AIエージェントが競合状態（レースコンディション）を発見するためにTLA+のような形式手法を使用しているという最近の議論を受け、教育者や実務家は、そうしたツールの固有の限界を指摘しています。TLA+は、複雑な並行システムにおける安全性（safety）と活性（liveness）を保証する上で非常に効果的ですが、あらゆる種類の特性を本質的に検証できるわけではありません。
主な限界の一つは、TLA+が特性を表現するために論理式を必要とすることです。例えば、アプリケーションが正しく「鳥を認識するかどうか」といった人間的な概念を形式化できない場合、ツールはその証明を行うことができません。さらに、TLA+は、複数のステップ（例えば、2つの異なるアクションの特定のシーケンスなど）にわたる特性や、実時間や浮動小数点演算のような連続的なドメインにわたる特性を、ネイティブに定義することはできません。
より重大なのは、「到達可能性（reachability）」と「ハイパープロパティ（hyperproperties）」に関する限界です。TLA+の特性は、あらゆる振る舞いに対して暗黙的に量化されているため、特定の状態が「起こり得るか（到達可能性）」をネイティブにチェックしたり、異なる振る舞いを互いに比較したりすること（ハイパープロパティ）はできません。後者は、セキュリティや統計的な特性、例えば省電力モードが標準モードよりも一貫して少ない電力を使用しているかどうかの検証などにおいて、特に重要となります。
補助変数（auxiliary variables）の使用や自己合成（self-composition）といった手法を用いることで、これらの振る舞いを模倣することは可能ですが、これらは複雑さを増大させたり、精緻化（refinement）を損なったり、状態空間を指数関数的に拡大させたりする「ハック」として機能してしまいます。結局のところ、TLA+は並行論理におけるバグ発見のための強力なツールであり続けてはいますが、エージェント型ソフトウェア開発の複雑さに対する万能な解決策ではありません。
出典
- What TLA+ can and can't check （Hacker News Frontpage, 2026-09-30）