Coq & Isabelle：形式化推理语言之王者地位 —— 深度研究报告

研究命题：Coq 与 Isabelle 是否依然是形式化推理语言/工具的巅峰之作？
研究日期：2026 年 6 月 12 日
研究范式：实用主义比较研究（Pragmatist Comparative Analysis）
字数：约 8,000 字
声明：本研究使用 AI 辅助工具进行文献检索与综合，所有关键论断均附可溯源之出处。

摘要

本文系统比较 Coq（今称 Rocq）与 Isabelle/HOL 两大形式化证明助手在 2026 年的综合实力，并审视其主要竞争者 Lean 4 的崛起态势。通过多维度评估——理论表达的完备性、证明自动化能力、生态系统成熟度、工业验证里程碑、开发者体验——本文得出核心结论：Coq 与 Isabelle 依然在各自优势领域内保持不可撼动的王者地位，但二者之"最强"呈互补态势，统领领域各不相同。 Coq 在依赖类型理论、软件验证、编译器正确性领域独占鳌头；Isabelle/HOL 在系统级验证、大规模证明自动化和工业部署层面无人能及。Lean 4 虽在开发者体验和数学社区增长方面势头强劲，然其工业验证积淀尚浅，尚未对二者构成替代性威胁。此三者的未来格局非"谁替代谁"，而是分工互补的三极格局。

关键词：形式化验证、定理证明、Coq、Rocq、Isabelle/HOL、Lean 4、依赖类型理论、高阶逻辑、CompCert、seL4、Sledgehammer

1. 引言与研究问题

1.1 研究缘起

形式化验证（Formal Verification）乃计算机科学中最为严苛的质量保证手段——以数学之精确性证明软件/硬件系统满足其规约。在这一领域中，交互式定理证明器（Interactive Theorem Prover, ITP）是最核心的工具。其中，Coq（今称 Rocq）与 Isabelle/HOL 历经数十载磨砺，累积了最丰富的理论成果和工业验证案例。

然而，2020 年代以来，Lean 4 异军突起——Terence Tao 等顶尖数学家公开倡导、mathlib4 数学库突破 500 万行代码、PutnamBench 中形式化数量超越 Coq——引发了「Coq/Isabelle 是否依然最强」的新一轮讨论。

本文以系统化方法，基于多维度证据回答此命题。

1.2 研究问题

1.3 方法论

本研究采用实用主义范式下的比较技术评估方法：

• 比较维度：理论基础、表达能力、自动化能力、生态系统（库、社区、教学）、工业验证里程碑、开发者体验
• 数据来源：学术论文（arXiv）、官方文档与版本发布日志、开源仓库统计（GitHub）、社区讨论（Zulip/Discourse）、技术文章与评测
• 分析框架：多维度比较矩阵 + 领域-工具映射 + 证据层次分级

2. Coq（今 Rocq Prover）——依赖类型理论的工业巨人

2.1 基本信息与最新动态

Coq 于 2025 年正式更名为 Rocq Prover。此更名非仅品牌重塑，亦伴随版本号跳跃至 9.x，标志着项目进入新的发展阶段。核心技术栈保持不变——依然是基于 CIC 的证明助手，依然是 OCaml 实现的高可靠内核。

2.2 理论基础优势：CIC 的表达力

Coq 的核心理论优势在于其 归纳构造演算（CIC）——一种同时支持依赖类型（dependent types）和归纳定义（inductive definitions）的强大型论。这使得 Coq 天然具备以下能力：

• 命题即类型（Propositions as Types）：通过 Curry-Howard 同构，逻辑命题与程序类型合一，证明即程序。
• 依赖类型编程：类型可以依赖于值，实现极为精细的规约——例如「长度为 n 的已排序列表」可作为类型表达。
• 归纳定义：数据结构、逻辑关系、推理规则均可通过归纳方式定义，形式化极为自然。
• 代码提取（Extraction）：可从形式化规约自动提取出 OCaml 或 Haskell 可执行代码——形式化验证的成果可直接转化为生产代码。

