Ethereum Foundation : le goulot d'étranglement de l'audit IA est passé de la découverte de vulnérabilités à la vérification de vulnérabilités.

Wu Shuo a appris que l'équipe de sécurité des protocoles de la Fondation Ethereum a publié un article résumant les méthodes et l'expérience de l'audit du code du protocole Ethereum à l'aide d'agents d'IA. L'équipe a indiqué que les agents d'IA ont déjà découvert des vulnérabilités de sécurité réelles, y compris la vulnérabilité de crash déclenché à distance dans libp2p Gossipsub (CVE-2026-34219), mais que le principal goulot d'étranglement de l'audit de sécurité est passé de la découverte des vulnérabilités à la vérification de leur authenticité.

L'article estime que l'IA est plus adaptée comme outil de recherche de vulnérabilités que comme juge final. Elle excelle à combiner le code et les spécifications pour découvrir des vulnérabilités potentielles, vérifier des invariants de sécurité et générer du code de reproduction de vulnérabilités, mais elle a aussi tendance à qualifier à tort des chaînes d'appels réellement inaccessibles comme accessibles, à exagérer la gravité des vulnérabilités et à avoir une capacité limitée à identifier les vulnérabilités qui nécessitent plusieurs étapes légitimes déclenchées dans un ordre spécifique.

Par conséquent, l'équipe exige que toutes les vulnérabilités candidates puissent être reproduites indépendamment dans le code réel, et qu'elles soient soumises à une vérification indépendante et à un dédoublonnage, avant qu'un humain ne confirme si la vulnérabilité est valide, si elle constitue un rapport en double et quand la divulguer.