Vlad Tenev在2026年11月4日作出了一项颇为大胆的预测：两年内，所有代码都将通过形式化验证，而且会先从安全关键软件开始，再逐步推广。16 按照这个时间表，期限大约是2028年11月。

Harmonic近期公布的案例显示，AI辅助验证已有一些进展；但这些仍是针对特定代码或配置的演示，不能证明整个软件行业能在期限内验证所有代码库。

从一句愿景，到两年期限

10月27日，Harmonic宣布将其AI模型 Aristotle 从数学证明拓展到软件和芯片验证。随后，Tenev表示，所有软件和硬件都将经过验证；11月4日，他进一步给出了两年期限，并提出从安全关键代码开始逐步推广。1516

Tenev是Harmonic的联合创始人，也是公司的执行董事长。14 这让他的预测与Harmonic技术可能面对的市场直接相关，因此更适合被视为一项具有商业利益背景的行业判断，而不是独立评估。Harmonic获得了英伟达旗下投资部门、红杉资本和Ribbit Capital的支持；据报道，该公司去年11月完成1.2亿美元融资，估值达到14.5亿美元。31 这些信息体现了投资者的支持，却不能证明技术适用于所有场景，也不能证明行业会按这一时间表采用。

形式化验证能证明什么？

Harmonic称，Aristotle使用形式化验证，判断在一个明确定义的系统中，指定属性是否对该系统所覆盖的各种输入都成立。6 这与传统测试不同：测试通常检查选定的案例；代码审查则依赖人员阅读和检查代码。

关键在于，证明的范围由规格和模型决定。证明可以说明某个实现符合给定规格，却不能单凭这一点证明规格准确表达了现实需求。模型、前置条件和环境假设也会划定证明的边界。如果某种危险情形被排除在假设之外，即使证明在数学上成立，也可能没有覆盖那个情形。

因此，“通过验证”不等于“在所有环境下都毫无缺陷”。形式化证明能为明确界定的属性提供有力证据，但它不能独自回答需求是否正确、假设是否符合实际部署，以及模型之外的行为是否安全等问题。

Harmonic公布的案例，证明了什么？

10月27日，Harmonic宣布将 Aristotle 拓展至C语言软件和Verilog硬件设计的验证。26 这说明公司正尝试把相关方法用于工程问题，但并不代表这项技术已在各种编程语言、组织或软件系统中广泛应用。

目前公开的案例范围相对具体：

• DIII-D反应堆控制软件： 据报道，这家聚变实验室使用 Aristotle，根据一篇研究论文和一段254词的提示，在4小时内重建了部分反应堆控制软件。33 这指的是软件的一部分，并不能证明整套控制系统都通过了验证，也不能单凭重建结果证明系统运行安全。
• Ibex处理器指令： 一份研究动态汇总称，Harmonic在11月3日公布的工作，为特定Ibex RISC-V乘除法器配置对照Sail规格证明了9项属性。18 这是一个范围明确的验证结果，并非对整个处理器或所有配置的证明。
• 验证覆盖范围： Harmonic公布的工作针对C和Verilog中的指定属性，而不是对程序或芯片作出面面俱到的正确性保证。6 现有报道也未提供一份完整、经过独立评估的清单，说明所有使用场景下支持的检查项目、排除项和限制。

这些案例值得关注，因为它们展示了将形式化方法用于软件和硬件的实际尝试。但针对部分代码或特定配置的演示，还不足以说明这种验证能否在各种生产系统中做到实用、可负担，并随着软件更新而持续维护。

两年预测要站得住脚，还需要什么？

这项预测谈的不只是验证工具能否证明某些属性，还涉及行业能否广泛采用。更有力的证据应包括：可由独立团队复现的结果、覆盖多种系统的生产环境部署、清晰说明支持的语言和工具链，以及软件变更后持续维护证明的实际情况。

独立审查仍然重要。工程团队依然需要检查需求、模型和假设，并评估验证结果与实际部署系统之间的衔接。证明检查可以增强工程保障，但不会让这些问题自动消失。

现有材料没有说明Robinhood交易系统中的哪些组件（如果有）已经通过形式化验证。这是公开证据的缺口，并不能据此断定相关组件不存在。

目前较稳妥的判断是：Tenev提出了一项雄心勃勃、且与其商业角色相关的预测；Harmonic公布的案例则显示了有希望但范围有限的进展。这些案例支持继续探索AI辅助形式化验证，却不足以证明到2028年11月所有代码都能通过验证。