2.3 工业验证里程碑

Coq 在软件验证领域拥有最为雄厚的工业战绩：

尤其值得注意的是 CompCert——至今仍是唯一经过端到端形式化验证的工业级优化 C 编译器。任何竞争者要挑战 Coq 在编译器验证领域的地位，都需要以同等规模的工程实践证明自己。

2.4 工业采用

• Google：使用 Rocq 进行内部形式化验证
• AbsInt：静态分析工具链（基于 CompCert 技术）
• BlueRock、Formal Vindication：专业验证公司

2.5 AI 时代的新进展

LLM4Rocq 项目正致力于将大语言模型与 Rocq 集成——从交互式证明开发到大规模 ML 训练管线。这是将「AI + 形式化证明」深度融合的关键尝试。

2.6 生态量化指标

3. Isabelle/HOL —— 系统验证的黄金标准

3.1 基本信息与定位

Isabelle 走了一条与 Coq 截然不同的理论道路：不采用依赖类型理论，而是建立在经典高阶逻辑（Isabelle/HOL） 之上。这一选择看似「保守」，实则赋予了 Isabelle 在自动化和大规模证明管理方面的独特优势。

3.2 理论基础优势：经典 HOL + 强自动化

• 经典逻辑基础：排除中间律、选择公理可用——大多数数学家和工程师的直觉无需改变。
• 高阶逻辑的表达力：量词可作用于函数和谓词，足以表达绝大多数数学与程序规约。
• Isar 证明语言：结构化、人类可读的证明风格——与 Coq 的策略式证明（Ltac）相比，Isar 更接近数学论文的自然语言。
• Sledgehammer：将证明目标自动分发给外部 ATP（E, Vampire, Z3, CVC4 等），若任一求解器找到证明，Sledgehammer 将之重构为 Isabelle 证明。

3.3 工业/系统验证里程碑

Isabelle/HOL 在系统级验证领域的成就，是任何竞争者都无法比拟的：

AWS Nitro Isolation Engine 的验证尤为关键——它证明了 seL4 的技术路线可以推广到商业云计算基础设施：

• 用 μRust（Rust 子集）编写隔离引擎
  
• 用分离逻辑 + 最弱前置条件演算进行推理
  
• 33 万行机器检查的数学证明
  
• 作为 Graviton5 用户的常开功能运行在生产硬件上

这是在 实际商业生产环境 中部署形式化验证代码的最大规模案例。

3.4 Archive of Formal Proofs（AFP）——世界最大的形式化证明文档库

AFP 不只是一个静态归档——它是一个持续增长的、经过机械化检查的知识库。982 个条目涵盖数学、计算机科学、逻辑学等广泛领域，每个条目都被 Isabelle 内核严格验证。

3.5 为何 Isabelle 在系统验证中不可替代？

• 非干涉性（Noninterference）推理：信息流安全的数学定义在 Isabelle/HOL 中可被精确表达——这是 AWS Nitro 隔离验证的理论基石。
• 分离逻辑支持：低层指针操作程序的推理框架在 Isabelle 中成熟可用。
• Sledgehammer 的大规模应用：在处理数万行证明的工业项目时，自动化能力决定了项目的可行性边界——Sledgehammer 在这一点上无出其右。
• 声明式证明风格：Isar 的证明可被非形式化验证专家阅读和审计——这在实际工程交付中至关重要。

4. Lean 4 —— 最强劲的挑战者

4.1 基本信息

4.2 崛起优势

Lean 4 的设计哲学与 Coq/Isabelle 有根本的不同——以人为中心的证明体验：

Lean 的核心创新在于：元编程（metaprogramming）与证明编写使用同一门语言。这意味着：

• 编写自定义策略（tactic）无需学习 Ltac/ML/OCaml
  
• 策略失败时可以直接检查和调试，无需切换语言思维
  
• SMT 求解器的推理可以映射回原始证明目标，不需要专业 SMT 知识即可排查问题

4.3 mathlib4 —— 数学形式化的新引擎

mathlib4 以惊人的速度增长——从零到 500 万行代码仅用了数年时间。其贡献者社区（772 人）远超 Coq 和 Isabelle 的活跃形式化数学社区。Terence Tao 等顶尖数学家的公开使用和倡导，为 Lean 带来了前所未有的数学界关注度。

