q4_K_M GGUF 格式在 CPU 或 4 GB 显存上以 2.09 GiB 运行。

最后那句话就是整个价值主张。一个能在笔记本电脑上运行、并能回答形式逻辑问题的 3.66B 模型，与一个需要五名研究人员、四周时间以及多支由 40 到 80 个智能体组成的团队才能运作的验证框架，是不同类型的对象。TwIL-LM3-Pro 是形式推理的低成本一端；AlphaProof Code 是形式保障的昂贵一端。它们并非替代品，之所以值得作此比较，只是因为人们总把两者都归入“面向形式方法的 AI”之下。

双方各自的基准测试究竟能证明什么

TwIL-LM3-Pro 的卡片在其自身的 Track A 上报告了四行汇总数据：宏观门控为 0.5539，strict-7 为 0.2879，六通道平均值为 0.5389，macro_primary 为 0.5875。与 Qwen3-8B 相比，宏观门控为 0.5539 对 0.5336，而卡片写下了营销页面本会删掉的那句话：0.020 的门控领先幅度小于每条通道 n = 200 时的采样噪声，因此该行是持平，而非胜出。在并非持平的地方：

• Strict-7 — 0.2879，而 Qwen3-8B 为 0.2093；并且这一行在任何地方都不使用宽松匹配得分，因此格式上的侥幸不可能产生这一结果。

• 严格多选题 — 0.4100 对 0.0000，是报告中十一行里差距最大的泳道。

• 规则归纳 — 0.4195 对 0.3680。

• 语料拟合度——所有实验分支中最低的 lm_corpus 困惑度为 2.3130，而对照值为 2.5478。

• 留出测试套件——评测结论直言不讳：“TwIL-LM3-Pro 并未在该套件上领先。”其 10 个数据集的宏平均为 0.7901，与自身基线的 0.7942 在统计上持平，且明显落后于 Qwen3-8B 的 0.8493 和 gpt-oss-120b 的 0.8689。

卡片本身还列出了另外两点注意事项：Track A 的生成平均为 1,902 个 token，而前代产品为 564 个，其中 24.2% 触及长度上限，卡片称这一数据“仅供参考，而非精确值”；此外，吞吐量数据是在比对比列所用版本更新的 vLLM 上测得的。

AlphaProof Code 没有这样的表格，因为它回答的不是一张表格所能回答的问题。其主张是，一个特定的二进制文件——由 rustc 1.98.1 构建、静态链接、单个 AArch64 可执行文件的 libsignal v0.105.4 搭配 spqr v1.6.0——满足十个符号定理以及一个带有具体界的计算轨道，由约 650 万行 Lean 证明，并由内核检查。可比的验证是负向测试：两个真实的、此前已修复的缺陷被重新引入一个隔离副本中，且两者都产生了机器校验的不安全性证明。这不是一个分数。它展示的是系统能够区分正确代码与有缺陷的代码；这比 TwIL 在 strict-7 上的 0.2879 是更强的陈述，同时也窄得多——一个二进制文件、一份规范、五个人一周的时间。

许可证，而它才是真正的决策点

TwIL-LM3-Pro 以禁止商业使用的许可证发布，并通过三个并不等价的渠道分发。权重位于 Hugging Face 上。检查点会定期修订——当前版本于 2026 年 9 月 30 日发布。2026 年 10 月 1 日，webAI 发布了适用于 Android 和 iOS 端侧推理的 LiteRT-LM 构建，正是这个渠道让 2.09 GiB 的 GGUF 数字对手机应用具有意义。三个渠道之一是表单；如果你的用途是商业性的，应先阅读许可证，再阅读基准测试表。

AlphaProof Code 的发布问题则不同，而且可以说更糟。相关产物发布在 github.com/google-deepmind/code-verification——包括 Lean 开发成果、覆盖 467 条指令和 31 个系统调用的 7,578 行 AArch64 语义、libsignal 绑定，以及符号规范和计算规范——而项目主页完全没有声明任何许可证。这不算“宽松许可”，而是尚未解决。博客文章只提到，DeepMind 正在将验证产物开源以供社区使用。在基于一个没有许可证的 Lean 开发成果构建流水线之前，先找人问清楚。

