Inihayag ng Ethereum Foundation na ang pinakamalaking hamon sa pananaliksik sa seguridad na tinutulungan ng AI ay ang pagpapatunay kung aling mga naiulat na kahinaan ang tunay sa halip na paghahanap ng mga potensyal na depekto.
Ayon sa Protocol Security team ng Ethereum Foundation, ang kamakailang mga eksperimento sa mga coordinated AI agent ay nakatuklas ng mga tunay na depekto sa software sa mga system na pinagbabatayan ng Ethereum, ngunit sinabi ng organisasyon na ang karamihan sa pagsisikap ngayon ay napupunta sa paghihiwalay ng mga balidong natuklasan mula sa mga mapanghimok na maling positibo.
Inilarawan ng team ang mga resulta sa isang teknikal na post na nagpapaliwanag kung paano nito sinusubukan ang mga ahente ng AI laban sa system software, cryptographic library, at high-assurance smart contract.
Ang isang nakumpirmang pagtuklas ay kinabibilangan ng isang malayo na na-trigger na panic sa gossipsub component ng libp2p, na bumubuo ng bahagi ng peer-to-peer networking layer na ginagamit ng mga Ethereum consensus client. Sinabi ng Ethereum Foundation na ang kahinaan ay naayos at kalaunan ay isinapubliko bilang CVE-2026-34219.
Sa halip na tratuhin ang mga ahente ng AI bilang mga gumagawa ng desisyon, sinabi ng Foundation na dapat silang ituring bilang mga tool na lumilikha ng mga hipotesis na nangangailangan ng independiyenteng beripikasyon. Bagaman maaaring suriin ng mga ahente ang source code, subaybayan ang mga landas ng pagpapatupad, at maghanda ng materyal na proof-of-concept, sinabi ng Foundation na gumagawa din sila ng mga ulat batay sa hindi maabot na code, nagdodoble ng mga kilalang isyu, mga debug-only na pag-crash, o mahihinang pormal na patunay na nabibigong magpakita ng isang tunay na problema sa seguridad.
Sinabi ng team na ang hindi inaasahang natuklasan ay hindi na kayang tukuyin ng AI ang mga depekto, ngunit ang pagpapatunay ng mga ulat na iyon ay kumonsumo ng mas maraming oras kaysa sa pagbuo ng mga ito.
Upang mabawasan ang mga hindi mapagkakatiwalaang natuklasan, sinabi ng Ethereum Foundation na naglalagay ito ng maraming ahente ng AI laban sa parehong repositoryo ng software, kung saan ang bawat ahente ay humahawak ng ibang yugto ng proseso ng pagsusuri. Sa halip na umasa sa isang sentral na coordinator, ang mga ahente ay nagpapalitan ng impormasyon sa pamamagitan ng repositoryo mismo sa pamamagitan ng pagbabahagi ng estado sa kontrol sa bersyon.
Ayon sa Foundation, nagsisimula ang daloy ng trabaho sa rekonesans, kung saan ang malalawak na lugar na maaaring atakehin ay pinapaliit sa mga partikular na ideya na masusubok. Ang mga ahente ng paghahanap ay sumusunod sa bawat hipotesis sa pamamagitan ng code at sumusubok na bumuo ng isang gumaganang tagapag-reprodyus. Sinusubaybayan ng mga ahente na bumubuo ng kakulangan ang mga tinanggap at tinanggihang ulat upang maiwasan ang pag-uulit ng naunang trabaho, habang ang mga ahente ng pagpapatunay ay independiyenteng sinusuri ang bawat kandidato, inaalis ang mga doble, at tinutukoy kung ang isang ulat ay kwalipikado bilang isang lehitimong kahinaan.
Sinabi ng Foundation na ang bawat tinanggap na ulat ay dapat tukuyin ang isang maabot na target, tukuyin ang isang malinaw na inbaryante ng seguridad, ipaliwanag ang mekanismo ng pagkabigo, magbigay ng makikita na ebidensya, magsama ng isang self-contained na tagapag-reprodyus, at magdala ng susi ng deduplikasyon. Ang mga kinakailangang ito ay nilayon upang matiyak na ang bawat pag-aangkin ay maaaring direktang subukin laban sa production code.
Sa gitna ng proseso, sinabi ng Ethereum Foundation na isang prinsipyo ang mas matimbang kaysa sa lahat: ang isang kahinaan ay hindi binibilang maliban kung may ibang tao bukod sa ahente ng pag-uulat ang makakagawa nito muli laban sa tunay na codebase. Ayon sa Foundation, inaalis ng kinakailangang ito ang mga ulat na binuo sa paligid ng imposibleng landas ng pag-atake, mga pagkabigo na pang-debug lamang, o mga resulta ng pormal na beripikasyon na lumilitaw na tama sa matematika nang hindi nagpapatunay ng isang makabuluhang katangian ng seguridad.
Higit pa sa teknikal na balidasyon, sinabi ng Foundation na ang mga natitirang kandidato ay sinusuri din para sa praktikal na kakayahang pagsamantalahan. Ang isang depekto na maaaring i-trigger ng sinumang kalahok sa network ay may iba't ibang implikasyon sa seguridad kaysa sa nangangailangan ng may pribilehiyong access o hindi makatotohanang mapagkukunan ng kompyutasyon.
Idinagdag ng Foundation na ang mga ahente ng AI ay nananatiling hindi pare-pareho sa paghuhusga sa kakayahang maabot ng pagsasamantala, kalubhaan ng pag-atake, o mga kahinaan na lumalabas lamang sa mahabang sunud-sunod na balidong interaksyon. Sa mga sitwasyong iyon, sinabi nito na mas mahusay ang pagganap ng mga ahente bilang mga katulong para sa mga stateful testing framework kaysa sa mga kapalit para sa mga nakaranasang mananaliksik sa seguridad.
Ang pinakabagong update sa seguridad ay dumating lamang ng ilang linggo matapos makumpleto ng Ethereum Foundation ang isang malaking panloob na restrukturasyon. Sa isang anunsyo noong Hunyo 23, sinabi ng organisasyon na nabawasan nito ang lakas-paggawa nito ng humigit-kumulang 20%, na may 54 na empleyado ang umalis kasunod ng buwanang pagsusuri sa ilalim ng Patakaran sa Pamamahala ng Mandato at Treasury nito.
Ayon sa Foundation, ang restrukturasyon ay nilayon upang pagtuunan ang mga kawani at mapagkukunan sa mga responsibilidad na tanging ang organisasyon lamang ang makakapagsagawa habang ipinagpapatuloy ang pangmatagalang pag-unlad ng Ethereum.