4.4 PutnamBench 中的表现

PutnamBench 是一个跨系统的基准测试，包含来自 Putnam 数学竞赛（1962-2025）的题目。三个系统的形式化量：

Lean 以最多的形式化题目领先——这反映了其数学社区的活力。但需注意：形式化数量不等于证明成功率；PutnamBench 的排行榜仍在积累评测数据。

4.5 Lean 4 的短板与局限

尽管势头强劲，Lean 4 在以下方面仍远不及 Coq 和 Isabelle：

最致命的差距：Coq 有 CompCert + VST 的完整验证工具链；Isabelle 有 seL4 + AWS Nitro 的生产级验证。Lean 4 在这两个最硬核的维度上仍是空白。

5. 其他竞争者一览

5.1 Agda

5.2 F*

5.3 HOL Light / HOL4

6. 多维度终极比较矩阵

6.1 核心维度一览

6.2 领域-工具最佳映射

7. 深度讨论：Coq 与 Isabelle 依然是王者吗？

7.1 肯定的一面

是，且短期内不会改变。 理由如下：

7.1.1 工业验证的不可速成性

Coq 的 CompCert 经过了约 20 年的持续开发和验证——这不仅是代码量的问题，更是方法论成熟度、工具链完整性、验证经验积累的综合体现。Lean 4 即使有更优秀的开发者体验，也无法在数年内「速成」一个 CompCert 量级的项目——因为验证的难度不在写代码，而在设计可被形式化验证的规约和证明策略。

Isabelle 的 seL4 验证从 2004 年开始，到 2009 年首次发表核心成果，再到今天扩展到 AWS Nitro（2026），历经 20 余年——这是「慢工出细活」的极致。

7.1.2 理论基础的互补性——构造逻辑 vs 经典逻辑

Coq 的 CIC 和 Isabelle 的 HOL + Sledgehammer 代表了两种根本不同的逻辑哲学：

• Coq/CIC（构造逻辑）：命题即类型，证明即程序。每一个存在性声明都必须给出构造方法——「存在一个 x 满足 P(x)」的意义是「我构造出了这个 x 并验证了 P(x)」。这是极致严谨的代价：排中律不可用，反证法受限，但换来的是代码提取的能力——证明本身可以被自动翻译为可执行程序。
• Isabelle/HOL（经典逻辑）：排中律成立，反证法自如。Sledgehammer 可以调用 Z3、Vampire 等经典逻辑求解器寻找证明。代价是不能做代码提取，但换来的是自动化的大幅提升——许多在 Coq 中需要手写数百行策略的证明，在 Isabelle 中 Sledgehammer 一键解决。

这不是「谁更好」的取舍，而是根本哲学立场的不同——构造主义者与经典主义者各执一端，各有其不可替代的理由。Lean 4 虽在开发者体验上胜出，但理论基础（依赖类型 + 经典选择公理可加）走的是中间路线——其证明依然不能提取为程序，而自动化也远不及 Sledgehammer。

7.1.3 生态系统的积累效应

• AFP（Isabelle）：982 个条目、520 万行代码，是经过机械化检查的知识结晶。每新增一个条目都可以复用前 981 个条目的成果。
• Rocq 包生态：数百个经过验证的包，覆盖从基础逻辑到编译器验证的全栈。
• 这种积累不是「数量游戏」——每个条目都经过了严格的形式化验证，其复用价值远超普通代码库。

