Команда Protocol Security, що входить до структури Ethereum Foundation (EF), провела масштабний експеримент із використання координованих ШІ-агентів для пошуку вразливостей у критичних компонентах інфраструктури блокчейну. Об'єктами перевірки стали системне ПЗ, криптографічний код та смарт-контракти.
Головний висновок, який зробили дослідники, виявився неочевидним: ключова проблема полягала не у виявленні багів, а в їхньому тріажі. Як зазначили в EF, агенти дійсно знаходять вразливості, але левова частка часу йде не на пошук, а на відокремлення реальних загроз від хибних спрацьовувань.
Цікаво, що команда відмовилася від монолітного підходу з одним великим ШІ-агентом. Натомість було розгорнуто систему з кількох спеціалізованих агентів, які працюють паралельно проти одного репозиторію. Одні відповідали за первинну розвідку коду, інші — за виявлення потенційних вразливостей, заповнення прогалин та валідацію. Координація здійснювалася через спільний репозиторій з обміном станом через систему контролю версій.
За словами розробників, агенти чудово справляються з генерацією напрямків пошуку: вони здатні швидко сканувати великі обсяги коду, трасувати шляхи виконання та готувати матеріали для proof-of-concept. Однак кожен кандидат вимагає незалежного відтворення на реальному коді, перш ніж його можна кваліфікувати як вразливість.
Практичні результати та обмеження
Публічно розкритим прикладом роботи ШІ-агентів стала вразливість CVE-2026-34219 у Rust-реалізації протоколу libp2p gossipsub. Вона була пов'язана з обробкою backoff expiry — періоду тимчасового обмеження взаємодії між вузлами після певних мережевих повідомлень. Помилка дозволяла віддалено викликати аварійне завершення процесу через спеціально сформоване PRUNE-повідомлення з майже максимальним значенням backoff, що призводило до переповнення через неперевірену арифметику при додаванні Instant + Duration.
В EF не розкрили загальну кількість знайдених реальних багів, обмежившись згадкою кількох знахідок. При цьому більшість згенерованих кандидатів виявилися хибнопозитивними, дублями або проблемами, що виходять за рамки перевірки. У фонді вважають це нормальною частиною методології, а не провалом системи.
Примітно, що ШІ-агенти демонструють слабкі результати при роботі з вразливостями, які проявляються лише через довгий ланцюжок коректних дій. Така логіка вимагає не лише знайти підозрілий фрагмент коду, але й довести, що вся послідовність станів дійсно досяжна.
Публікація EF збіглася в часі з масштабною реорганізацією фонду. У червні штат було скорочено на 20%, а бюджет урізано приблизно на 40%. Віталік Бутерін підтвердив перехід до моделі довгострокового управління капіталом. Крім того, було розформовано команду Protocol Support, яка відповідала за координацію розробки протоколу, підтримку EIP та освітні ініціативи.
На тлі цих змін колишній співробітник EF Трент Ван Еппс попередив про ризик «повільно наростаючої кризи фінансування» в найближчі три-дев'ять місяців.
Коментар аналітика: Експеримент EF демонструє зрілий підхід до впровадження ШІ в безпеку блокчейну. Замість хайпу навколо «автономних мисливців за багами» ми бачимо прагматичну інтеграцію: ШІ бере на себе рутинну розвідку, але остаточне рішення залишається за людиною. Це правильний вектор, особливо враховуючи, що хибнопозитивні спрацьовування та складні багатокрокові атаки залишаються ахіллесовою п'ятою агентів. Однак на тлі скорочення бюджету та реорганізації EF виникає питання: чи не стане ця технологія спробою компенсувати нестачу людських ресурсів?