Contexte et objectif
Google DeepMind a présenté AlphaProof Code, un cadre agentique basé sur plusieurs modèles de langage (LLM) destiné à la vérification formelle du code. L’objectif déclaré était de prouver mathématiquement les propriétés de sécurité du protocole cryptographique de Signal, utilisé par des milliards d’utilisateurs pour chiffrer leurs conversations. La vérification formelle, qui consiste à démontrer qu’un programme s’exécute sans défaut, représente le niveau le plus élevé d’assurance sécurité, mais elle reste habituellement très coûteuse en temps et en expertise.
Mécanisme du cadre agentique
AlphaProof Code répartit la tâche comme le ferait une équipe de recherche : les experts humains traduisent les exigences de sécurité de Signal en spécifications formelles, puis les agents automatisés, alimentés par le modèle Gemini Carbon, génèrent les preuves. Le processus a produit plus de six millions de lignes de code Lean, le langage de preuve utilisé pour vérifier la conformité du code. Après génération, les agents auditent les preuves et ne signalent à l’humain que les parties nécessitant une révision, soit environ un pour cent du code total. Cette réduction du travail humain découle du fait que Lean valide automatiquement le reste, limitant l’intervention humaine aux zones où le jugement reste indispensable.
Résultats de la vérification
Les agents ont démontré que le code compilé de Signal satisfait les propriétés de sécurité essentielles, notamment la protection des messages même si un appareil est temporairement compromis. Cette profondeur dépasse les vérifications classiques, qui s’arrêtent généralement au niveau de la conception du protocole. Le processus complet a duré quatre semaines, alors que des équipes humaines auraient besoin de plusieurs années pour atteindre un niveau comparable. Pour valider la capacité de détection, les chercheurs ont réintroduit deux bugs déjà corrigés dans une version isolée du code Signal. AlphaProof Code a produit des preuves machine‑checked indiquant que les versions buggy étaient effectivement vulnérables, confirmant ainsi la sensibilité du système aux défauts réels.
Implications et limites
La capacité à vérifier formellement le code d’un protocole largement déployé ouvre la voie à une réduction substantielle des risques liés aux écarts entre conception et implémentation. Toutefois, la méthode repose sur la disponibilité d’un modèle LLM performant (Gemini Carbon) et sur l’expertise humaine pour valider les spécifications initiales. Le cadre ne remplace pas la revue humaine, mais la restreint à un petit sous‑ensemble du code. De plus, la production de plusieurs millions de lignes de preuve Lean implique des exigences de stockage et de calcul non négligeables, ce qui peut limiter l’adoption immédiate dans des environnements aux ressources restreintes.