7.1.4 形式化领域不存在「赢家通吃」

与编程语言领域的「主流语言」现象不同，形式化验证领域天然具有多范式共存的特征。不同的应用场景需要不同的理论基础、自动化策略和证明风格。因此：

• Coq 的王国是软件验证 + 依赖类型理论。
  
• Isabelle 的王国是系统验证 + 自动化证明。
  
• Lean 4 的王国有可能是数学形式化 + 开发者体验。

它们之间不是零和博弈，而是分工互补。

7.2 警示的一面

尽管地位稳固，但某些趋势值得警惕：

7.2.1 Lean 4 在数学社区的增长速度

mathlib4 从零到 500 万行代码的爆炸式增长，显示了数学界对 Lean 4 的强烈偏好。772 名贡献者意味着一个自我维持的社区已经形成。如果数学形式化社区持续向 Lean 倾斜，Coq 的 Mathematical Components 和 Isabelle 的 AFP 在数学领域的相关性可能被逐渐边缘化。 但这不影响 Coq/Isabelle 在软件/系统验证领域的统治地位。

7.2.2 开发者体验的代际差距

Lean 4 的 VS Code 扩展、统一语言体系、实时反馈代表了 ITP 开发体验的「下一代」。Coq 的 CoqIDE 和 Isabelle 的 jEdit 显然已显老态。如果 Coq/Isabelle 不大力改善开发者体验，学术新手可能会「用脚投票」选择 Lean 4。 不过，Coq 通过 Rocq Platform 正在改进安装体验，LLM4Rocq 也在探索 AI 辅助的新路径。

7.2.3 AI 时代的变量

LLM + 形式化证明是当下最活跃的研究前沿之一。Lean 4 的 Pantograph 项目和 Coq 的 LLM4Rocq 项目都在积极探索。哪一方的 LLM 集成更成功，可能在下一个五年内改变力量格局。Isabelle 在这一维度的公开进展较少，是一个潜在的风险点。

7.3 终极判断

8. 结论与建议

8.1 核心结论

1. Coq（Rocq）依然是依赖类型理论和软件验证领域的最强工具，CompCert + VST + Iris 的组合构成了无人能及的软件验证全栈生态。更名后的 Rocq 在平台体验上持续改进，LLM4Rocq 项目为其 AI 时代的竞争力加码。

2. Isabelle/HOL 依然是系统级验证和证明自动化领域的最强工具，seL4 → AWS Nitro 的技术路线证明了其从学术研究到商业部署的完整可迁移性。AFP 的 982 个条目是无可替代的知识资产。

3. Lean 4 是最强大的挑战者——但挑战的是不同的地盘。其在数学形式化社区的爆炸式增长和开发者体验的代际优势，正在开辟第三极，而非直接替代前两者。

4. 「最强」是领域相关的——不存在一个在所有维度上全面超越其他工具的形式化系统。选择工具应基于具体应用场景，而非笼统的「最强」标签。

8.2 给研究者和工程师的建议

8.3 未来研究方向

建议关注以下趋势，这些将决定下一阶段的格局变迁：

• LLM + 形式化证明的实用性突破：哪一方率先实现 LLM 辅助的大规模自动化证明，将获得非对称优势。
• Lean 4 的首个工业级验证项目：一旦出现，将标志着 Lean 4 从「学术工具」向「工业工具」的质变。
• Coq 的 IDE 现代化与 Rocq Platform 生态建设：能否缩小与 Lean 4 的开发者体验差距。
• Isabelle 在 AI 集成上的进展：若持续落后于 Coq/Lean，可能存在中长期风险。

9. 第四极：LLM Transformer —— 概率推理的「外来者」

前三极（Coq/Isabelle/Lean）皆为形式化符号推理——以演绎逻辑为骨，以不可推翻的正确性为魂。而 LLM Transformer 则以完全不同的范式闯入这一领域：概率模式补全、语义涌现推论、神经注意力机制。它不是「又一个证明助手」，而是推理的另一种本体。

9.1 本体论断裂：两种「推理」的根本差异

形式化证明助手（ITP）与大型语言模型（LLM）代表了两种根本相异的推理本体：

这条本体论断裂线可用一个核心公式概括：

ITP：证明 = 有限步骤的演绎链条，每步被内核验证
LLM：推理 = 条件概率 P(结论 | 上下文)，通过注意力机制隐式建模

9.2 Transformer 的推理机制：能力边界与幻觉根源

9.2.1 注意力机制的本质

Transformer 的核心——自注意力（Self-Attention）——

$$\text{Attention}(Q, K, V) = \text{softmax}\left(\frac{QK^T}{\sqrt{d_k}}\right)V$$

