Two Minute Papers, der YouTube-Kanal, der Forschungsarbeiten für ein breites Publikum erklärt, hat DeepMinds AlphaProof Code aufgegriffen, und die Arbeit dahinter verdient die Aufmerksamkeit. Die Kernaussage: KI-Agenten bewiesen zentrale Sicherheitseigenschaften des Signal-Protokolls nicht an einem vereinfachten Modell, sondern am Maschinencode, der tatsächlich auf Telefonen läuft. Für alle, die sich auf Signal, WhatsApp oder Google Messages verlassen, ist das genau die Ebene, auf der sich echte Fehler meist verstecken.
Die Arbeit ist genauer als die Berichterstattung. Ziel war libsignal, die Referenzimplementierung, in Rust geschrieben und mit dem Standardcompiler zu AArch64-Maschinencode übersetzt, der zusammen mit einem formalen Prozessormodell in Lean geladen wurde. Die Agenten erzeugten rund 6,5 Millionen Zeilen maschinengeprüfter Beweise, gestützt auf etwa 26.000 Zeilen vertrauenswürdiger Spezifikation und Prozessorsemantik. Die Beweise decken den Post-Quanten-Handshake PQXDH und den Triple Ratchet ab und belegen Forward Secrecy, Authentifizierung, Sicherheit nach einer Kompromittierung und Geheimhaltung des Handshakes. Laut DeepMinds Blog dauerte die Arbeit vier Wochen; Menschen prüften jede Spezifikation und etwa 1% der Codebasis, die die Agenten markierten.
Das Design macht die Aussage glaubwürdig. Die Beweis-Agenten gelten als nicht vertrauenswürdig. Ein Gatekeeper-Agent akzeptiert einen Beweis nur, wenn Leans Kernel ihn prüft und ein Vergleichswerkzeug bestätigt, dass er genau eine zurückgehaltene Kopie der freigegebenen Spezifikation beweist. So kann kein Agent das Ziel unbemerkt abschwächen. Zum Vergleich nennt die Arbeit die Verifikation des Mikrokernels seL4 mit zwanzig Personenjahren und des Compilers CompCert mit sechs, beide von vornherein für die Verifikation geschrieben.
Dasselbe Muster erreicht gewöhnliche Entwicklerwerkzeuge. Unsere Besprechung von Lean LSP MCP behandelt einen Server, der einem Agenten Leans Beweiszustand und Fehler liefert, damit er Beweise schreibt, die der Prüfer akzeptiert. Die Agenten hier liefen auf Gemini 4 Carbon. Die Lehre für alle, die KI an wichtigem Code einsetzen: Zwischen Modell und Ergebnis gehört ein Prüfer, mit dem man nicht diskutieren kann.
Die Grenzen stehen in der Arbeit selbst. Die Ergebnisse vertrauen Leans Kernel, der Sicherheit der zugrunde liegenden kryptografischen Primitive und dem Verhalten einiger Routinen, die der Code aufruft. Ein Beweis deckt nur ab, was die Spezifikation sagt; eine Lücke in diesen 26.000 vertrauenswürdigen Zeilen wäre eine Lücke in der Garantie. Die Artefakte sind offen zur Prüfung, doch eine unabhängige Prüfung steht noch aus.