Anthropic et Theorem Labs ont collaboré pour faire progresser Claude dans une éradication minutieuse des vulnérabilités logicielles au niveau du code machine. Ils l’ont plongé dans les couches les plus profondes, en s’appuyant sur les instructions d’assemblage RISC-V, et ont effectué la vérification formelle de nombreux bibliothèques de code open source de production – en quelques semaines seulement, ils ont traité 123 bibliothèques de code open source et 239 entrées de test, produisant 180 millions de lignes de code de preuve mathématique Rocq validées.
Ce qui est vraiment effrayant, c’est ce qu’il a réussi à extraire. Ces vulnérabilités secrètes que les tests de fuzzing n’ont pas pu découvrir après avoir été exécutés des milliards de fois, les points critiques de logique à risque élevé qui ont persistant pendant plus d’un an, ainsi que les défauts matériels au niveau du processeur x86 et les erreurs dans les documents officiels, Claude les a réuni en une seule fois. Les tests aléatoires traditionnels sont comme filtrer le sable encore et encore pour éliminer les failles ; l’avantage de cette méthode est qu’elle transforme directement l’entrée du test en proposition mathématique, et fournit une preuve couvrant tout le chemin et toutes les entrées – dès qu’une preuve s’arrête à un point donné et ne peut pas avancer, c’est souvent là que se trouve la faille. De plus, Claude peut facilement corriger les correctifs et continuer à vérifier, ce qui réduit considérablement le taux de erreur.
Du point de vue des coûts, la signification de cette affaire devient plus claire. La vérification formelle du code machine depuis les couches inférieures est autrefois une tâche laborieuse et exigeant un grand volume de travail. Aujourd’hui, grâce aux capacités des grands modèles, l’efficacité de la vérification augmente à raison d’un doublement tous les deux mois, et les preuves produites peuvent être réutilisées entre différents projets. Selon la tendance actuelle, avec une investissement d’environ 134 millions de dollars, il est possible d’achever la vérification de 95 % du code machine de l’écosystème Nix d’ici fin 2027 ; les premières preuves correspondantes ont déjà été publiées. Lorsque la situation de la sécurité informatique devient de plus en plus critique, cette approche de « transformer la correctitude du code en théorème mathématique par l’IA » offre à l’industrie une nouvelle ligne de défense.