Vlad Tenev在2026年11月4日作出了一项颇为大胆的预测：两年内，所有代码都将通过形式化验证，而且会先从安全关键软件开始，再逐步推广。16 按照这个时间表，期限大约是2028年11月。

Harmonic近期公布的案例显示，AI辅助验证已有一些进展；但这些仍是针对特定代码或配置的演示，不能证明整个软件行业能在期限内验证所有代码库。

从一句愿景，到两年期限

10月27日，Harmonic宣布将其AI模型 Aristotle 从数学证明拓展到软件和芯片验证。随后，Tenev表示，所有软件和硬件都将经过验证；11月4日，他进一步给出了两年期限，并提出从安全关键代码开始逐步推广。1516

Tenev是Harmonic的联合创始人，也是公司的执行董事长。14 这让他的预测与Harmonic技术可能面对的市场直接相关，因此更适合被视为一项具有商业利益背景的行业判断，而不是独立评估。Harmonic获得了英伟达旗下投资部门、红杉资本和Ribbit Capital的支持；据报道，该公司去年11月完成1.2亿美元融资，估值达到14.5亿美元。31 这些信息体现了投资者的支持，却不能证明技术适用于所有场景，也不能证明行业会按这一时间表采用。

形式化验证能证明什么？

Harmonic称，Aristotle使用形式化验证，判断在一个明确定义的系统中，指定属性是否对该系统所覆盖的各种输入都成立。6 这与传统测试不同：测试通常检查选定的案例；代码审查则依赖人员阅读和检查代码。

关键在于，证明的范围由规格和模型决定。证明可以说明某个实现符合给定规格，却不能单凭这一点证明规格准确表达了现实需求。模型、前置条件和环境假设也会划定证明的边界。如果某种危险情形被排除在假设之外，即使证明在数学上成立，也可能没有覆盖那个情形。

因此，“通过验证”不等于“在所有环境下都毫无缺陷”。形式化证明能为明确界定的属性提供有力证据，但它不能独自回答需求是否正确、假设是否符合实际部署，以及模型之外的行为是否安全等问题。

Harmonic公布的案例，证明了什么？

10月27日，Harmonic宣布将 Aristotle 拓展至C语言软件和Verilog硬件设计的验证。26 这说明公司正尝试把相关方法用于工程问题，但并不代表这项技术已在各种编程语言、组织或软件系统中广泛应用。

目前公开的案例范围相对具体：

• DIII-D反应堆控制软件： 据报道，这家聚变实验室使用 Aristotle，根据一篇研究论文和一段254词的提示，在4小时内重建了部分反应堆控制软件。33 这指的是软件的一部分，并不能证明整套控制系统都通过了验证，也不能单凭重建结果证明系统运行安全。
• Ibex处理器指令： 一份研究动态汇总称，Harmonic在11月3日公布的工作，为特定Ibex RISC-V乘除法器配置对照Sail规格证明了9项属性。18 这是一个范围明确的验证结果，并非对整个处理器或所有配置的证明。
• 验证覆盖范围： Harmonic公布的工作针对C和Verilog中的指定属性，而不是对程序或芯片作出面面俱到的正确性保证。6 现有报道也未提供一份完整、经过独立评估的清单，说明所有使用场景下支持的检查项目、排除项和限制。

这些案例值得关注，因为它们展示了将形式化方法用于软件和硬件的实际尝试。但针对部分代码或特定配置的演示，还不足以说明这种验证能否在各种生产系统中做到实用、可负担，并随着软件更新而持续维护。

两年预测要站得住脚，还需要什么？

这项预测谈的不只是验证工具能否证明某些属性，还涉及行业能否广泛采用。更有力的证据应包括：可由独立团队复现的结果、覆盖多种系统的生产环境部署、清晰说明支持的语言和工具链，以及软件变更后持续维护证明的实际情况。

独立审查仍然重要。工程团队依然需要检查需求、模型和假设，并评估验证结果与实际部署系统之间的衔接。证明检查可以增强工程保障，但不会让这些问题自动消失。

现有材料没有说明Robinhood交易系统中的哪些组件（如果有）已经通过形式化验证。这是公开证据的缺口，并不能据此断定相关组件不存在。

目前较稳妥的判断是：Tenev提出了一项雄心勃勃、且与其商业角色相关的预测；Harmonic公布的案例则显示了有希望但范围有限的进展。这些案例支持继续探索AI辅助形式化验证，却不足以证明到2028年11月所有代码都能通过验证。