इथेरियम फाउंडेशन ने खुलासा किया है कि एआई-सहायता प्राप्त सुरक्षा अनुसंधान में सबसे बड़ी चुनौती अब यह साबित करना बन गई है कि रिपोर्ट की गई कमजोरियां वास्तविक हैं, न कि संभावित बगों को खोजना।

इथेरियम फाउंडेशन की प्रोटोकॉल सुरक्षा टीम के अनुसार, समन्वित एआई एजेंटों के साथ हाल के प्रयोगों ने उन प्रणालियों में वास्तविक सॉफ्टवेयर दोषों का खुलासा किया जिन पर इथेरियम निर्भर करता है, लेकिन संगठन ने कहा कि अब अधिकांश प्रयास वैध निष्कर्षों को भ्रामक गलत सकारात्मक परिणामों से अलग करने में खर्च होता है।

टीम ने एक तकनीकी पोस्ट में परिणामों का वर्णन किया, जिसमें बताया गया है कि वह सिस्टम सॉफ्टवेयर, क्रिप्टोग्राफिक लाइब्रेरी और उच्च-आश्वासन वाले स्मार्ट कॉन्ट्रैक्ट्स के खिलाफ एआई एजेंटों का परीक्षण कैसे कर रही है।

एक पुष्टि की गई खोज में लिबपी2पी के गॉसिपसब घटक में दूर से ट्रिगर होने वाला एक पैनिक शामिल था, जो इथेरियम कंसेंसस क्लाइंट्स द्वारा उपयोग की जाने वाली पीयर-टू-पीयर नेटवर्किंग लेयर का हिस्सा है। इथेरियम फाउंडेशन ने कहा कि भेद्यता को ठीक कर दिया गया और बाद में इसे CVE-2026-34219 के रूप में उजागर किया गया।

एआई एजेंटों को निर्णय लेने वाले के रूप में मानने के बजाय, फाउंडेशन ने कहा कि उन्हें ऐसे उपकरणों के रूप में देखा जाना चाहिए जो स्वतंत्र सत्यापन की आवश्यकता वाली परिकल्पनाएं उत्पन्न करते हैं। जबकि एजेंट स्रोत कोड का निरीक्षण कर सकते हैं, निष्पादन पथों का पता लगा सकते हैं, और प्रूफ-ऑफ-कॉन्सेप्ट सामग्री तैयार कर सकते हैं, फाउंडेशन ने कहा कि वे अप्राप्य कोड, ज्ञात मुद्दों की डुप्लिकेट, केवल डिबग क्रैश, या कमजोर औपचारिक प्रमाणों के आधार पर रिपोर्ट भी बनाते हैं जो एक वास्तविक सुरक्षा समस्या को प्रदर्शित करने में विफल रहते हैं।

टीम ने कहा कि अप्रत्याशित निष्कर्ष यह नहीं था कि एआई बगों की पहचान कर सकता है, बल्कि यह था कि उन रिपोर्टों को मान्य करने में उन्हें उत्पन्न करने की तुलना में कहीं अधिक समय लगता था।

मल्टी-एजेंट वर्कफ़्लो अविश्वसनीय रिपोर्टों को फ़िल्टर करता है

अविश्वसनीय निष्कर्षों को कम करने के लिए, इथेरियम फाउंडेशन ने कहा कि वह एक ही सॉफ्टवेयर रिपॉजिटरी के खिलाफ कई एआई एजेंटों को तैनात करता है, जिसमें प्रत्येक एजेंट समीक्षा प्रक्रिया के एक अलग चरण को संभालता है। एक केंद्रीय समन्वयक पर निर्भर रहने के बजाय, एजेंट संस्करण नियंत्रण में स्थिति साझा करके रिपॉजिटरी के माध्यम से ही जानकारी का आदान-प्रदान करते हैं।