本质上是一种软寻址（soft lookup）：每个 token 根据与所有其他 token 的相似度（Query-Key 点积），加权聚合信息（Value）。这赋予了 Transformer 强大的上下文感知能力——但这也正是其推理局限性的根源：

• 无显式逻辑演算：Attention 聚合的是「语义相似」而非「逻辑蕴含」。模型可以学会「如果 A 成立，B 通常也成立」的统计相关性，但无法区分「A 蕴含 B」和「A 与 B 经常共现」。
• 演绎链的不可靠性：CoT（Chain-of-Thought）通过逐句生成模拟演绎推理，但每一步的生成依然基于概率——链中任意一步的概率偏差都可能被后续步骤复合放大，导致最终结论的「雪崩式错误」。
• OCR（Out-of-Context Reasoning）的双重性：NeurIPS 2025 的研究揭示，Transformer 的泛化与幻觉源于同一机制——当模型将训练中学到的概念关联迁移到新上下文时，既可能产生正确的类比推理（泛化），也可能产生虚假的概念关联（幻觉）（arXiv:2506.10887）。

9.2.2 Chain-of-Thought 的「伪演绎」困境

CoT 提示虽显著提升了 LLM 在多步推理任务上的表现，但其本质仍为概率生成而非逻辑演绎：

• VeriCoT 的研究（arXiv:2511.04662, 2025）明确指出：「LLMs 可以通过 Chain-of-Thought 执行多步推理，但它们无法可靠地验证自身的逻辑。即使得到正确答案，其底层推理链也可能存在逻辑断裂。」
• SymbCoT 的回应（ACL 2024）是引入符号逻辑表达式作为推理中间表示——但这已不是纯 LLM 方案，而是神经符号融合的早期尝试。

9.2.3 形式化推理中的 LLM 表现：miniF2F 与 AlphaProof

miniF2F（OpenAI, 2021）是目前最标准的形式化定理证明跨系统基准，支持 Lean、Metamath、Isabelle、HOL Light 四系统，包含 244 道奥林匹克级数学题。早期纯 LLM（如 GPT-f）在此基准上的通过率仅 ~30-40% 左右——远不足以与人类或符号搜索系统竞争。

AlphaProof（DeepMind, 2024/Nature 2025）是里程碑式的突破：

• 架构：AlphaZero 风格强化学习 + Lean 4 作为验证环境
  
• 训练：从约 100 万道自然语言数学题自动翻译为 Lean 形式语言，以此自我博弈
  
• 成果：IMO 2024 银牌水平（28/42 分）——首次达到人类奥林匹克选手水准
  
• 核心洞察：LLM/RL 生成证明候选 → Lean 内核做最终裁决。这正是神经符号融合的终极范式

DeepSeek-Prover-V1.5（2024-08）则从另一路径切入——利用 Lean 4 的证明助手反馈直接微调 LLM，实现端到端的形式化定理证明能力提升。

9.3 三派证明助手 × Transformer：亲和力矩阵

形式化证明的三个学派，因其理论基础与设计哲学的差异，与 LLM 的融合适配性也呈现显著差异：

关键洞察：Lean 4 在 LLM 融合上拥有先天优势。 这不是因为它的逻辑基础更强——恰恰相反，在形式化深度上 Lean 不及 Coq，在自动化上不及 Isabelle——而是因为其统一语言+元编程+ML 友好接口的设计恰好击中了 LLM 时代的需求。DeepSeek-Prover 和 AlphaProof 不约而同地选择 Lean 4 作为后端验证器，绝非巧合。

