- Ethereum Foundation привлекла ИИ-агентов.
- Они занимались поиском уязвимостей в коде сети.
- Организация объяснила, почему проверка ИИ важнее самого поиска багов.
Организация Ethereum Foundation рассказала о результатах использования координированных ИИ-агентов для аудита критически важного кода экосистемы Ethereum. Команда безопасности Protocol Security заявила, что инструменты уже помогли выявить реальные уязвимости, однако главным вызовом оказался не их поиск, а проверка достоверности результатов.
Одним из подтвержденных результатов стала уязвимость в компоненте libp2p gossipsub, который используется клиентами консенсусного уровня Ethereum для однорангового взаимодействия. Ошибку устранили и опубликовали под идентификатором CVE-2026-34219.
Не поиск багов, а проверка находок
В фонде подчеркнули, что самым большим открытием стала не способность моделей находить ошибки, а объем работы, необходимой для отделения настоящих уязвимостей от ложных срабатываний.
«ИИ-агенты находили баги — это не стало неожиданностью. Настоящим сюрпризом было то, насколько мало времени занимал их поиск и насколько много — отделение реальных уязвимостей от тех, что лишь выглядели настоящими», — отметили в Ethereum Foundation.
В команде сравнили ИИ-агентов с фаззерами (fuzzers), которые автоматически тестируют программный код. В то же время, в отличие от традиционных инструментов, агенты формируют не только сообщение об ошибке, но и объяснение, потенциальное влияние, оценку критичности и доказательство концепции (Proof-of-Concept).
Впрочем, в фонде подчеркнули, что ни одна находка не считается подтвержденной без независимого воспроизведения проблемы.
«Кандидат не является уязвимостью, пока не существует самодостаточный артефакт, который воспроизводит сбой в реальном коде и работает для человека, который его не создавал», — пояснили исследователи.
Для минимизации количества ложных срабатываний команда использует многоуровневую систему проверки. Каждый потенциальный баг проходит независимую валидацию, проверку на дублирование уже известных проблем и анализ того, может ли им реально воспользоваться злоумышленник.
ИИ стал инструментом, а не заменой исследователей
В Ethereum Foundation подчеркнули, что роль специалистов по безопасности не исчезла — она изменилась.
«ИИ не заменил исследователя безопасности. Он просто сместил фокус работы. Время, которое раньше тратилось на поиск гипотез, теперь уходит на их масштабную проверку», — говорится в материале.
Авторы также отметили, что окончательное решение по уязвимости всегда принимает человек, а не модель:
«Агенты предлагают. Они не решают, что является реальной уязвимостью, что дублирует известную проблему, а также что и когда нужно раскрывать».
В фонде добавили, что со стремительным развитием генеративного ИИ «узкое место» сместилось с поиска ошибок на оценку их достоверности.
Безопасность Ethereum все больше опирается на ИИ
Публикация продолжает курс Ethereum на интеграцию искусственного интеллекта в экосистему сети.
Ранее сооснователь Виталик Бутерин заявил, что использование ИИ для формальной верификации кода может стать одним из ключевых инструментов защиты смартконтрактов и критической блокчейн-инфраструктуры от атак.
Кроме того, недавно в экосистеме предложили стандарт ERC-8183 для условных платежей между ИИ-агентами, который призван заложить основу будущей экономики агентов.
Также Бутерин представил концепцию «третьей эры» Ethereum, в которой среди главных приоритетов развития сети названы безопасность, формальная верификация, приватность и квантовая устойчивость.
