🤖 AI

Mechanized Foundations of Structural Governance: Machine-Checked Proofs for Governed Intelligence

Dit artikel presenteert een uitgebreid raamwerk voor structurele governance in cognitieve workflow-systemen, met vijf formele resultaten op het gebied van veiligheid, invariantie en expressiviteit die in Coq zijn gemechaniseerd, naast een geverifieerde BEAM-runtime-implementatie die is gevalideerd door uitgebreide eigenschapsgedreven tests.

Oorspronkelijke auteurs: Alan L. McCann

Gepubliceerd 2026-05-01

📖 5 min leestijd🧠 Diepgaand

CC0 1.0

Oorspronkelijke auteurs: Alan L. McCann

Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer krachtige robot bouwt die kan denken, plannen en handelen in de echte wereld. De grote angst met zo'n robot is: Wat als het besluit om iets gevaarlijks te doen?

Dit artikel, geschreven door Alan L. McCann, presenteert een wiskundig "blauwdruk" voor een robotarchitectuur die het onmogelijk maakt voor de robot om te handelen zonder toestemming. Het hoopt niet alleen dat de robot zich goed gedraagt; het gebruikt strikte wiskunde om te bewijzen dat de robot de regels niet kan overtreden.

Hier is de uiteenzetting van hun werk met behulp van eenvoudige analogieën:

1. Het "Verkeersagent"-systeem (Structurele Governance)

Stel je voor dat het brein van de robot een drukke stad is. De robot wil dingen doen zoals een e-mail sturen, een ticket kopen of een licht aan doen. In de meeste systemen doet de robot deze dingen gewoon, en hopen we dat het geen fout maakt.

In het systeem van dit artikel is de robot als een bestuurder die geen enkele centimeter kan bewegen zonder te stoppen bij een verkeersagent.

De Regel: Voordat de robot iets kan doen dat invloed heeft op de buitenwereld (zoals het verzenden van een bericht), moet het de "Governance Operator" vragen.
De Controle: De operator controleert een lijst met toestemmingen. Als de robot toestemming heeft, geeft de operator een "groen licht" en registreert de actie. Zo niet, dan bevriest de robot en doet het niets.
Het Bewijs: De auteurs gebruikten een computerprogramma genaamd Coq (een digitale wiskundige) om te bewijzen dat dit systeem werkt. Ze bewezen dat als de robot probeert een zet te sluipen langs de verkeersagent, de wiskunde zegt dat het onmogelijk is. De robot kan letterlijk geen actie uitvoeren zonder het "groen licht".

2. De "Oneindige Trap" (Governance Invariantie)

Stel je voor dat de robot andere robots kan bouwen, en die robots kunnen weer meer robots bouwen, waardoor een toren van intelligentie ontstaat die eeuwig omhoog gaat.

Het Probleem: Meestal worden regels naarmate je hoger in de toren komt, zwakker of breken ze af.
Het Resultaat: De auteurs bewezen dat de "verkeersagent"-regel werkt op elke enkele stap van de trap, ongeacht hoe hoog je gaat. De wiskunde toont aan dat de regels in de vorm van de toren zelf zijn gebakken. Je kunt geen "rebelse" robot bovenin bouwen, omdat het blauwdruk zelf dit verhindert.

3. De "Vier Lego-blokken" (Toereikendheid)

Het artikel vraagt: "Hebben we een miljoen verschillende gereedschappen nodig om een slimme robot te bouwen?"

Het Antwoord: Nee. Ze bewezen dat je slechts vier basisbouwstenen nodig hebt om elk type discreet intelligent systeem te bouwen:
1. Code: Wiskunde of logica uitvoeren.
2. Geheugen: Dingen onthouden.
3. Oproep: Om hulp vragen aan andere robots.
4. Redeneren: Een "zwarte doos" (zoals een groot taalmodel) om advies vragen.
De Magie: Ze bewezen dat je met slechts deze vier een robot kunt bouwen die net zo slim is als elke Turing-machine (een theoretisch model van een perfecte computer), en dat elk enkel ding dat het bouwt, nog steeds onder controle staat van de verkeersagent.

