La Fondation Ethereum a déclaré que les agents d'IA sont efficaces pour trouver des vulnérabilités dans l'infrastructure du réseau, mais que la plupart sont des faux positifs, selon un blog publié jeudi.

"Le fait que des agents trouvent des bugs n'était pas une surprise. La surprise était le peu de travail nécessaire pour les trouver, et la quantité de travail requise pour distinguer les vrais bugs de ceux qui semblaient simplement réels", a déclaré l'EF.

L'équipe de sécurité des protocoles de l'EF a utilisé des agents d'IA coordonnés pour tester l'infrastructure réseau critique, y compris les logiciels système, le code cryptographique et les contrats intelligents. Les agents ont trouvé de vrais bugs, y compris "une panique déclenchable à distance dans gossipsub de libp2p, une partie essentielle de la couche peer-to-peer sur laquelle fonctionnent les clients de consensus Ethereum", qui a été corrigée et divulguée publiquement.

Bien que la fondation ait déclaré que les agents d'IA peuvent rapidement identifier les vulnérabilités potentielles, la technologie a simultanément créé une charge de travail plus importante pour les chercheurs humains, qui doivent évaluer un nombre croissant de bugs potentiels, ou "candidats".

"La plupart des candidats sont faux, en double ou hors de portée. Ce n'est pas un problème avec la méthode; c'est comme ça que ça fonctionne", a écrit l'EF. "L'objectif est de rejeter rapidement les mauvais et de confirmer les vrais avec des preuves difficiles à contester."

Une vulnérabilité potentielle n'est pas considérée comme une découverte réelle tant que les chercheurs ne peuvent pas reproduire indépendamment la défaillance sur le code réel. La fondation a également noté que les agents d'IA peuvent avoir du mal à identifier les bugs qui apparaissent au fil d'une séquence.

En d'autres termes, certains des meilleurs chercheurs en sécurité d'Ethereum considèrent l'IA comme un outil de recherche puissant, mais pas comme un oracle, pour ainsi dire.

"Le temps qui était auparavant consacré à l'élaboration et à la poursuite d'hypothèses est maintenant dédié à les juger à grande échelle, y compris la construction de l'oracle, l'exécution du triage, la tenue de la liste des problèmes connus et la gestion de la divulgation", ont-ils déclaré. "Le goulot d'étranglement n'a pas disparu. Il est passé de la recherche de bugs à la confiance dans les résultats, ce qui est une meilleure position, car c'est là que le jugement humain compte réellement."

Le blog de jeudi fait suite à la récente réorganisation de l'EF, qui a entraîné une nouvelle structure opérationnelle et la réduction de 20% des effectifs totaux de la fondation.