फाउंडेशन के अनुसार, वर्कफ़्लो टोही के साथ शुरू होता है, जहां व्यापक हमले की सतहों को विशिष्ट परीक्षण योग्य विचारों में संकुचित किया जाता है। हंटिंग एजेंट तब कोड के माध्यम से प्रत्येक परिकल्पना का पालन करते हैं और एक कार्यशील पुनरुत्पादक बनाने का प्रयास करते हैं। गैप-फिलिंग एजेंट पहले के काम को दोहराने से बचने के लिए स्वीकृत और अस्वीकृत रिपोर्टों को ट्रैक करते हैं, जबकि सत्यापन एजेंट स्वतंत्र रूप से प्रत्येक उम्मीदवार की जांच करते हैं, डुप्लिकेट हटाते हैं, और यह निर्धारित करते हैं कि कोई रिपोर्ट एक वैध भेद्यता के रूप में योग्य है या नहीं।

फाउंडेशन ने कहा कि प्रत्येक स्वीकृत रिपोर्ट में एक पहुंच योग्य लक्ष्य की पहचान होनी चाहिए, एक स्पष्ट सुरक्षा अपरिवर्तनीय को परिभाषित करना चाहिए, विफलता तंत्र को समझाना चाहिए, अवलोकनीय साक्ष्य प्रदान करना चाहिए, एक स्व-निहित पुनरुत्पादक शामिल करना चाहिए, और एक डी-डुप्लिकेशन कुंजी ले जानी चाहिए। इन आवश्यकताओं का उद्देश्य यह सुनिश्चित करना है कि प्रत्येक दावे का सीधे प्रोडक्शन कोड के खिलाफ परीक्षण किया जा सके।

मानवीय सत्यापन निर्णायक कारक बना हुआ है

प्रक्रिया के केंद्र में, इथेरियम फाउंडेशन ने कहा कि एक सिद्धांत बाकी सभी चीजों को ओवरराइड करता है: एक भेद्यता तब तक मायने नहीं रखती जब तक कि रिपोर्टिंग एजेंट के अलावा कोई और इसे वास्तविक कोडबेस के खिलाफ पुनरुत्पादित न कर सके। फाउंडेशन के अनुसार, यह आवश्यकता असंभव हमले के रास्तों, केवल डिबग विफलताओं, या औपचारिक सत्यापन परिणामों के आधार पर बनाई गई रिपोर्टों को हटाती है जो एक सार्थक सुरक्षा संपत्ति को साबित किए बिना गणितीय रूप से सही प्रतीत होते हैं।

तकनीकी सत्यापन से परे, फाउंडेशन ने कहा कि शेष उम्मीदवारों का व्यावहारिक शोषणक्षमता के लिए भी मूल्यांकन किया जाता है। एक दोष जिसे कोई भी नेटवर्क भागीदार ट्रिगर कर सकता है, उसके सुरक्षा निहितार्थ उन दोषों से भिन्न होते हैं जिनके लिए विशेषाधिकार प्राप्त पहुंच या अवास्तविक कंप्यूटिंग संसाधनों की आवश्यकता होती है।

फाउंडेशन ने कहा कि एआई एजेंट शोषण की पहुंच, हमले की गंभीरता, या केवल वैध इंटरैक्शन की लंबी श्रृंखलाओं के माध्यम से उभरने वाली कमजोरियों का आकलन करने में असंगत रहते हैं। ऐसी स्थितियों में, इसने कहा कि एजेंट अनुभवी सुरक्षा शोधकर्ताओं के प्रतिस्थापन के बजाय स्टेटफुल टेस्टिंग फ्रेमवर्क के लिए सहायकों के रूप में बेहतर प्रदर्शन करते हैं।

यह नवीनतम सुरक्षा अपडेट इथेरियम फाउंडेशन द्वारा एक बड़े आंतरिक पुनर्गठन को पूरा करने के कुछ ही हफ्तों बाद आया है। 23 जून की घोषणा में, संगठन ने कहा कि उसने अपने कार्यबल में लगभग 20% की कमी की है, जिसमें 54 कर्मचारियों ने अपनी मैंडेट एंड ट्रेजरी मैनेजमेंट पॉलिसी के तहत महीनों तक चली समीक्षा के बाद छोड़ दिया है।

फाउंडेशन के अनुसार, पुनर्गठन का उद्देश्य कर्मचारियों और संसाधनों को उन जिम्मेदारियों पर केंद्रित करना था जिन्हें केवल संगठन ही निभा सकता है, जबकि दीर्घकालिक इथेरियम विकास जारी रखता है।