Google DeepMindがAlphaProof Codeを発表：エージェントがSignalのコンパイル済みコードの安全性をLeanで証明

Gemini 4 Carbonの発表時にわずか1行触れられていた実証が、詳細に文書化された。Google DeepMindは11月10日、Signalプロトコルのリファレンスライブラリであるlibsignalのコードについて、安全性の特性を数学的に証明したエージェントシステムAlphaProof Codeに関するブログ記事と技術論文を公開した。このプロトコルは派生版を含め、WhatsApp、Messenger、Google Messagesの暗号化にも使われている。

何が証明されたのか

独自性はその証明のレイヤーにある。従来のプロトコル検証の多くは設計段階にとどまっていた。今回の取り組みでは、研究者らはlibsignalをLinux向けAArch64（64ビットArm）プロセッサ用の標準Rustコンパイラでコンパイルし、このマシンコードが期待される特性を満たしていることを証明した。これらの証明は、ポスト量子ハンドシェイクPQXDHおよびTriple Ratchetを網羅しており、前方秘匿性、認証、デバイスの一時的な危殆化後の安全性、ハンドシェイクの機密性をカバーしている。

その数字は規模の大きさを示している。ステップごとにカーネルが検証を行う証明言語Leanで書かれた証明は、約650万行に及ぶ。これらは、信頼できるものと見なす必要がある約2万6000行の仕様およびプロセッサ記述に基づいている。この作業は5人のチームによって4週間で完了した。論文は、マイクロカーネルseL4の検証には20人年、コンパイラCompCertには6人年を要したことに言及している。

エージェントはどのように機能するのか

AlphaProof Codeは研究チームのように作業を分担する。人間が何を証明すべきかを決定し、複数のモデルの支援を受けて作成された各仕様をレビューする。その後、Gemini Carbonを搭載したエージェントが自律的に証明を記述する。「監視役」エージェントは、Leanが承認済み仕様のコピーに照らして有効性を認めた場合にのみ証明を受理する。したがって、結果の信頼性はエージェント自体の信頼性に依存しない。Google DeepMindによれば、エージェントは自らの成果物を監査し、人間のレビュー対象としてフラグを立てたのは証明コードの約1%にとどまったという。

システムが安全なコードと欠陥のあるコードを正しく識別できるか検証するため、研究チームはすでに修正済みの2つの実際のバグをlibsignalの隔離コピーに再導入した。どちらの場合も、システムはバグを含むバージョンが安全ではないことを示す検証済み証明を生成した。ブログ記事でコメントを寄せたSignalのCTOであるEhren Kretは、これを「大きな前進」と評している。検証アーティファクトはオープンソースとして公開されている。

明記された限界事項

技術論文には、保証されない事項が正確に記されている。記号的証明は完全な暗号を前提としており、バイトデータの計算論的な機密性については何も言及していない。計算量的境界は量子敵対者には適用されない。鍵生成は検証されていない。プロセッサ記述は467個の命令と31個のシステムコールを網羅しているものの、スレッド、シグナル、動的リンクはモデル化されていない。最後に、この結果はLeanのカーネル、暗号プリミティブ、およびプログラムから呼び出される特定のルーチンの規約（コントラクト）を信頼することを前提としている。