Фонд Ethereum: узкое место в аудите ИИ сместилось с обнаружения уязвимостей на проверку уязвимостей.

吴说获悉, команда по безопасности протоколов Ethereum Foundation опубликовала статью, в которой обобщены методы и опыт использования AI-агентов для аудита кода протокола Ethereum. Команда заявила, что AI-агенты уже выявили реальные уязвимости безопасности, включая удалённую эксплуатацию уязвимости краха в libp2p Gossipsub (CVE-2026-34219), но основным узким местом аудита безопасности стал переход от обнаружения уязвимостей к проверке их реальности.

В статье отмечается, что AI лучше подходит в качестве инструмента для поиска уязвимостей, а не в качестве конечного судьи. Он хорошо сочетает код и спецификации для выявления потенциальных уязвимостей, проверки инвариантов безопасности и генерации кода для воспроизведения уязвимостей, но также склонен ошибочно считать фактически недостижимые цепочки вызовов достижимыми, преувеличивать серьёзность уязвимостей и имеет ограниченные возможности по выявлению уязвимостей, требующих выполнения нескольких легитимных шагов в определённой последовательности. Поэтому команда требует, чтобы все кандидаты в уязвимости могли быть независимо воспроизведены в реальном коде, прошли независимую проверку и дедупликацию, и окончательное решение о том, является ли уязвимость действительной, является ли она дублирующимся отчётом и когда её раскрывать, принималось человеком.