Ethereum Foundation menggunakan kawanan agen AI untuk menyerang Ethereum—sebelum orang lain melakukannya.
Dalam postingan blog pada hari Kamis, peneliti Ethereum Foundation dari tim Keamanan Protokol mengatakan bahwa mereka telah menyebarkan serangkaian agen AI terhadap perangkat lunak yang diandalkan Ethereum, mencari kerentanan dalam sistem kriptografi, kode protokol, dan smart contract.
“Kami telah menjalankan agen AI terkoordinasi terhadap jenis sistem yang diandalkan jaringan, seperti perangkat lunak sistem, kode kriptografi, dan kontrak yang harus benar,” tulis para peneliti. “Agen-agen tersebut menemukan bug nyata.”
Salah satu bug yang ditemukan termasuk 'panic' yang dipicu dari jarak jauh dalam gossipsub libp2p, bagian dari lapisan peer-to-peer yang digunakan oleh klien konsensus Ethereum. Masalah ini telah diperbaiki dan diungkapkan di Github sebagai CVE-2026-34219.
Dikenal sebagai 'red teaming', praktik ini melibatkan perusahaan yang mengerahkan peneliti keamanan untuk menyerang sistem mereka sendiri, mencoba menyusup atau mengganggu jaringan untuk menemukan kelemahan sebelum peretas jahat menemukannya. Sementara tim merah menyerang sistem, tim biru bertugas untuk mempertahankannya.
Peneliti manusia secara tradisional mencari kerentanan dengan meninjau kode secara manual—tetapi agen AI dapat memindai seluruh basis kode, menguji potensi eksploitasi, dan menghasilkan temuan untuk ditinjau.
“Agen menemukan bug bukanlah kejutan,” tulis tim. “Kejutan adalah seberapa sedikit pekerjaan yang dilakukan untuk menemukannya, dan seberapa banyak yang dilakukan untuk membedakan bug nyata dari yang hanya terlihat nyata.”
Menurut Ethereum Foundation, agen-agen tersebut diorganisir ke dalam peran khusus, termasuk pengintaian (reconnaissance), perburuan (hunting), pengisian celah (gap-filling), dan validasi. Beberapa mencari jalur serangan yang mungkin, sementara yang lain mencoba mereproduksi kegagalan dan memverifikasi apakah mereka bekerja melawan kode produksi.
“Skema itu ada untuk suatu alasan,” tulis mereka. “Ini memaksa klaim yang spesifik dan dapat diuji serta definisi 'selesai' yang jelas. Agen yang harus menuliskan bukti yang dapat diobservasi tidak bisa hanya mengandalkan "ini terlihat berisiko.”
Peran AI yang semakin besar dalam penelitian kerentanan ditunjukkan pada bulan April, ketika versi pratinjau Claude Mythos dari Anthropic menemukan 271 kerentanan di peramban Firefox Mozilla.
Para peneliti membandingkan agen AI dengan fuzzer, atau alat yang menguji perangkat lunak untuk mencari cacat. Namun, tidak seperti fuzzer, agen AI dapat menghasilkan laporan kerentanan, menilai dampak, dan membuat tes proof-of-concept.
Namun detail tidak selalu berarti benar. Temuan yang dihasilkan AI dapat terlihat meyakinkan bahkan ketika salah, meninggalkan peneliti untuk menyaring duplikat, positif palsu, dan kerentanan yang sebenarnya tidak dapat dieksploitasi.
"Satu aturan lebih penting dari yang lain. Sebuah kandidat belum menjadi temuan sampai ada artefak yang berdiri sendiri yang mereproduksi kegagalan terhadap kode nyata, dan yang berjalan untuk seseorang yang tidak menulisnya," tulis para peneliti. "Perekam tidak membaca laporan, dan tidak peduli seberapa percaya diri model itu terdengar. Ia akan berjalan atau tidak."
Alat AI telah membantu peneliti keamanan mengungkap cacat dalam jaringan blockchain.
Pada bulan Mei, peneliti keamanan Taylor Hornby menggunakan Claude Opus 4.8 dari Anthropic selama audit berbantuan AI yang menemukan kerentanan kritis di kolam privasi Orchard Zcash. Cacat tersebut telah ada selama sekitar empat tahun dan bisa memungkinkan penyerang untuk membuat ZEC palsu tanpa jejak on-chain yang jelas. Peningkatan jaringan untuk memulihkan kepercayaan pada pasokan Zcash masih dalam proses.
Eksperimen Ethereum Foundation membawa teknologi ini secara internal, menggunakan agen AI untuk menguji kode mereka sendiri guna menemukan kerentanan.
“AI tidak menggantikan peneliti keamanan. Ini menggeser pekerjaan,” kata Ethereum Foundation. “Agen memungkinkan kami menjangkau lebih banyak area daripada yang bisa kami lakukan secara manual. Sebagai gantinya, mereka meminta penilaian yang lebih cermat, di tengah tumpukan klaim yang terdengar meyakinkan yang jauh lebih besar.”
“Itu adalah pertukaran yang layak dilakukan,” tambah mereka, “selama Anda ingat bahwa penilaian adalah produk yang sebenarnya.”
