Искусственный интеллект нашел уязвимость в Ethereum, способную вывести валидаторов из строя, но доказать это должны были люди

Фонд Ethereum направил согласованные AI-агенты на программное обеспечение, используемое его валидаторами, и в результате обнаружил уязвимость, позволяющую удаленно вызвать сбой. Это открытие привело к выявлению ряда уверенных, но неверных заключений, которые на самом деле не были багами. Разработчики фонда использовали AI-агенты для поиска уязвимостей в системе обмена сообщениями gossipsub сети, обнаружив уязвимость, которая могла вывести валидаторные узлы из строя, однако она была исправлена и зарегистрирована как CVE-2026-34219. Эксперимент показал, что большая часть работы заключалась в отделении реальных багов от убедительных ложных срабатываний, поскольку AI-агенты генерировали детализированные, но часто вводящие в заблуждение описания тестовых сбоев, неосуществимых атак и тривиальных формальных доказательств. Поскольку AI-инструменты испытывают трудности с эксплойтами, которые разворачиваются на основе действительных шагов, таких как недавние атаки на Edel Finance и BONK, Фонд теперь использует агентов для предложения подозрительных последовательностей, одновременно полагаясь на традиционные тестирования и человеческую проверку для их подтверждения. Разработчики фонда Ethereum недавно запустили AI-агентов на программном обеспечении, которое использует Ethereum, надеясь выявить баги в рамках продолжающихся усилий по укреплению самой крупной блокчейн-сети по заблокированной стоимости. Хотя были найдены уязвимости, тщательная человеческая оценка все еще была необходима для разделения реальных багов и ложных срабатываний, что побудило команду по безопасности протокола опубликовать заметки с рекомендациями для более широкой экосистемы о том, как следует работать с AI. Ethereum работает на тысячах узлов, представляющих собой обычные компьютеры, которые запускают программное обеспечение сети, каждый из которых хранит копию цепочки и передает сообщения своим соседям. Валидаторы, узлы, которые ставят эфир и голосуют за то, какие блоки являются действительными, располагаются поверх этого уровня. Они работают только в том случае, если сообщения доходят до них. Баг, который нашли инженеры, находился в gossipsub. Этот недостаток позволял удаленной системе вызвать сбой, при котором программное обеспечение узла сталкивается с невозможным расчетом, сдается и отключается, тем самым выводя валидатора из строя до тех пор, пока оператор не перезапустит его. Эта проблема была быстро исправлена и раскрыта как ‘CVE-2026-34219’ с признанием команды. Однако более широкая проблема заключалась в отделении реальных багов от тех, которые уверенно маскировались под таковые. “Сюрпризом стало то, что очень мало работы ушло на их поиск, и гораздо больше на то, чтобы отличить реальные баги от тех, которые лишь выглядели реальными,” – отметил Никос Баксевас, автор сообщения. Сложность началась с того, что производит агент. Фаззер, стандартный инструмент, который подбрасывает неправильно сформированные данные программному обеспечению, пока что-то не сломается, возвращает сбой и запись о месте, где это произошло, что инженер может подтвердить за считанные минуты. Агент же возвращает созданный нарратив. Он отслеживает, как можно добиться недостатка, аргументирует, почему это важно, предлагает оценку серьезности и предоставляет работающий код, который демонстрирует атаку. Все это приходит в свободной прозе, читая одинаково, независимо от того, является ли баг реальным или вымышленным. Согласно данным фонда, три вида ложных срабатываний постоянно повторялись. Первое – это сбой, который происходит только в тестовой сборке, где компилятор включает проверки безопасности, которые отсутствуют в поставляемом программном обеспечении, поэтому ничего не ломается для реальных пользователей. Второе – это атака, которая работает только в том случае, если опасное значение вручную вставлено в программу, поскольку каждый путь, по которому мог бы зайти посторонний, отклоняет это значение. Третье возникло из формальной верификации, практики математического доказательства правильного поведения кода, где доказательство прошло, продемонстрировав что-то тривиально истинное, и ничего не сказало рецензентам о программном обеспечении. Каждое из этих испытаний никогда на самом деле ничего не тестирует, а агент пишет эту пустую версию так же быстро и убедительно, как и настоящую. Еще одной проблемой было то, что агенты хорошо разбираются в рассуждениях о едином моменте, но слабы в отношении багов, которые охватывают последовательность из индивидуально действительных шагов, где все в порядке, кроме порядка. Это описывает большинство эксплойтов, которые drain’или криптопротоколы в этом году, где методы атаки используют технические инструменты, которые в одиночку в порядке, но маскируют кражу, которая происходит в последовательности выполнения нескольких обычных шагов, ведущих к злонамеренному результату. Недавние атаки соответствуют этой модели. Эксплойт Edel Finance в начале этого месяца обошел точную ценовую ленту Chainlink через оболочку над ней, и в атаке на управление BONK покупка токенов, голосование и выполнение принятого предложения были обычными транзакциями. Ответ фонда заключается в том, чтобы позволить агенту предлагать, какие последовательности стоит тестировать, и в любом случае проводить тесты.