4. De "Zwarte Doos"-noodzaak (Het Noodzakelijkheidstheorema)

Dit is het meest filosofische deel. De auteurs vragen: "Kunnen we een robot maken die 100% transparant en voorspelbaar is?"

Het Antwoord: Nee. Ze bewezen dat een robot om complexe oordelen over de echte wereld te maken (zoals "Is dit antwoord waar?"), moet beschikken over een deel dat een "zwarte doos" is – iets dat de robot niet volledig kan analyseren of van binnenuit kan voorspellen.
De Analogie: Stel je een rechter voor die moet beslissen of het argument van een advocaat "eerlijk" is. Als de rechter probeert de eerlijkheid te berekenen met alleen een rekenmachine, zal het mislukken. Ze hebben een menselijke intuïtie nodig (een zwarte doos) die de rekenmachine niet kan nabootsen. Het artikel bewijst wiskundig dat je dit ondoorzichtige deel nodig hebt voor het systeem om te werken, en dat je het niet kunt vervangen door meer wiskunde.

5. De "Echte Wereld-test" (Geverifieerde Interpreter)

Wiskundige bewijzen zijn geweldig, maar wat als de daadwerkelijke robotcode een bug bevat?

De Test: De auteurs stopten niet alleen bij de wiskunde. Ze bouwden een "specificatie" (een perfecte beschrijving) van hoe de robot moet gedragen en vergeleken dit met de daadwerkelijke draaiende software (de BEAM-runtime).
Het Resultaat: Ze draaiden 70.000+ willekeurige tests.
- Bij de 188e test vond het systeem een verborgen bug in de echte code die reguliere testen hadden gemist.
- Na het oplossen daarvan, kwam de echte code perfect overeen met het perfecte wiskundige model.
Waarom het belangrijk is: Dit bewijst dat de wiskunde niet alleen theorie is; het vangt daadwerkelijk fouten uit de echte wereld voordat ze problemen veroorzaken.

Samenvatting: De "Coterminous"-grens

Het artikel concludeert met een prachtig concept genaamd Coterminous Governance.

Stel je een cirkel voor die alles vertegenwoordigt wat de robot kan doen, en een andere cirkel die alles vertegenwoordigt wat de robot mag doen.
In slechte systemen komen deze cirkels niet overeen. Er zijn dingen die de robot kan doen maar niet mag (risico), of regels voor dingen die de robot niet kan doen (tijdverspilling).
In dit systeem zijn de twee cirkels identiek.
- Alles wat de robot kan bouwen, wordt automatisch beheerst.
- Alles wat de robot beheerst moet doen, is iets dat het daadwerkelijk kan bouwen.
- Er is geen "ongebaseerd risico" en geen "governance-theater".

Kortom: De auteurs hebben een wiskundige vesting voor AI gebouwd. Ze bewezen dat je een super-slimme, oneindig recursieve, Turing-complete robot kunt hebben, en dat deze nooit in staat zal zijn om een actie te ondernemen zonder uitdrukkelijke, geregistreerde en geverifieerde toestemming. En ze bewezen dit niet alleen met woorden, maar met een door de computer gecontroleerd wiskundig bewijs dat tijdens het proces echte bugs vond.

Op basis van het artikel "Mechanized Foundations of Structural Governance: Machine-Checked Proofs for Governed Intelligence" van Alan L. McCann (Mashin, Inc., april 2026), volgt hier een gedetailleerde technische samenvatting.

1. Probleemstelling

Het artikel adresseert de kritieke uitdaging van het governen van cognitieve workflow-systemen (AI-agenten) om te waarborgen dat alle computationele effecten (I/O, netwerkoproepen, staatwijzigingen) uitsluitend plaatsvinden onder strikte autorisatie.

