AlphaProof de Google DeepMind a vérifié le cœur cryptographique de Signal en quatre semaines, contre plusieurs années habituellement
Google Deepmind a annoncé qu'AlphaProof Code, son système de vérification formelle, a validé mathématiquement le coeur cryptographique de la messagerie Signal en quatre semaines, là où ce type de travail réclame habituellement plusieurs années. Des agents d'IA reposant sur Gemini Carbon ont rédigé plus de six millions de lignes de code de preuve, c'est-à-dire les démonstrations formelles qui établissent que le logiciel se comporte exactement comme sa spécification le prévoit. Seulement environ 1 % de ce volume a été signalé pour une relecture par des experts humains. Deepmind envisage désormais d'appliquer la même méthode à des infrastructures critiques, comme les réseaux électriques et les dispositifs médicaux.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de The Decoder. Lire l'article original →
L'enjeu est considérable pour la sécurité logicielle. La vérification formelle offre des garanties bien supérieures aux tests classiques, qui ne couvrent qu'une partie des cas possibles, mais son coût en temps et en spécialistes l'a longtemps réservée à quelques projets très sensibles. Réduire la durée de plusieurs années à quatre semaines, avec une supervision humaine limitée à une fraction minime du travail, pourrait rendre cette approche accessible à bien plus d'organisations. Pour les utilisateurs de Signal, cela renforce la confiance dans la robustesse des protocoles qui protègent leurs échanges. Pour les secteurs où une défaillance logicielle met des vies en danger, la perspective d'une preuve automatisée change la nature des garanties exigibles.
Ce résultat s'inscrit dans la progression rapide des systèmes d'IA capables de raisonnement mathématique, dont la lignée AlphaProof de Deepmind est l'une des figures de proue. Jusqu'ici, la preuve formelle de logiciels restait un travail artisanal, mené par de petites équipes d'experts maîtrisant des assistants de preuve complexes. Les failles dans les bibliothèques cryptographiques, dont certaines sont restées invisibles pendant des années, ont pourtant montré les limites des audits traditionnels. Reste à voir si la méthode résistera au passage à des systèmes bien plus vastes et hétérogènes que le noyau d'une application de messagerie, et si les régulateurs reconnaîtront ces preuves produites par des machines comme des garanties suffisantes.
Les régulateurs et industriels européens des secteurs critiques (énergie, dispositifs médicaux) pourraient à terme s'appuyer sur de telles preuves formelles automatisées pour leurs exigences de conformité.