Ethereum Foundation onthulde dat de grootste uitdaging voor AI-ondersteund onderzoek op het gebied van beveiliging is om te bewijzen welke gerapporteerde kwetsbaarheden reëel zijn, in plaats van potentiële bugs te vinden.
Je kunt er hier meer over lezen:
- Ethereum Foundation stelt dat het veel moeilijker is om AI-bugrapporten te verifiëren dan om ze te genereren.
- Een echte libp2p-fout werd ontdekt door AI-agenten en later gerapporteerd als CVE-2026-34219.
- Menselijke validatie en reproduceerbaar bewijs zijn volgens The Foundation nog steeds essentieel.
Het Protocol Security-team van de Ethereum Foundation zei dat recente experimenten met gecoördineerde AI-agenten echte softwarekwetsbaarheden aan het licht hebben gebracht in de systemen waarop Ethereum vertrouwt. De organisatie verklaarde echter dat de focus nu ligt op het scheiden van de geldige van de overtuigende valse positieven.
De resultaten werden beschreven in een blogpost waarin het testen van AI-agents op systeemsoftware en cryptografische bibliotheken werd uitgelegd, evenals op slimme contracten met hoge zekerheid.
De ontdekking van een gemakkelijk te veroorzaken paniek binnen de gossipsub-component in libp2p (die deel uitmaakt van de peer-to-peer-netwerklaag die Ethereum-consensusclients gebruiken) werd bevestigd. De Ethereum Foundation bevestigde dat de kwetsbaarheid was verholpen en werd later gepubliceerd als CVE-2026-3419.
In plaats dat AI-agenten door de Foundation worden gezien als besluitvormers, moeten ze worden gezien als instrumenten die hypothesen genereren die onafhankelijke validatie vereisen. De Foundation merkte op dat agenten weliswaar de broncode kunnen inspecteren en uitvoeringspaden kunnen volgen en proof-of-concepten kunnen voorbereiden, maar dat ze ook rapporten kunnen produceren over zaken als onbereikbare of dubbele code, foutopsporing bij alleen crashes, zwakke formele bewijzen, enz.
Dit team ontdekte dat AI de bugs niet kon identificeren. In plaats daarvan kostte het valideren van deze rapporten veel meer tijd.
Onbetrouwbare rapporten worden gefilterd door een multi-agent workflow
De Ethereum Foundation heeft gezegd dat het meerdere AI-agents gebruikt om dezelfde softwareopslagplaats te beoordelen, waarbij elke agent een specifieke fase in het proces afhandelt. In plaats van een centrale coördinator te gebruiken, kunnen agenten gegevens uitwisselen door samen te werken aan versiebeheer.
Volgens de workflow van de Foundation begint verkenning wanneer brede aanvalsoppervlakken worden verkleind en getest tot testbare concepten. De jachtagenten volgen de hypothese en code in een poging een reproduceerbaar exemplaar te creëren. Om te voorkomen dat eerder werk wordt gedupliceerd, houden opvulagenten geaccepteerde en afgewezen rapporten bij. Validatieagenten onderzoeken elke kandidaat afzonderlijk, elimineren duplicaten en beslissen of de melding een geldige kwetsbaarheid is.
Volgens de Foundation moet elk geaccepteerd rapport een waarneembaar faalmechanisme en een haalbaar doel bevatten, evenals een op zichzelf staande reproduceerder. De eisen zijn bedoeld om ervoor te zorgen dat elke claim direct kan worden getoetst aan de productiecode.
Menselijke validatie blijft de beslissende factor
De Ethereum Foundation heeft gezegd dat één principe de kern vormt van dit proces: een kwetsbaarheid telt pas als iemand anders deze kan repliceren op de daadwerkelijke codebase. Deze vereiste verwijdert volgens de Foundation alle rapporten die gebaseerd zijn op onmogelijke aanvalsroutes, mislukkingen die alleen te wijten zijn aan foutopsporing, of formele resultaten van verificaties die er wiskundig correct uitzien, maar niets zinnigs bewijzen over de beveiliging.
De Stichting stelde dat kandidaten die overleven niet alleen worden beoordeeld op technische validiteit, maar ook op hun praktische exploiteerbaarheid. De beveiligingsimplicaties van fouten die door iedereen in een netwerk kunnen worden uitgebuit, zijn anders dan die waarvoor bevoorrecht computergebruik of toegang vereist is.
Foundation merkte ook de inconsistentie van AI-agenten op als het gaat om het beoordelen van de bereikbaarheid van exploits, de ernst van aanvallen en kwetsbaarheden die alleen worden ontdekt via een reeks geldige interacties. Er werd gezegd dat de agenten in deze situaties beter presteerden als ze werden gebruikt als assistenten van stateful testframeworks, in plaats van als vervanging van ervaren beveiligingsonderzoekers.
Het is nog maar een paar weken geleden dat de Ethereum Foundation haar grote herstructurering heeft afgerond. Volgens een verklaring van 23 juni had de Ethereum Foundation een interne herstructurering voltooid. verminderde het personeelsbestand met ongeveer 20%Na een evaluatie van het mandaat en het Treasury Management-beleid, die enkele maanden duurde, verlieten 54 medewerkers het bedrijf.
De Foundation verklaarde dat het doel van de herstructurering is om personeel en middelen te concentreren om taken uit te voeren die alleen zij kunnen doen, terwijl de Ethereum-ontwikkelingen op de lange termijn behouden blijven.
“DagelijksCrypto is niet verantwoordelijk voor activiteiten die u buiten DagelijksCrypto uitvoert.”
