Ein Beitrag von Boris Cherny zu TLA+ löste die übliche Online-Reaktion aus: 1 Million Aufrufe, Tausende von Lesezeichen und alle fragten sich, was TLA+ eigentlich bedeutet. Cherny nutzte Opus 5.5, um Teile des Claude Agent SDK mithilfe von TLA+ und Lean zu modellieren, und die Aufmerksamkeit folgte. Die eigentliche Frage ist, ob jemand es eigentlich erklären kann.
Was TLA+ tut
Der Name TLA+ lässt sich wie folgt aufschlüsseln: Temporale Logik der Handlungen, eine Art, zu beschreiben, was ein System kann und was immer oder irgendwann über es gelten muss. Cherny’s Beitrag baut auf früheren Beispielen auf und stärkt damit das Argument, dass sich TLA+ bei der agentenbezogenen Programmierung auszahlt, darunter ein Datadog-Beitrag zu harness-first agents.
Das Playground-Beispiel
Ein Blogbeitrag präsentiert eine interaktive Umgebung, in der drei Maschinen, bezeichnet als a, b und c, sich auf einen einzigen Anführer einigen müssen. Nur eine Anführerin kann jederzeit aktiv sein, sodass keine zwei Maschinen gleichzeitig die Rolle bekleiden. Benutzer arbeiten manuell durch Zustände und gehen Schritt für Schritt durch einen möglichen Ablauf, während ein Modellprüfer bereitsteht, um zu überprüfen, ob die Eigenschaft über die gesamte Zeit hinweg gilt.
Zustände und Aktionen
Ein TLA+-Modell besteht aus zwei Komponenten. Die erste ist ein Transitionssystem mit Zuständen – Schnappschüssen der Welt, wie z. B. wer die Kandidatenrolle innehat, wer für wen gestimmt hat, wer führt – und Aktionen, die diese verändern, darunter „a startet eine Wahl“ oder „b stimmt für a“. Die zweite Komponente besteht aus zeitlichen Eigenschaften, die beschreiben, wie sich Läufe im Laufe der Zeit entwickeln. „Es gibt niemals zwei Anführerinnen“ und „Eine Anführerin wird irgendwann gewählt“ dienen hier als Beispiele.
Sicherheit und Lebendigkeit
Sicherheit bedeutet, dass niemals etwas Schlechtes passiert. Der Modellprüfer im Playground erkundet jeden möglichen Zustand, findet alle 38 Zustände für drei Computer und bestätigt die Eigenschaft. Stufe 2 ändert eine Regel, sodass ein Computer zweimal abstimmen kann, was zu einer sechsstufigen Ausführung mit zwei Anführerinnen führt – einem Gegenbeispiel, das zeigt, dass das Modell fehlschlagen kann.
Eine Lebendigkeitsgarantie verspricht, dass irgendwann etwas Gutes geschieht. Ein System, das einfach unbegrenzt nichts tut, ist perfekt sicher, weshalb Level 3 des Spielplatzes den Punkt illustriert: ein einziger Tippfehler kann verhindern, dass irgendetwas passiert, die Sicherheitsprüfung wird aber trotzdem bestehen. Die Fairnessannahmen, die diesen Garantien zugrunde liegen, schließen Ausführungen aus, bei denen eine Aktion zwar möglich ist, aber niemals tatsächlich durchgeführt wird.
Was TLA+ nicht ist
Immer mehr Unternehmen übernehmen TLA+, und man findet es in einer Vielzahl von Organisationen im Einsatz, von AWS und MongoDB bis hin zu Datadog, wobei Kafka ein weiteres bemerkenswertes Beispiel unter vielen anderen ist. Das Tool hat jedoch drei wesentliche Einschränkungen.
- Es überprüft ein Modell der Software, nicht die Software selbst.
- Sein Hauptmodellprüfer untersucht nur endliche Instanzen.
- Es erzwingt keine Ordnung bei Übergängen und keine Wahrscheinlichkeitsverteilung.
Die Beweislücke
Es geht nicht darum, ob ein Agent TLA+ schreiben kann, was Interesse weckt. Die eigentliche Frage betrifft, was möglich wird, wenn Agenten zwischen Spezifikationen, Beweisen und echten Programmen wechseln können. Bei Reasonable gehört ein Teil der Bemühungen dazu, Modelle zu trainieren, damit Agenten diese Bewegung konsistent, zuverlässig und schnell durchführen können.
Die Verus-Verbindung
Verus hält seine Spezifikation, seinen Beweis und seinen Rust-Code alle in derselben Sprache. Reasonable hat ein System geschaffen, das 16.000+ TLA+-Spezifikationen mit Eigenschaften nimmt und daraus 3.000+ Beweise erzeugt, die maschinell überprüft wurden.
Warum es wichtig ist
Die Notation, die als TLA+ bekannt ist, bietet einen Weg, um präzise auszudrücken, was ein System darf und was immer oder irgendwann für es gelten muss. Die Verifikation beinhaltet die Bestimmung, ob jede vorstellbare Sequenz von Aktionen zulässig ist. Der Standard-TLA+-Modellprüfer, TLC, antwortet, indem er alle erreichbaren Zustände in einer begrenzten Instanz auflistet. Ein Beweis stellt dagegen die stärkere Behauptung auf, dass die Eigenschaft ohne Ausnahme gilt.
The Bottom Line
Chernys Tweet lenkte die Aufmerksamkeit auf TLA+, und die Spielwiese machte es einfach zu bedienen. Was aber am wichtigsten ist, ist das, was zwischen einer Spezifikation und einem funktionierenden Programm sitzt. Dort leisten die Agenten ihre Arbeit.
Key Facts Box – Meinungen zu Chernys TLA+-Account: 1 Million – Lesezeichen: Tausende – Maschinen im Playground-Beispiel: drei (beschriftet a, b und c) – Modellprüfer findet: 38 Zustände – Level-2-Ausführung: sechs Schritte, endend mit zwei Führungskräften – Sinnvolle Pipeline: 16.000+ TLA+-Spezifikation/Eigenschaftspaare verarbeitet – Maschinenüberprüfte Verus-Beweise generiert: 3.000+
Die TLA+-Sprache existiert schon seit einiger Zeit, obwohl das Internet erst kürzlich darauf aufmerksam geworden ist. Abzuwarten bleibt, wie es weitergeht.
Quellenmaterial: „Der Internet entdeckt TLA+. Und jetzt?,“ reasonable.io.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.