De Kloof: Bestaande AI-veiligheidsmethoden (zoals RLHF, guardrails) vertrouwen vaak op gedragsgerichte training of filtering achteraf, wat kwetsbaar is voor adversariële invoer en geen structurele veiligheid garandeert.
Het Risico: Zonder formele garanties bestaat het risico op "ongoverned capabilities" (waarbij een agent niet-geautoriseerde acties uitvoert) of "governance theater" (beleidsregels die bestaan maar de werkelijke systeemgedragingen niet dekken).
Het Doel: Een wiskundig rigoureus kader tot stand brengen waarin governance structureel is, uniform over alle niveaus van recursie, en wiskundig bewezen compleet is ten opzichte van de expressiviteit van het systeem.

2. Methodologie

De auteurs maken gebruik van formele verificatie met de Coq bewijshulp (versie 8.19) om de theorie van structurele governance te mechaniseren.

Interactiebomen (ITrees): Programma's worden gemodelleerd als co-inductieve interactiebomen (itree), die oneindige gedragingen voorstellen waarbij knopen pure waarden (Ret), stille stappen (Tau) of zichtbare gebeurtenissen (Vis) zijn. Dit maakt redeneren over niet-terminerende programma's mogelijk.
Geparameerd Co-inductie: Met behulp van de paco-bibliotheek bewijzen de auteurs eigenschappen over oneindige uitvoeringstraces, waarbij wordt gewaarborgd dat veiligheid "voor altijd" geldt en niet slechts voor eindige testgevallen.
Categorische Semantiek: Het systeem wordt geformaliseerd als een Kleisli-categorie (Category Mashin), waarbij cognitieve workflows worden behandeld als morfismen. Dit maakt de toepassing van categorietheorie mogelijk om compositieve sluiting en expressiviteit te bewijzen.
Geverifieerde Interpreter Specificatie: Om de kloof te overbruggen tussen abstracte wiskunde en ingezet code, hebben de auteurs een Coq-specificatie gemaakt van de vertrouwens- en capabiliteitslogica van de runtime. Dit is getest tegen de daadwerkelijke BEAM-runtime (Elixir) met eigenschapsgedreven testing, gebruikmakend van meer dan 70.000 willekeurige invoerwaarden.

3. Belangrijkste Bijdragen & Resultaten

Het artikel presenteert vijf fundamentele resultaten (drie gemechaniseerd in Coq, twee op papier bewezen) en een zesde bijdrage die theorie met praktijk verbindt.

A. Het Co-inductieve Veiligheidspredicaat (`gov safe`)

Gemechaniseerd: Ja.
Definitie: Een co-inductief predicaat geïndexeerd door een boolean toestemmingsvlag. Het vat samen of een programma I/O uitvoert uitsluitend na het passeren van governance-controles.
Kerninzicht: I/O-gebeurtenissen zijn strikt verboden tenzij de toestemmingsvlag true is (gesteld door governance-fasen). Governance-gebeurtenissen zelf zijn altijd veilig.
Resultaat: Bewezen dat elk programma dat via de governance-operator G wordt geïnterpreteerd, voldoet aan gov safe, terwijl "bloot" I/O (ongoverned) het predicaat niet haalt.

B. Governance-Invariantie Theorema

Gemechaniseerd: Ja.
Concept: Governance moet gelden op elk niveau van meta-recursie (bijvoorbeeld een governor die een governor bewaakt).
Resultaat: Het typesysteem dwingt uit dat het type van een machine op niveau $n+1$ definitorisch gelijk is aan niveau $n$ . Derhalve is governance bij constructie uniform; geen enkel recursieniveau kan aan governance "ontsnappen".

C. Voldoende Theorema

Gemechaniseerd: Ja.
Concept: Bewijst dat een systeem expressief compleet is (elk discreet intelligent systeem kan representeren) met slechts vier atomaire primitieven:
1. code (pure berekening)
2. reason (orakel-gemedieerde inferentie, bijv. LLM-oproepen)
3. memory (persistent opslag)
4. call (recursieve oproep)
Resultaat: Deze primitieven vormen een gesloten categorie en kunnen een Turing-machine (Register Machine) simuleren binnen de governede architectuur. Dit bewijst dat Turing-compleetheid en governance niet wederzijds uitsluitend zijn.

