验证的倒置

Not a ToE · Oct 23, 2026 · 40m

一份证明可以毫无瑕疵，而建在它上面的信任依然是倒过来的。验证在先，信任是验证之后还立着的东西，只立一步，直到下一步。

艾登·拜的一句话：“圣杯是对所有代码的形式验证。”他引用的是Anthropic前沿红队与Theorem的合作：证明由Claude写出、由Rocq内核检验，覆盖123个OSS-Fuzz库的239个入口点，对任何不超过64MB的输入都不会崩溃，证明作用于编译后的RISC-V二进制，约一亿八千万行Rocq，几个星期完成，而当年验证seL4内核的功能正确花了大约二十个人年；这里问的问题更窄，只是不崩溃，问到的代码却多得多。值得留下的：测试确实是有损的代理，证明能走到输入上限在一兆左右的模糊测试走不到的缺陷上，而这项工作自己写明了条件，以可信组件正确为条件。圣杯式的读法假设的是：证明一经检验，代码做什么的问题就了结了，证明可以充当信任的地基。证明在它的模型之下作为确认成立；被当作地基，它就停在规约和可信基上，它们依然开放，证明之外的残余留给继续区分的人。…