イーサリアム基金がAIで脆弱性を掘り起こす：成功してセキュリティ上の欠陥を発見し、人の手による監査はなお代えられないと主張

BlockBeatsのメッセージによると、7月11日にイーサリアム財団が、同プロトコルのセキュリティチームがAIエージェントを活用してイーサリアムクライアントソフトに対する脆弱性の発掘を行い、ネットワークのセキュリティ性を高めたと明らかにした。テスト期間中、AIはGossipsubメッセージ伝播プロトコル内に存在する脆弱性を正常に発見した。この脆弱性は、リモート攻撃によりノードプログラムのクラッシュを引き起こし、検証者ノードをオフラインにすることを可能にする。現在、この脆弱性は修正が完了しており、CVE-2026-34219として登録されている。

ただし、イーサリアム財団は、AIの最大の課題は脆弱性の発見そのものではなく、実際の脆弱性と誤検知（誤報）を区別することだとしている。AIは脆弱性の説明、影響分析、攻撃コードを生成するだけでなく、もっともらしく見えて存在しない問題を提示する可能性もあるため、依然としてセキュリティ研究者による入念な検証が必要だ。財団は、よくある誤報の類型として3つを挙げている。すなわち、テスト環境でのみ発生するクラッシュ、実環境では利用できない攻撃経路、そして形式化検証における無効な証明である。

さらにイーサリアム財団は、AIは現時点では単一のコード上の問題の分析により長けている一方で、複数の正当な操作を組み合わせて成立する複雑な攻撃チェーンを識別する能力はいまだ限られていると考えている。こうした攻撃こそが、今年複数の暗号プロトコルが攻撃を受けた主な原因だ。今後、イーサリアム財団は、潜在的な攻撃経路の生成にAIを活用し、それを人手および自動化テストと組み合わせて検証することで、脆弱性の発見効率と正確性をさらに高める計画だ。