DeepMind用AI完成Signal协议形式化验证，下一步瞄准所有软件

加密通讯的安全，长久以来靠的是“至今没人攻破”，而非“已被证明攻不破”，这在软件安全领域是个尴尬的现实。2026年11月，Google DeepMind一项研究想打破这个局面：团队用AI工具对广泛使用的Signal加密协议做了形式化验证（formal verification），用机器可检验的数学证明，确认该协议按设计预期工作。

从“测试”到“证明”：一次范式转移

要看懂这件事的分量，得先分清两种安全评估思路。传统做法是测试加渗透：安全研究员反复找漏洞，攻不破不等于协议安全，只能说明“暂时没人找到办法”。形式化验证则另走一路——先把协议规范用精确的数学语言写成模型，再证明这个模型满足一系列安全性质，比如“攻击者拿不到长期密钥就无法恢复会话密钥”“前向保密性在任何消息序列下都成立”。

学术界在这条路上已经走了二十多年，工具包括ProVerif、Tamarin、CryptoVerif，以及更底层的交互式定理证明器Coq、Isabelle和F*。难点在成本：给一个工业级协议做完整证明，往往要资深专家投入数月甚至数年，还得反复补引理、调模型。绝大多数商业软件因此从未被形式化验证过。

DeepMind正是冲着这道成本门槛来的。据WIRED报道，研究团队让AI工具接手证明过程中最费人力的环节——搜索证明路径、生成证明脚本、补齐中间引理，最后交给机器校验。关键在于，AI提出的每一步都得通过证明检查器的机械验证，所以“AI可能出错”不会污染结论：错的想法会被直接拒绝，只有真正闭合的证明才能过关。

为什么偏偏是Signal协议

Signal协议是当下加密通讯的事实标准，由两大部分组成：建立会话用的X3DH密钥协商，以及逐条消息推进密钥的Double Ratchet双棘轮机制。后者带来的“前向保密”与“后向保密”，让某一把密钥将来泄露也无法回溯解密此前的历史消息。

Signal官方应用在用这套协议，WhatsApp在数十亿用户规模上部署了它，Google Messages的端到端加密RCS消息、Facebook Messenger的私密对话模式以及众多开源加密库也靠它支撑。换句话说，协议层面一旦出现系统性缺陷，影响将是全球性的。也正因如此，Signal协议此前被学术界反复分析，但拿到的多是“针对性证明”——证明某个版本、某些安全属性在特定假设下成立，而不是一份完整、连贯、可机器检验的整体性结论。

延伸目标：为“世界上所有软件”做同样的事

故事如果止于“一个著名协议被验证”，已经足够重要。但DeepMind团队把野心说得更直白：

“他们的延伸目标？为世界上所有软件做同样的事。”

这话听着近乎狂想，放进DeepMind近年的研究轨迹里却不突兀。AlphaProof与AlphaGeometry在国际数学奥林匹克级别的题目上展示了机器严格演绎推理的能力；FunSearch在组合数学与算法设计中找到了人类此前没想到的构造。这些工作有个共同点：把“需要严密推理、结果又能被机械检验”的领域当成AI的试验场。形式化验证正好两个条件都占：难度极高，对错分明。

更现实的路径或许不是“验证一切”，而是把验证成本压到工业界能接受的程度。一份协议证明从“一位专家花一年”变成“一位工程师花两周”，安全审计的经济账就彻底变了。到那时，形式化验证可能会像今天的静态代码扫描一样，成为发布流程里的常规一环。

冷静的观察：证明能证明什么，不能证明什么

形式化验证并非万能灵药，它的边界值得清醒认识。

第一，被验证的对象是“模型”，而非“代码”。如果规范本身就写错了，或者实现代码跟规范对不上，证明也就没什么意义了。历史上那个著名的“编译器里藏后门”思想实验，还有几起由内存安全和侧信道攻击引发的真实漏洞，都落在模型管不到的地方。第二，随机数生成、时序泄露、功耗分析这类物理层问题，形式化验证一般管不到，可现实攻击偏偏常从这些地方入手。第三，AI给出的证明虽然通过了检查器校验，但“证明的到底是什么性质”还是人定的——安全目标一旦选错，证明再漂亮也是答非所问。

所以更准确的说法或许是：这项成果不是安全的终点，而是把安全基线抬高了一档。“这个协议在高强度对抗下仍然成立”从一句工程信念，变成了能摆进审计报告的数学事实。

结语

加密技术的历史反复说明一件事：信任不该来自沉默——不该来自“没人攻破”，而应来自公开、可检验的论证。DeepMind这次做的，是用AI把论证的门槛降下来。这条路若走得通，未来谈软件安全的方式可能会变：不再问“它有没有被黑过”，而是问“它的安全性被证明了吗”。