所以：其中一个产物是你不得商用的模型；另一个则是条款未予言明的代码库。对业余爱好者来说，前者尚属可用。对公司而言，两者都算不上绿灯。

每一个在实际流水线中究竟会处于什么位置

TwIL-LM3-Pro 以文本形式对形式逻辑进行推理。给它一个证明义务、一个规则系统、一组前提；它会生成一段以散文与符号形式呈现的推导，供人阅读。它是一个推理辅助工具，而该卡片自带的基准测试套件——规则归纳、严格多项选择、语料拟合——正是围绕这项任务构建的。

AlphaProof Code 并不在文本中对逻辑进行推理。它的智能体编写 Lean，而 Lean 会被检查。这两个阶段原则上互补：一个小模型提出规范的大致形态，一个强通用模型对其进行审查，以及一个证明智能体框架将其对着内核完成闭合。它们之间缺少的是一座桥——TwIL-LM3-Pro 尚未在 Lean 语句生成上接受评估，其模型卡中也没有任何内容表明它为此接受过训练。在该技术栈中，它天然的邻居是 OpenBMB 的 Lean 4 自动形式化器 MathForm-8B，而不是验证框架。

DeepMind 自己对人类瓶颈的描述才是这里有趣的部分。在任何证明工作开始之前，研究人员借助多种模型将 Signal 的安全目标转化为形式化规范，并由专家审查每一条规范。一个小型、快速、本地的模型，如果能以可信且低成本的方式起草这些表述，在那个阶段会真正有用——而且仍然需要专家审查，因为错误的规范会产生对错误定理的证明，而且验证得完美无缺。

今天你可以运行什么，以及它需要多少成本

• TwIL-LM3-Pro — 权重可应请求从 Hugging Face 获取，采用非商业许可证；自 2026 年 10 月 1 日起提供 LiteRT-LM 设备端构建版本；没有我能验证的 webAI 托管 API。可使用 6.82 GiB 的 bf16 权重或 2.09 GiB 的 Q4_K_M 权重进行自托管。

• AlphaProof Code — 无法运行。已发布产物，无端点、无权重、无价格、无候补名单、未声明许可证。

• AlphaProof Code 内部使用的模型——证明智能体运行在 Gemini 4 Carbon 上，而我们并不提供该模型；Claude Opus 5.5 是参与起草与审校规范的模型之一，它在 OrcaRouter 的目录中定价为每百万输入 token 4 美元、每百万输出 token 20 美元，即按供应商标价原样传递，0% 加价。

• TwIL-LM3-Pro 所对照的模型——Qwen3-8B 级模型是 3.66B 形式逻辑检查点的常规对比集，而把它们放在同一个密钥背后的意义在于：规范起草循环可以把同一项义务同时发送给一个小型专用模型和一个通用模型，并对结果进行差异对比，而无需第二份契约。 模型融合在一次调用中完成同样的事情：一个共同作答的模型小组，这大致就是 DeepMind 团队在规范阶段使用混合模型所做的。

诚实的结论是，你很可能两者都不需要。

如果你想对生产代码进行形式化验证，AlphaProof Code 是一篇论文和一个 Lean 开发项目。阅读它、引用它，但不要围绕它规划一个冲刺——DeepMind 自己的表述是，扩展该技术“需要持续研究”，而论文也称该流程仍有很大的优化空间。达到干净构建的中位时间是数小时，而一行源代码改动就可能触发大量证明修复。

如果你想要一个小模型，能在笔记本电脑上对形式逻辑进行推理，{{1}}TwIL-LM3-Pro{{/1}} 是真实存在的，量化后运行占用 {{2}}2.09 GiB{{/2}}，而且它自己的模型卡会告诉你它在哪些方面只是打平而非胜出。先检查许可证，再检查基准测试，因为许可证读起来更短，也更具决定性。

两次发布共同呈现出一个值得注意的格局：形式化方法的前沿正被一个拥有数百个智能体小时可供投入的实验室推向极其昂贵的一端，而可负担的一端则产出能力范围狭窄、附带非商业条款的小模型。中间地带——一个商业工具，接收规格说明，并为你拥有的代码返回经过检查的证明，且价格在团队可预算的范围内——仍然空白。值得关注的是这个缺口，而不是这两个产物之间的缺口。