AI 数周验证 123 个开源库，代码安全要变天了？

打开手机银行 App 转账时，没人会去想这段代码有没有隐藏的崩溃漏洞——但对安全工程师来说，这是每天都要面对的问题。

以前只有小项目能做的事，现在 AI 几周搞定了

形式化验证（用数学证明代码不存在某类 bug）一直是安全领域的「奢侈品」：过去只能用于小型代码库，或者需要专家投入大量时间。现在这个门槛正在被 AI 打破。

Anthropic 与 Theorem Labs 合作，用 Claude 在数周内完成了 123 个真实开源库的崩溃安全性证明。Theorem Labs 提供了支持汇编级证明的形式化模型，让 AI 能直接对底层代码做数学验证。

开源方案也在跟进，成本更低

@ilblackdragon 指出：用私有开源权重模型做形式化验证，成本更低，还能避免代码上传到 Anthropic。他提到用 @near_ai 的工具链，效果相当但成本只有一小部分。

这意味着除了大厂的云端模型，开源社区也在搭建自己的验证工具链。

安全攻防的天平在倾斜

@__alpoge__ 提醒：现在大多数软件都充满了 bug，AI 已经能轻松发现并利用这些漏洞。传统的网络防御手段已经不够用了。

这不是危言耸听——当 AI 既能帮你证明代码安全，也能帮攻击者找到漏洞时，攻防双方的工具其实是同一批。

对普通人意味着什么？

你用的 App、操作系统、银行软件，背后都是这些开源库。以前这些库的安全靠人工测试和社区反馈，现在可以用数学证明「这段代码不会崩溃」。

但反过来想：如果 AI 能帮你验证代码，也能帮攻击者找到没被验证的漏洞。

一个开放的问题

当验证工具越来越便宜，是不是意味着所有开源库都该被「数学证明一遍」？还是说，这只是把安全的门槛从「写代码」转移到了「证明代码」？