Ethereum Foundation mengungkapkan bahwa tantangan terbesar dalam penelitian keamanan berbantuan AI adalah membuktikan kerentanan yang dilaporkan itu asli, daripada sekadar menemukan potensi bug.
Menurut tim Keamanan Protokol Ethereum Foundation, eksperimen terbaru dengan agen AI yang terkoordinasi berhasil menemukan cacat perangkat lunak nyata di seluruh sistem yang menjadi sandaran Ethereum, namun organisasi tersebut mengatakan sebagian besar upaya kini difokuskan pada pemisahan temuan yang valid dari false positive yang meyakinkan.
Tim tersebut menjelaskan hasilnya dalam postingan teknis yang menerangkan bagaimana mereka menguji agen AI terhadap perangkat lunak sistem, pustaka kriptografi, dan smart contract dengan jaminan tinggi.
Salah satu penemuan yang dikonfirmasi melibatkan 'panic' yang dapat dipicu dari jarak jauh pada komponen gossipsub dari libp2p, yang merupakan bagian dari lapisan jaringan peer-to-peer yang digunakan oleh klien konsensus Ethereum. Ethereum Foundation mengatakan kerentanan tersebut telah diperbaiki dan kemudian diungkapkan sebagai CVE-2026-34219.
Alih-alih memperlakukan agen AI sebagai pembuat keputusan, Yayasan tersebut mengatakan bahwa mereka harus dipandang sebagai alat yang menghasilkan hipotesis yang memerlukan verifikasi independen. Meskipun agen dapat memeriksa kode sumber, melacak jalur eksekusi, dan menyiapkan materi proof-of-concept, Yayasan tersebut mengatakan mereka juga menghasilkan laporan berdasarkan kode yang tidak dapat dijangkau, menduplikasi masalah yang sudah diketahui, crash khusus debug, atau bukti formal lemah yang gagal menunjukkan masalah keamanan nyata.
Tim tersebut mengatakan temuan yang tidak terduga bukanlah bahwa AI dapat mengidentifikasi bug, melainkan bahwa memvalidasi laporan tersebut menghabiskan lebih banyak waktu daripada menghasilkannya.
Untuk mengurangi temuan yang tidak dapat diandalkan, Ethereum Foundation mengatakan mereka menerapkan beberapa agen AI terhadap repositori perangkat lunak yang sama, dengan setiap agen menangani tahap yang berbeda dari proses peninjauan. Alih-alih mengandalkan koordinator pusat, agen-agen tersebut bertukar informasi melalui repositori itu sendiri dengan berbagi status dalam kontrol versi.
Menurut Yayasan tersebut, alur kerja dimulai dengan pengintaian (reconnaissance), di mana permukaan serangan yang luas dipersempit menjadi ide-ide spesifik yang dapat diuji. Agen pemburu kemudian mengikuti setiap hipotesis melalui kode dan mencoba membangun reproducer yang berfungsi. Agen pengisi celah melacak laporan yang diterima dan ditolak untuk menghindari pengulangan pekerjaan sebelumnya, sementara agen validasi secara independen memeriksa setiap kandidat, menghapus duplikat, dan menentukan apakah suatu laporan memenuhi syarat sebagai kerentanan yang sah.
Yayasan tersebut mengatakan setiap laporan yang diterima harus mengidentifikasi target yang dapat dijangkau, mendefinisikan invarian keamanan yang jelas, menjelaskan mekanisme kegagalan, memberikan bukti yang dapat diamati, menyertakan reproducer mandiri, dan membawa kunci deduplikasi. Persyaratan ini dimaksudkan untuk memastikan bahwa setiap klaim dapat diuji langsung terhadap kode produksi.
Di pusat proses ini, Ethereum Foundation mengatakan satu prinsip mengesampingkan segalanya: suatu kerentanan tidak dihitung kecuali jika seseorang selain agen pelapor dapat mereproduksinya terhadap basis kode yang sebenarnya. Menurut Yayasan tersebut, persyaratan ini menghilangkan laporan yang dibuat berdasarkan jalur serangan yang tidak mungkin, kegagalan khusus debug, atau hasil verifikasi formal yang terlihat benar secara matematis tanpa membuktikan properti keamanan yang berarti.
Di luar validasi teknis, Yayasan tersebut mengatakan kandidat yang lolos juga dievaluasi untuk eksploitabilitas praktis. Cacat yang dapat dipicu oleh partisipan jaringan mana pun membawa implikasi keamanan yang berbeda dibandingkan dengan yang memerlukan akses istimewa atau sumber daya komputasi yang tidak realistis.
Yayasan tersebut menambahkan bahwa agen AI masih tidak konsisten dalam menilai jangkauan eksploitasi, tingkat keparahan serangan, atau kerentanan yang muncul hanya melalui urutan interaksi yang valid yang panjang. Dalam situasi tersebut, dikatakan bahwa agen-agen tersebut berkinerja lebih baik sebagai asisten untuk kerangka kerja pengujian stateful daripada sebagai pengganti peneliti keamanan yang berpengalaman.
Pembaruan keamanan terbaru ini datang hanya beberapa minggu setelah Ethereum Foundation menyelesaikan restrukturisasi internal besar-besaran. Dalam pengumuman tanggal 23 Juni, organisasi tersebut mengatakan telah mengurangi tenaga kerjanya sekitar 20%, dengan 54 karyawan yang keluar menyusul tinjauan selama berbulan-bulan di bawah Kebijakan Mandat dan Manajemen Keuangan mereka.
Menurut Yayasan tersebut, restrukturisasi ini dimaksudkan untuk memfokuskan staf dan sumber daya pada tanggung jawab yang hanya dapat dilakukan oleh organisasi sambil melanjutkan pengembangan Ethereum jangka panjang.
