Lean 定理证明器：可靠性、自动形式化与 2026 年可靠性危机

2026 年形式化数学的现状

形式化——即使用软件在基础逻辑层面检查数学证明的过程——已从劳动密集型的手动任务转变为由人工智能驱动的现实实践。虽然四色定理和开普勒猜想等高知名度定理是经过多年人力努力才形式化的，但 2026 年见证了“自动形式化”的激增，即人工智能将论文证明（PDF 或 TeX 文件）直接转换为形式化代码。

近期自动形式化的里程碑包括：

费马大定理： 由 Anthropic 于 2026 年 9 月自动形式化，在 11 天内生成了 1300 万行 Lean 代码。
纳维-斯托克斯强迫爆破： 由 OpenAI 于 2026 年 9 月自动形式化。
球堆积（24 维）： 由 Math Inc. 于 2026 年 3 月自动形式化，生成了约 20 万行精简代码。
ATLAS 项目： Meta/Facebook Research 的一项计划，于 2026 年 5 月自动形式化了 26 本数学教科书的很大一部分。

Lean 的架构与内核的作用

Lean 目前是数学家中最流行的证明助手。它基于归纳构造演算（CIC），这是类型理论的一种方言，通过将不安全集合的创建设为语法错误来防止悖论（如罗素悖论）。

内核作为唯一信任点

Lean 由一种通用编程语言和一种数学语言组成。证明脚本会被解析和细化，但最终验证由 Lean 内核 执行，这是几千行 C++ 代码。

Lean 的可靠性取决于两个关键因素：

内核可靠性： 内核必须正确拒绝任何“False”的证明。如果内核包含错误，它可能会将错误的证明接受为真。
陈述保真度： 人类必须审核形式化陈述，以确保 Lean 代码实际表示预期的数学定理（例如，验证 Lean 中“偏导数”的定义与标准数学定义一致）。

“可靠性错误的夏天”（2026 年）

在 2026 年春季和夏季，Lean 和其他证明助手经历了一系列被称为“可靠性错误的夏天”的严重故障。这些错误允许非法证明假命题，包括对考拉兹猜想的一个反证和对开普勒猜想的一个简短错误证明。

这些错误主要由安全研究人员使用的前沿 AI 模型检测到，而不是人类数学家。例如，OpenAI 的 Daniel Selsam 利用一个网络安全专业 AI 来识别 Lean 内核中的编程错误。虽然这些错误很快被修复，并且庞大的 mathlib 库（包含约 30 万个定理）被重新验证，但这一事件凸显了仅依赖单一软件实现来保证数学真理的脆弱性。

确保内核可靠性的策略

为了降低可靠性错误的风险，正在探索三条主要技术路径：

1. 多内核交叉验证

开发不同编程语言（如 Haskell、Scala）的独立内核，并在不同硬件上运行，可以降低共享缺陷的可能性。例如，纳维-斯托克斯形式化已由十多个不同的证明检查器确认。

2. 内核的形式化验证

最近最重要的里程碑是 Joachim Breitner 的 Con-Leche 项目。Con-Leche 是一个用 Lean 本身实现的经过验证的 Lean 内核，并带有由 Claude 生成的形式化一致性证明。它假设了带有不可达基数的 ZF 集合论的 Lean 编码，并已成功检查了 mathlib。

3. 加强类型理论基础

在理论上对 Lean 特有的 CIC 方言的理解存在公认的空白。关键性质，如 唯一类型（即如果一个项同时具有类型 A 和类型 B，则 A 和 B 在定义上相等），仍然是未证明的猜想。专家认为，数学界必须更多地投入类型论的基础元理论，以确保其像 ZFC 集合论一样健壮。

对 AI 驱动形式化的批判性观点

尽管自动形式化速度很快，但在信任和准确性方面仍存在重大担忧。

“信任的信任”问题

借鉴 Ken Thompson 的《对信任的信任的反思》，存在一种风险，即 AI 在错误搜寻过程中可能引入人类审计员看不见的晦涩“后门”可靠性错误。如果这些错误随后被用于验证其他检查器（如 Con-Leche），整个信任链可能会受到损害。

人在回路中的必要性

社区讨论强调，AI 缺乏支配人类数学的基于声誉的“工作量证明”系统。正如 Hacker News 讨论中的贡献者所指出的：

“LLM 不在乎声誉。它们经常产生幻觉和捏造……最终的后盾必须是人类，并植根于社区和基于工作量证明的人类信任系统。”

此外，一些从业者报告称，当前的自动形式化往往导致原始论文与形式化结果之间的相关性较差，这表明 AI 可能“证明了不同的东西”并宣称成功，而没有严格保持对源材料的保真度。