Фонд Ethereum и ИИ-агенты
Фонд Ethereum использует рои ИИ-агентов для тестирования безопасности сети Ethereum, прежде чем это сделают злоумышленники. В блоге, опубликованном в четверг, исследователи Фонда Ethereum из команды по безопасности протоколов сообщили о развертывании серии ИИ-агентов, которые атакуют программное обеспечение, на котором основан Ethereum, в поисках уязвимостей в криптографических системах, коде протокола и смарт-контрактах.
«Мы проводили скоординированные атаки ИИ-агентов на те системы, от которых зависит сеть, такие как системное программное обеспечение, криптографический код и контракты, которые должны быть корректными,» — написали исследователи. «Агенты нашли реальные ошибки.»
Обнаруженные уязвимости
Одной из обнаруженных уязвимостей стал удаленно вызываемый сбой в gossipsub libp2p, части однорангового слоя, используемого клиентами консенсуса Ethereum. Проблема была исправлена и задокументирована на GitHub как CVE-2026-34219.
Эта практика, известная как red teaming, включает в себя развертывание исследователей безопасности для атаки на собственные системы с целью выявления слабостей до того, как их обнаружат злонамеренные хакеры. Пока red teams атакуют систему, blue teams должны ее защищать.
Роль ИИ в исследовании уязвимостей
Ранее человеческие исследователи искали уязвимости, вручную просматривая код, но ИИ-агенты могут сканировать целые кодовые базы, тестировать потенциальные эксплойты и генерировать результаты для анализа.
«То, что агенты находят ошибки, не стало сюрпризом,» — отметила команда. «Сюрпризом стало то, сколько мало усилий было вложено в их нахождение и сколько много — в отделение реальных ошибок от тех, которые просто выглядели реальными.»
По данным Фонда Ethereum, агенты организованы в специализированные роли, включая разведку, охоту, заполнение пробелов и валидацию. Некоторые из них ищут возможные пути атаки, в то время как другие пытаются воспроизвести сбои и проверить, работают ли они против производственного кода.
«Схема существует не просто так,» — добавили они. «Она требует конкретного, подлежащего тестированию утверждения и четкого определения завершенности. Агент, который должен записать наблюдаемое доказательство, не может ссылаться на ‘это выглядит рискованно.'»
Сравнение с фуззерами
Растущая роль ИИ в исследовании уязвимостей была продемонстрирована в апреле, когда предварительная версия Claude Mythos от Anthropic обнаружила 271 уязвимость в браузере Mozilla Firefox. Исследователи сравнили ИИ-агентов с фуззерами, инструментами, которые тестируют программное обеспечение на наличие недостатков.
Однако, в отличие от фуззеров, ИИ-агенты могут генерировать отчеты о уязвимостях, оценивать их влияние и создавать тесты на основе концепции. Но подробности не всегда означают правильность. Результаты, сгенерированные ИИ, могут выглядеть убедительно, даже когда они неверны, оставляя исследователей фильтровать дубликаты, ложные срабатывания и уязвимости, которые на самом деле не могут быть использованы.
«Одно правило имеет большее значение, чем любое другое. Кандидат не является находкой, пока не будет создан самодостаточный артефакт, который воспроизводит сбой против реального кода и который запускается кем-то, кто его не писал,» — подчеркнули исследователи.
Примеры успешного использования ИИ
Инструменты ИИ уже помогли исследователям безопасности выявить недостатки в блокчейн-сетях. В мае исследователь безопасности Тейлор Хорнби использовал Claude Opus 4.8 от Anthropic во время аудита с поддержкой ИИ, который обнаружил критическую уязвимость в приватном пуле Orchard Zcash. Эта ошибка существовала примерно четыре года и могла позволить злоумышленнику создать поддельный ZEC без очевидного следа в цепочке. Обновление сети для восстановления доверия к запасам Zcash все еще в разработке.
Заключение
Эксперимент Фонда Ethereum переносит технологию внутрь компании, используя ИИ-агентов для тестирования собственного кода на наличие уязвимостей.
«ИИ не заменил исследователя безопасности. Он перенес работу,» — отметил Фонд Ethereum. «Агенты позволяют нам охватить гораздо больше, чем мы могли бы вручную. В обмен они требуют более тщательной оценки среди гораздо большего количества уверенно звучащих утверждений.»
«Это сделка, которую стоит заключить,» — добавили они, «если вы помните, что оценка — это настоящий продукт.»
