La plupart des logiciels sont truffés de bogues, et l'IA peut désormais les trouver et les exploiter facilement. Les défenses standard contre les cyberattaques ne suffisent plus, si bien que les développeurs ont besoin de moyens pour prouver que leur code est exempt de bogues. La vérification formelle des logiciels pourrait offrir cette garantie, mais elle a historiquement exigé des années d'efforts d'experts, la rendant impraticable pour la plupart des projets réels.
Dans le cadre d'une collaboration avec Theorem, des chercheurs montrent que cette situation évolue. Les LLM peuvent désormais produire des preuves formelles à grande échelle, ce qui permet de nouveaux flux de développement intégrant des garanties de sécurité prouvées. En utilisant Claude, l'équipe a prouvé des propriétés de sécurité au niveau du code assembleur (RISC-V) pour plus de 100 bibliothèques logicielles open source réelles. À leur connaissance, il s'agit de la première tentative à grande échelle d'utiliser l'IA pour appliquer la vérification formelle à des logiciels de production à ce niveau. Lors de la rédaction des preuves, Claude a également mis au jour des bogues qui avaient échappé à la détection pendant des années, malgré des billions d'exécutions de tests.
L'approche repose sur une méthode de longue date : les développeurs traduisent le code en un modèle mathématique et tentent de prouver qu'il respecte toujours des règles de sécurité définies. Les preuves qui échouent signalent des bogues probables. Traditionnellement, les preuves peuvent être plusieurs fois plus volumineuses que le code d'origine et exigent des compétences rares et spécialisées. La construction du noyau seL4 a demandé deux années-personnes, mais sa vérification en a demandé 20.
Pour tester cette approche, Claude a prouvé que 123 programmes open source se termineront toujours normalement, sans erreur de sécurité mémoire ni assertion échouée, pour toute entrée inférieure à 64 Mo, sous des hypothèses déclarées sur l'environnement d'exécution. Les chercheurs reconnaissent que cela est loin de corriger tous les bogues possibles, mais affirment que cela offre une feuille de route. Une partie des preuves est publiée afin que d'autres puissent les vérifier et les réutiliser.
Source: Hacker News · Résumé par HeadlinesBriefing