D. Alternerende Normaalvorm (Papiertbewijs)

Gemechaniseerd: Nee (Papiertbewijs).
Concept: Elke machine kan worden ontbonden in een canonieke reeks van afwisselende codelagen (pure berekening) en effectlagen (governed I/O).
Betekenis: Biedt een standaardrepresentatie voor programmaanalyse, waarbij pure logica wordt gescheiden van bijwerkingen.

E. Noodzakelijkheid Theorema (Papiertbewijs)

Gemechaniseerd: Nee (Reductie tot Rice's Theorema).
Concept: Bewijst dat een architectonisch ondoorzichtig component (de reason-primitief) wiskundig noodzakelijk is voor semantische oordelen.
Logica: Door te reduceren tot Rice's Theorema tonen de auteurs aan dat geen enkel puur berekenbaar, transparant systeem niet-triviale semantische eigenschappen kan beslissen (bijv. "Is deze output feitelijk correct?") voor alle invoer. Bijgevolg is een "black box"-orakel vereist om de beslisbaarheidslus te doorbreken.

F. Geverifieerde Interpreter Specificatie (Runtime Connectie)

Gemechaniseerd: Ja (Specificatie + Testing).
Methode: Formalisering van de vertrouwens-, capabiliteits- en hash-ketenlogica van de BEAM-runtime in Coq.
Validatie: Eigenschapsgedreven testing vergeleek de Coq-specificatie met de draaiende BEAM-runtime met behulp van 70.000+ willekeurige directive-sequenties.
Uitkomst: Nul meningsverschillen na het oplossen van een latente bug die werd ontdekt bij het 188e testgeval. De bug was een mismatch tussen de capabiliteitstaxonomie en de interpreterlogica, onzichtbaar voor unit-tests maar opgepikt door de formele specificatie.

4. Betekenis en Impact

Coterminous Governance

Het artikel introduceert het concept van Coterminous Governance, waarbij de grens van wat het systeem kan uitdrukken (Expressiviteit) identiek is aan de grens van wat wordt governed (Veiligheid).

Geen Ongoverned Risico: Omdat het systeem Turing-compleet is binnen de governance-grens, bestaat er geen enkele capabiliteit die niet wordt governed.
Geen Governance Theater: Omdat governance alle uitdrukbare gedragingen dekt, bestaan er geen beleidsregels die niet corresponderen met werkelijke systeemacties.

De "Wetten van Governed Intelligence"

De resultaten zijn samengevat in vier machine-gecheckte wetten:

Berekening heeft geen Effect: Pure code verklaart intentie; alleen governede grenzen voeren effecten uit.
Governance is de Grens: Governance is structureel en geldt op elke diepte van recursie.
Provenance is het Systeem: Elk effect wordt vastgelegd in een vervalvrije keten.
Het Systeem kan zichzelf niet voltooien: Semantisch redeneren vereist een ondoorzichtig orakel (bewezen via Rice's Theorema).

Praktische Validatie

De ontdekking van een echte bug in de capabiliteitsboom van de productieve BEAM-runtime via formele specificatietesting demonstreert de praktische bruikbaarheid van deze aanpak. Het valideert dat formele methoden subtiele integratiefouten kunnen detecteren die traditionele unit-tests missen.

5. Conclusie

Dit werk vertegenwoordigt een paradigma-shift in AI-veiligheid, van probabilistische/gedragsmatige garanties naar deterministische/structurele garanties. Door 454 theorema's te mechaniseren met nul toegestane lemmata en deze te verbinden met een ingezet runtime, bieden de auteurs het eerste formele bewijs dat een Turing-compleet AI-systeem structureel kan worden governed zonder expressiviteit op te offeren of oneindig vertrouwen in de onderliggende componenten te vereisen. De architectuur waarborgt dat "governance" geen add-on is, maar de fundamentele substraat van de werking van het systeem.