Фонд Ethereum использует ИИ для поиска уязвимостей: успешно обнаружены проблемы безопасности, при этом заявлено, что ручная проверка всё равно незаменима

BlockBeats, 11 июля, Фонд Ethereum раскрыл, что его команда по безопасности протоколов использует AI-агентов для проведения поиска уязвимостей в клиентском ПО Ethereum, чтобы повысить сетевую безопасность. В ходе тестирования AI успешно выявил уязвимость в протоколе распространения сообщений Gossipsub: она позволяет удалённым атакам вызывать падение узловой программы, из-за чего валидаторские узлы уходят в офлайн. В настоящее время уязвимость уже устранена и зарегистрирована как CVE-2026-34219.

Однако Фонд Ethereum отмечает, что главная сложность для AI заключается не в обнаружении уязвимостей, а в том, чтобы отличать реальные проблемы от ложных срабатываний. AI не только генерирует описания уязвимостей, анализ влияния и код атак, но и может выдавать правдоподобные, однако не существующие проблемы — поэтому всё равно требуются тщательные проверки со стороны специалистов по безопасности. Фонд выделил три типа распространённых ложных срабатываний: падения, которые проявляются только в тестовой среде; атакующие цепочки, которые невозможно реализовать в реальной среде; а также недействительные доказательства в формальной верификации.

Кроме того, Фонд Ethereum считает, что AI в настоящее время лучше справляется с анализом отдельных проблем в коде, но его возможности по распознаванию сложных атакующих цепочек, собранных из нескольких легитимных действий, остаются ограниченными, тогда как именно такие атаки стали основной причиной атак на несколько криптопротоколов в этом году. В будущем Фонд Ethereum планирует использовать AI для содействия в генерации потенциальных путей атак, а затем подтверждать их с помощью ручного и автоматизированного тестирования, чтобы ещё больше повысить эффективность и точность выявления уязвимостей.