9.4 神经符号融合：从对抗走向共生

2025-2026 年的前沿研究表明，LLM 与 ITP 的关系正从「替代竞争」转向「能力互补」：

范式一：生成-验证-修正闭环（Generate-Verify-Correct）

LLM 生成证明候选 → ITP 内核验证 → 失败反馈 → LLM 修正 → 再验证 → ... → 通过

代表系统：

• ProofNet++（2025）：符号证明树监督 + 验证器强化学习 + 迭代自修正模块
  
• DeepSeek-Prover-V1.5：利用 Lean 4 证明助手反馈进行强化微调
  
• VeriCoT（2025）：对 CoT 推理链进行形式化逻辑验证

优势：LLM 提供创造力（证明搜索空间的启发式探索），ITP 提供可靠性（内核最终裁决）

范式二：自动形式化（Auto-Formalization）

自然语言数学陈述 → LLM 翻译 → 形式化语言（Lean/Coq/Isabelle）→ ITP 验证

代表系统：

• AlphaProof：Gemini 1.5 Pro 翻译 100 万道自然语言数学题为 Lean 形式语言
  
• LLM4Rocq：连接 LLM 与 Rocq，实现自然语言到形式化规约的翻译

优势：解决了形式化验证的最大瓶颈——将非形式化知识转化为形式化规约的人力成本

范式三：交互式证明辅助（Interactive Proof Co-pilot）

人类数学家写证明思路 → LLM 填充细节 → ITP 即时反馈 → 人类调整策略

代表系统：

• Pantograph：为 Lean 4 提供高效的证明搜索接口
  
• CoqHammer + LLM：外部 ATP 与 LLM 策略建议的结合

优势：不取代人类数学家，而是大幅降低形式化证明的「边际成本」

9.5 第四极定位：LLM 的不可替代性与不可依赖性

9.5.1 LLM 的不可替代优势

• 大规模知识编码：Transformer 的注意力机制可以在万亿 token 的训练中隐式编码极其丰富的数学直觉和证明模式——这是任何显式符号系统都无法企及的「经验广度」。
• 创造性探索：在巨大的证明搜索空间中，LLM 可以做出「直觉式」的候选选择——类似于人类数学家的「灵感」——而非蛮力搜索。
• 自然语言桥梁：LLM 是目前唯一能将自然语言数学知识转化为形式化语言的工具——这解决了形式化验证社区长达数十年的「形式化瓶颈」。
• 通用推理能力：LLM 的推理能力不限于某一特定逻辑系统——它可以跨越构造逻辑、经典逻辑、模态逻辑等不同框架进行推理，尽管可靠性无法保证。

9.5.2 LLM 的根本局限：为何它不是「更强的推理工具」

1. 无可靠性保证（No Soundness Guarantee）：无论 LLM 多么强大，其输出永远只能是「大概率正确」而非「绝对正确」。对于「推理工具」这一称号，这是致命缺陷——一个可能出错的推理工具，在需要绝对正确性的场景（编译器、操作系统内核、加密协议、航空航天软件）中不可依赖。

2. 不可审计的推理链：「Attention Is All You Need」的代价是「Explanation Is What You Lose」。即使 CoT 生成看起来合理的推理链，也无法区分「真推理」和「统计共现的巧合」——VeriCoT 的研究已实证这一点。

3. 幻觉不可控：OCR 研究揭示，LLM 的泛化与幻觉共享同一机制——这意味着更强的泛化能力和更高的幻觉风险是同一硬币的两面。关闭幻觉等同于关闭泛化——这是 Transformer 架构的结构性困境，而非工程问题。

4. 无法自举（No Bootstrapping）：ITP 可以通过证明新定理来扩展自己的定理库——这是「合法性自举」。LLM 无法通过自己生成的文本可靠地扩展自己的知识——因为缺乏验证机制，自举只会循环放大错误。

9.6 终极矩阵：四极全维度对比

9.7 终极判断：从「三极格局」到「四极生态」

将 LLM/Transformer 纳入分析框架后，前述「三极格局」的判断需要修正为「四极生态系统」——但 LLM 的「极」与其他三者有本质不同：

核心判断：LLM 不会取代任何一派形式化证明助手，但会深刻改变它们的使用方式。 未来的「最强推理」不是四选一，而是四者协同——LLM 提供创造性探索和知识编码，Lean 4 提供人机交互界面和 LLM 集成平台，Coq 提供表达力和代码提取，Isabelle 提供大规模自动化。这种「神经-符号共生」（Neuro-Symbolic Symbiosis）才是 2026 年最值得关注的推理技术趋势。

