LONDON (IT BOLTWISE) – Ein aktuelles Forschungsprojekt zeigt, dass große Sprachmodelle formal gesicherte Sicherheitsgarantien nicht nur für Quellcode, sondern auf Binärebene erzeugen können. Dafür werden aus bestehenden OSS-Fuzz-Tests maschinennahe Spezifikationen abgeleitet und dann per formaler Prüfung nachgewiesen, dass bestimmte Fehlerklassen nicht auftreten. In 123 Open-Source-Bibliotheken konnten so Sicherheitsversprechen bis zur Assemblierungseebene unter klaren Annahmen erstellt und dabei zugleich Hunderte Bugs gefunden und behoben werden. Entscheidend ist: Der Verifikationsaufwand rutscht damit näher an skalierbare Entwicklungsworkflows heran.
Wer Software nur „gut getestet“ nennt, übersieht schnell einen harten Punkt: Selbst Code, der über Jahre unter Last läuft, bleibt grundsätzlich fehlersensibel. Genau deshalb verlagert sich in der Sicherheits- und Zuverlässigkeitsentwicklung die Diskussion von reinen Teststrategien hin zu Beweisen, also zu Methoden, die nicht nur Fehler finden, sondern für definierte Eigenschaften auch Ausschlüsse liefern. In dem hier beschriebenen Ansatz wird diese Lücke adressiert, indem Künstliche Intelligenz formale Korrektheitsnachweise in einem Umfang generieren soll, der bisher für die meisten Produktivsysteme außerhalb der Reichweite lag.
Der zentrale Mechanismus ist dabei nicht „KI findet Bugs“, sondern „KI erstellt einen formalen Beweisplan aus vorhandenen Testartefakten“. Formal verifizieren bedeutet: Entwickler übersetzen die Software in ein mathematisches Modell und versuchen anschließend zu zeigen, dass das Verhalten stets einer Spezifikation genügt. In der Praxis scheitert das häufig an zwei Hürden: Erstens können Beweise um ein Vielfaches größer ausfallen als der ursprüngliche Code, und zweitens erfordert das Schreiben dieser Beweise normalerweise Spezialwissen. Das Projekt setzt genau an dieser Komplexitätsbarriere an, indem es große Sprachmodelle so einsetzt, dass sie Korrektheitsbeweise für reale Binärprogramme automatisiert produzieren – inklusive einer überprüfbaren formalen Untermauerung.
Besonders greifbar wird das an der gewählten Zielschicht: Die Verifikationen laufen auf der Assemblierungs-/Binärebene für RISC-V unter Annahmen, die das Modell klar begrenzen. Insgesamt betrachtet der Ansatz 123 Open-Source-Bibliotheken aus dem OSS-Fuzz-Ökosystem und zielt darauf, dass bestimmte „Crash“-Bedingungen nicht auftreten. Konkret wird für Eingaben unter 64 MB nachgewiesen, dass Programme unter dem Modell keine Memory-Safety-Fehler provozieren und keine Assertions verletzen, sofern die Runtime-Annahmen passen (Single-Thread, statisches Binär, fester Speicherbudget-Rahmen, bestimmtes Linux-/Prozessmodell). Diese Spezifikation wird dabei aus vorhandenen Fuzz-Test-Einstiegspunkten abgeleitet: Wenn ein Fuzzer einen Crash als Bug-Kriterium nutzt, wird daraus ein formales „Der Crash bleibt ausgeschlossen“-Versprechen.
Der methodische Clou ist, dass das Proof-Ziel häufig erst während des Prozesses präziser wird. In dem Projekt wurde das nicht als „ein Durchlauf und fertig“ gestaltet, sondern als iterative Schleife: Das System versucht zu beweisen, beim Scheitern wird der mutmaßliche Bug nachverfolgt, Codepatches werden erzeugt, und anschließend wird die Spezifikation mit dem gepatchten Stand erneut belegt. Über einen Zeitraum von wenigen Wochen konnten so Hunderte Bugs adressiert werden; zudem geben die Autoren an, dass Claude viele dieser Probleme fand, die ein klassischer Fuzzer allein möglicherweise nie zuverlässig treffen würde. In diesem Zusammenhang werden auch Beispiele genannt, bei denen bestimmte Eingabegrößen (etwa ~20 MB für einen Counter-Underflow oder ~64 MB für einen Bilddecoder) und seltene Speicherlayouts entscheidend waren, sowie Fälle, in denen Logikfehler entdeckt wurden, die nicht zwingend abstürzen, aber Sicherheitsannahmen untergraben.
