Lean カーネルの健全性バグ #14576 が発見・修正

7月25日にRamana Kumarが公開したコラッツ予想の反証がきっかけで、Leanカーネルの健全性バグが発見された。バグは入れ子状の帰納型の処理に存在し、1時間以内に修正が推し進められた。

Ramana Kumarは7月25日、AI支援で生成されたコラッツ予想の矛盾証明を含むリポジトリを公開した。Leonardo de Mouraは「入れ子状の帰納型のカーネル処理のバグを利用しているため、有効な証明ではない」と述べた。7月28日、Kiran Gopinathanはこれをより小さいFalseの証明に還元し、issue #14576をオープンした。修正は報告の1時間後にプッシュされ(#14577)、Joachim Breitnerによるレビューと改善提案を経てマージされた。

バグの技術的詳細

問題は、幽霊パラメータを持つ入れ子状帰納型Tの処理に存在する。カーネルが入れ子状の出現を削除する際、幽霊パラメータはコンストラクタフィールドに現れないため、生成される補助型から消えて型チェックを逃れる。その結果、不正な型の引数がその位置で使用され、カーネルがFalseの証明を受け入れることになった。Leonardo de Mouraは「メタプログラミングを通じてのみ帰納型宣言をカーネルに直接送信することでこのバグに到達可能」と述べた。

フロントエンド側の検査は不正な型の項を検出する仕様だが、「エラボレーターは設計上信頼されない」とde Mouraは指摘。「健全性は信頼されないコンポーネントが悪い項を構築することを拒否することに依存してはならない。カーネルは独自のプロセスで、不正な型の宣言を自らが拒否しなければならない」と述べた。

独立実装による検証と他のバグ発見

nanodaはChris Baileyがワゲットで実装したLean用の独立カーネルである。nanodaは投影ノードの型名を検証していなかったが、Jeremy Chenが7月27日の週の1週間前にこのバグを報告し、修正された。Daniel SelsamはOpenAIのセキュリティ専門AI支援を受けながら、Leanカーネル内の他のプログラミングの誤りを発見した。発見されたすべてのバグはnanodaに検出され、合計6つのPR(#14607、#14608、#14609、#14613、#14615、#14616)で修正された。さらにカーネル不変条件を強化する3つのPR(#14621、#14631、#14632)もマージされた。

Mario Carneiroのlean4leanはLeanの型理論をLean内で形式化し、カーネルがそれを実装していることの証明を含む。ただし、この証明はまだ帰納型をカバーしていないため、lean4leanはカーネルバグの影響を受けた。comparator.liveはnanodaをデフォルトで実行するようになり、nanodaは上流の修正後も最新の状態に保たれている。

タイミングと信頼できない検証の危険性

Ramanは「タイミングは偶然だと考えるが、モデルがnanodarepを見ていた可能性を除外できない」とされている。Joachimは「複数の実装間で異なる2つのバグが存在したため、独立したカーネルでの検査はなお有効に機能する」と指摘。同時にJoachimは「このバグを発見できるほどの強力なモデルが利用可能であることが、このタイミング一致の原因である可能性」を示唆している。

de Mouraは「これは実装バグであり、Leanのメタ理論の穴ではない」と述べた。

この記事は元記事の事実のみに基づいて自動生成されました。

出典

Leonardo de Moura Blog, "Postmortem for Kernel Soundness Bug #14576", https://leodemoura.github.io/blog/2026-8-1-postmortem-for-kernel-soundness-bug-14576/ (Zulip、X、LinkedIn、Mastodon、Kernel Arenaの報道による)