Fundação Ethereum: o gargalo da auditoria de IA passou de encontrar vulnerabilidades para verificar vulnerabilidades.

O Wu disse que a equipa de segurança de protocolo da Fundação Ethereum publicou um artigo resumindo os métodos e experiências de usar agentes de IA para auditar o código do protocolo Ethereum. A equipa afirmou que os agentes de IA já descobriram vulnerabilidades de segurança reais, incluindo a vulnerabilidade de crash remoto acionada pelo libp2p Gossipsub (CVE-2026-34219), mas o principal gargalo da auditoria de segurança passou de descobrir vulnerabilidades para verificar a veracidade das mesmas.

O artigo considera que a IA é mais adequada como ferramenta de busca de vulnerabilidades do que como juiz final, sendo boa para combinar código e especificações para encontrar potenciais vulnerabilidades, verificar invariantes de segurança e gerar código de reprodução de vulnerabilidades, mas também tende a julgar incorretamente cadeias de chamadas inalcançáveis como alcançáveis, exagerar a gravidade das vulnerabilidades e ter capacidade limitada para identificar vulnerabilidades que exigem vários passos legítimos acionados numa ordem específica. Portanto, a equipa exige que todas as vulnerabilidades candidatas possam ser reproduzidas de forma independente no código real, passem por verificação independente e desduplicação, e finalmente seja confirmado por humanos se a vulnerabilidade é válida, se é um relato duplicado e quando deve ser divulgada.