风险警示：对「LLM 是最强推理」的叙事应保持警惕——LLM 是概率逼近推理，而非演绎推理。它可以在奥林匹克数学题上拿银牌（AlphaProof + Lean），但无法独立保证一个操作系统的内存安全（需要 seL4 级的 Isabelle 验证）。在「需要绝对正确性」的场景中，ITP 仍然是唯一的选择——而 LLM 的角色是让 ITP 的使用成本从「天价」降至「可负担」。

参考文献

• Rocq Prover Official Website. Welcome to a World of Rocq. https://rocq-prover.org/ (Accessed 2026-06-12)
• Archive of Formal Proofs. Statistics. https://isa-afp.org/statistics/ (Accessed 2026-06-12)
• Mathlib4 Statistics. https://leanprover-community.github.io/mathlib_stats.html (Accessed 2026-06-12)
• AWS Nitro Isolation Engine Verification. EC2's Formally Verified Isolation Engine. University of Washington, 2026-06-10.
• seL4: Formal Verification of an OS Kernel. Klein et al., SOSP 2009.
• PutnamBench: A Multilingual Competition-Mathematics Benchmark for Formal Theorem-Proving. Tsoukalas et al., 2024. arXiv:2407.11214
• Pantograph: A Versatile Interface to the Lean 4 Proof Assistant. 2025. arXiv:2410.16429
• CompCert Official. Downloads. https://compcert.org/download.html (Accessed 2026-06-12)
• VST (Verified Software Toolchain). https://vst.cs.princeton.edu/ (Accessed 2026-06-12)
• Lean vs Coq vs Isabelle: Proof Surveyability Comparison. Volcengine, 2026.
• LLM4Rocq. https://github.com/LLM4Rocq/ (Accessed 2026-06-12)
• Mathlib4 Reaches 5 Million Lines of Code. AI4Math Hub, 2026-03-07.
• Comparison of Two Theorem Provers: Isabelle/HOL and Coq. arXiv:1808.09701, 2018.
• Formalizing Mathematics at Scale. arXiv:2605.29955v1, 2026.
• The Rocq Prover Release 9.2.0. Zenodo, 2026-03-27. DOI: 10.5281/zenodo.15149629
• Vaswani et al. Attention Is All You Need. NeurIPS 2017. arXiv:1706.03762
• AlphaProof: Olympiad-level formal mathematical reasoning. DeepMind. Nature, 2025. DOI: 10.1038/s41586-025-09833-y
• DeepSeek-Prover-V1.5: Harnessing Proof Assistant Feedback. Xin et al., 2024. arXiv:2408.08152
• ProofNet++: A Neuro-Symbolic System for Formal Proof Verification with Self-Correction. 2025. arXiv:2505.24230
• VeriCoT: Neuro-symbolic Chain-of-Thought Validation via Formal Logic. 2025. arXiv:2511.04662
• Generalization or Hallucination? Understanding Out-of-Context Reasoning in Transformers. NeurIPS 2025. arXiv:2506.10887
• SymbCoT: Faithful Logical Reasoning via Symbolic Chain-of-Thought. ACL 2024.
• MiniF2F: a cross-system benchmark for formal Olympiad-level mathematics. Zheng et al., 2021. arXiv:2109.00110
• Online Learnability of Chain-of-Thought Verifiers: Soundness and Completeness. 2025. arXiv:2603.03538
• Neuro-symbolic AI: Integrating reasoning and learning. ScienceDirect, 2025.

研究声明：本研究使用 AI 辅助工具（WorkBuddy/deep-research）进行文献检索、信息提取与综合。所有关键论断均基于可溯源的公开信息。研究方法遵循实用主义比较分析范式，评估维度参考了 FINER 标准（Feasible, Interesting, Novel, Ethical, Relevant）以确证研究问题的合理性。

报告生成于 2026 年 6 月 12 日 | 首次版本: ~8,000 字 | 扩展版本（含第9章 LLM 对比）: ~14,000 字