Technisch wird die Verifikation über eine Übersetzungskette organisiert: RISC-V-Assembly wird in ein mathematisches Modell überführt, das sowohl die Instruktionssemantik als auch die Prozess-/Linux-Abläufe abbildet. Danach werden die Aussagen in einem formalen Beweissystem geprüft – etwa über einen Proof Checker, der sicherstellt, dass die Spezifikation tatsächlich erfüllt ist. Für Entwickler heißt das: Vertraut werden muss im Wesentlichen nicht dem „Textverständnis“ des Modells, sondern den formalen Basismodellen (RISC-V und Linux-Prozesssemantik), den exakten Theorem-Aussagen sowie dem Proof Checker selbst. Dadurch verschiebt sich der Vertrauensfokus vom „Wie gut schätzt das KI-System?“ hin zu „Kann der formale Prüfer die Beweisschritte nachvollziehen?“. Zudem wird betont, dass die veröffentlichten Proof-Artefakte und Semantiken unabhängig verifizierbar sein sollen, um die Wirkung in realen Entwicklungsprozessen messbar zu machen.
Neben dem RISC-V-Fokus ordnet das Projekt formalere Verifikation als breites Feld ein und zeigt weitere Fallstudien, die teils auf andere Ebenen zielen. Bei der zlib-Kompression etwa wird eine Spezifikation für das Format RFC 1950 formal beschrieben und anschließend geprüft, ob eine Linux-Kernel-Implementierung diese Spezifikation korrekt umsetzt – diesmal auf Binärebene für x86, unterstützt durch eigens generierte, stark getestete formale Semantiken für die entsprechende ISA. Außerdem werden Experimente genannt, die sich mit Äquivalenz zwischen Interpreter-Verhalten und definierten Semantiken beschäftigen, inklusive empirischer Tests mit Millionen zufällig generierter Programmen. Solche Ergebnisse sind vor allem deshalb relevant, weil sie zeigen, dass „Beweise“ nicht nur für Speicher-Safety, sondern auch für höherwertige Eigenschaften und End-to-End-Korrektheit als Ziel funktionieren können.
Für den Markt und die praktische Umsetzung folgt daraus eine klare Richtung: Wenn KI-unterstützte formale Verifikation so skalierbar wird, dass sie nicht erst für Sonderfälle wie hochkritische Luftfahrt- oder Safety-Codepfade reserviert bleibt, dann verändert sich der Entwicklungsprozess. Ähnlich wie Tests, statische Typprüfung oder andere Korrektheitstools von „zusätzlichem Aufwand“ zu „eingebauter Infrastruktur“ werden, könnte Verifikation zunehmend in Pipelines wandern – besonders dort, wo wiederkehrende, gemeinsame Abhängigkeiten (etwa Runtime-Bausteine, Speicherprüfungen oder etablierte Bibliothekslogik) stark von Proof-Reuse profitieren. Gleichzeitig bleibt die Einschränkung real: Formale Verifikation „garantiert“ nur relativ zu Spezifikation und Modell – wenn das Modell die reale Plattform (CPU, Betriebssystem, Linking, Nutzungskonventionen) nicht korrekt trifft, entstehen Lücken. Genau deshalb wird der nächste Entwicklungsschritt als Ausweitung der Systemmodelle (mehr Architekturen, mehr OS-Prozesse, bessere Abdeckung von Caller-/Public-API-Verträgen) beschrieben.
Unterm Strich verschiebt das Projekt die Schwelle dafür, formale Garantien als handhabbaren Bestandteil der Software-Lieferkette zu sehen. Entscheidend ist weniger, dass KI heute „Beweise schreiben kann“, sondern dass sie es in einer Form tut, die mit einem Proof Checker gegenprüfbar bleibt, während gleichzeitig bestehende Testsysteme als Spezifikationsquellen dienen. Wenn Künstliche Intelligenz zudem Overhead reduziert und Beweise wiederverwendbar macht, rückt ein Zustand näher, in dem Sicherheitsversprechen nicht erst nach einem Incident entstehen, sondern bereits beim Build-Zeitpunkt überprüfbar sind. Für Teams, die bereits OSS-Fuzz und ähnliche Testharnesses einsetzen, entsteht damit eine konkrete Brücke: Aus laufenden Tests werden potenziell formale, auditierbare „Nicht-Absturz“- und „Keine Memory-Safety-Verletzung“-Aussagen, die sich auf abhängige Pakete ausweiten lassen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI macht formale Softwareverifikation in großem Maßstab möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI macht formale Softwareverifikation in großem Maßstab möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI macht formale Softwareverifikation in großem Maßstab möglich« bei Google Deutschland suchen, bei Bing oder Google News!