Die meisten Sicherheitsmeldungen über KI handeln vom Finden von Fehlern. Bei Google DeepMinds AlphaProof Code geht es darum, ihre Abwesenheit zu beweisen, zumindest für bestimmte Eigenschaften und in Code, den Milliarden Menschen nutzen. DeepMind sagt, seine Agenten hätten zentrale Sicherheitseigenschaften des kompilierten Codes hinter dem Signal-Protokoll bewiesen, das auch die Verschlüsselung in WhatsApp, Messenger und Google Messages trägt. Es sei das erste Mal, dass die Implementierung eines solchen Protokolls mit irgendeiner Methode formal verifiziert wurde.
Die Arbeitsweise zählt so viel wie das Ergebnis. Ein Agent für Spezifikationen setzte gemeinsam mit den Forschern Sicherheitsziele aus der Fachliteratur in Lean um, Prüf-Agenten kritisierten die Entwürfe, und Menschen gaben jede Spezifikation frei. Danach schrieben Beweis-Agenten auf Basis von Gemini 4 Carbon die Beweise. Sie markierten etwa ein Prozent der Codebasis für eine zweite menschliche Prüfung, alles andere prüfte Leans Kernel. Laut dem begleitenden Paper erledigte ein Team von fünf Personen die Arbeit in vier Wochen, jede mit Agenten, die ununterbrochen auf dem eigenen Rechner liefen, an libsignal in Version 0.105.4.
Der Test, der Skeptiker überzeugen sollte, ist die Fehlerprobe. Das Team baute zwei echte, längst behobene Fehler wieder in eine isolierte Kopie des Codes ein. In beiden Fällen lieferte das System einen maschinengeprüften Beweis, dass die fehlerhafte Version unsicher war. In einem Fall speicherte libsignal den Zustand einer neuen Sitzung samt geheimem Schlüssel nach einer Nachricht, die nur unter einer älteren Sitzung hätte entschlüsselt werden dürfen. Signals Technikchef Ehren Kret sagte, frühere Verifikationen hätten kleinere Teile des Codes abgedeckt, und laufenden Code in gültige Lean-Theoreme zu übersetzen sei ein großer Fortschritt.
Für Entwickler ist die größere Botschaft, dass formale Beweise bezahlbar werden. Das Paper stellt dem seL4 und CompCert gegenüber, über Jahre von Experten verifiziert, an Code, der eigens dafür geschrieben wurde. Werkzeuge wie Lean LSP MCP, das wir besprechen, lassen einen Coding-Agenten bereits gegen Leans Prüfer arbeiten, und DeepMind veröffentlicht seine eigenen Verifikationsartefakte.
Die Grenzen sind benannt. Verifiziert ist der Code für Eins-zu-eins-Sitzungen, nicht ganz Signal. Die symbolischen Garantien setzen perfekte Kryptografie voraus, und die Ergebnisse vertrauen Leans Kernel und den Verträgen einiger Routinen, die der Code aufruft. DeepMind selbst sagt, die Skalierung der Methode brauche weitere Forschung. Und ein Beweis ist nur so stark wie die Spezifikation, die er beweist, weshalb die von Menschen freigegebenen Spezifikationen am ehesten eine externe Prüfung verdienen.