Die meiste Software ist voller Fehler, und KI kann diese heute mühelos finden und ausnutzen. Die üblichen Abwehrmaßnahmen gegen Cyberangriffe reichen nicht mehr aus, daher brauchen Entwickler Wege, um zu beweisen, dass Code frei von Fehlern ist. Die formale Softwareverifikation könnte diese Garantie bieten, hat jedoch historisch Jahre von Expertenarbeit erfordert und war deshalb für die meisten realen Projekte unpraktikabel.
In einer Zusammenarbeit mit Theorem zeigen die Forscher, dass sich dies ändert. LLMs können nun formale Beweise in großem Umfang erstellen und ermöglichen damit neue Entwicklungsabläufe, die nachgewiesene Sicherheitsgarantien einschließen. Mit Claude bewies das Team Sicherheitseigenschaften auf der Ebene des Assemblercodes (RISC-V) für mehr als 100 reale Open-Source-Softwarebibliotheken. Nach ihrem Kenntnisstand ist dies der erste großangelegte Versuch, KI einzusetzen, um formale Verifikation auf Produktionssoftware in diesem Maßstab anzuwenden. Beim Schreiben der Beweise deckte Claude zudem Fehler auf, die trotz Billionen von Testläufen jahrelang unentdeckt geblieben waren.
Der Ansatz baut auf einer seit Langem bekannten Methode auf: Entwickler übersetzen Code in ein mathematisches Modell und versuchen zu beweisen, dass er stets festgelegten Sicherheitsregeln folgt. Gescheiterte Beweise deuten auf wahrscheinliche Fehler hin. Traditionell können Beweise um ein Vielfaches größer sein als der ursprüngliche Code und erfordern seltene, spezialisierte Fähigkeiten. Der Bau des seL4-Kernels dauerte zwei Personenjahre, seine Verifikation dagegen 20.
Um den Ansatz zu testen, bewies Claude, dass 123 Open-Source-Programme unter angegebenen Annahmen zur Laufzeitumgebung für jede Eingabe unter 64 MB immer ordnungsgemäß beendet werden, ohne Speichersicherheitsfehler oder fehlgeschlagene Assertions. Die Forscher räumen ein, dass dies noch weit davon entfernt ist, alle möglichen Fehler zu beheben, sehen darin aber eine Roadmap. Ein Teil der Beweise wird veröffentlicht, damit andere sie überprüfen und wiederverwenden können.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing