AI-аудит нашел настоящую уязвимость, но не радуйтесь раньше времени: воспроизведение и проверка — вот настоящая проблема, ручной финальный контроль не обойти.

В статье резюмируется, что AI-агенты могут помогать в аудите кода Ethereum и уже обнаружили реальную уязвимость CVE-2026-34219, включая libp2p Gossipsub. Основное узкое место сместилось с обнаружения на верификацию. AI хорошо умеет комбинировать код и спецификации для поиска уязвимостей и генерации воспроизведений, но может ошибочно считать недостижимые пути достижимыми, преувеличивать серьезность и недостаточно распознавать уязвимости, требующие многошаговой активации. Поэтому требуется, чтобы все кандидаты в уязвимости были независимо воспроизведены в реальном коде, прошли независимую верификацию и дедупликацию, а окончательное решение о времени раскрытия принималось человеком.