人工智能生成代码必须过形式化核验。助手会写实现，也会写证明脚本，写错了核验器会当场拒绝并让它重来。2026年核验器本身必须先被核过，过不了的证明不许偷偷放行。幻觉在这里不可怕，可怕的是没有核验器还把生成稿当已完成。不准把能写出证明腔的文字当成已经证过。

人工智能出证痛点在把能写出证明腔当成已经过了机器核验

形式化长期贵，是因为证明又难又长。有记录的微内核大约八千七百行实现，证明却要二十人年和二十万行脚本，折合约一行实现配二十三行证明、半天人工。会写的人全球就那么一小撮。建设者该把「生成必过核验器、核验器自身先核、过不了就重来」写成硬规格。管合入的人，该拒收只有证明腔没有核验日志的稿。

两处只有对着成本账才清楚。其一，多数系统以前不算这笔账：修缺陷的预期代价低于写证明的预期代价，缺陷成本还常常摊到用户头上。助手把写证明的边际成本打下来之后，账会翻过来，能核的面应该明显变宽。其二，生成代码比手写更需要核验：人审生成稿既慢又不可靠，让机器向你证明它写的东西满足规格，比让人盯着补丁看更硬。

操作上再钉三件事。第一，核验器必须小、必须自己被核过，不能让生成器同时当裁判。第二，失败必须留下重试记录：哪条目标没过、改了哪一步、第几次才过。没有记录，当没核过。第三，以前按人年计的模块，现在按「规格加自动证明」重估一遍，仍按「太贵所以不核」交差的，方案作废。建设者该把「本周被核验器打回的次数」写进例会。管平台的人，该拒收关掉核验器只看生成成功率的看板。

人工智能形式化核验2026五步：生成必过核、核验器先自核、失败必重来、成本账要重算、证明腔不当证书

1. 生成实现和生成证明都必须过核验器。只交文字，方案作废。
2. 核验器自身必须先被核过。生成器兼裁判，方案作废。
3. 没过的证明必须打回重写。改规格去迁就失败，方案作废。
4. 必须重算核验成本。仍按十年前人年报价拒绝核验，方案作废。
5. 证明腔禁止当证书。没有核验日志，方案作废。

上表对应「幻觉会被证明器打回重写」。核验器的价值是让胡写过不了门，不是让文风更像论文。

现场还要防口号替换验收。把「已经能证」写成周报，不等于核验器在拦。若只能改一处：先把没过核验器的生成稿从合入队列拿掉。

结论：人工智能生成代码要以核验器为准，不要把证明腔当成已经证过

写错不可怕，放行才可怕。仍用人眼或文风当核验，工程评审会先拒绝你。

你下次报一批人工智能生成代码，先写出核验器是谁、自身核过没、打回了几次；三格空着，通过率先不要进材料。

现场还要防口号替换验收。把「已经能证、已经能生成、已经能建模、已经能过核验、已经能跳过人工审」写成周报，不等于核验器在拦、规格人核、代码不当门禁、事件模型写全、不变量是对的那一条。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，幻觉当已证、规格当闲话、人眼当核验、公平性偷进安全性、不变量随手一写五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：生成稿有没有过核验器、规格有没有人签字、合入是否还在读实现、模型是否允许凭空收包、不变量是否经归纳。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

现场还要防口号替换验收。把「已经能证、已经能生成、已经能建模、已经能过核验、已经能跳过人工审」写成周报，不等于核验器在拦、规格人核、代码不当门禁、事件模型写全、不变量是对的那一条。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，幻觉当已证、规格当闲话、人眼当核验、公平性偷进安全性、不变量随手一写五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：生成稿有没有过核验器、规格有没有人签字、合入是否还在读实现、模型是否允许凭空收包、不变量是否经归纳。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源