Un cercetător în securitate, utilizând Claude Opus 4.8 de la Anthropic, a descoperit o vulnerabilitate critică în pool-ul de confidențialitate Orchard al Zcash în câteva zile, expunând o vulnerabilitate care supraviețuise patru ani de revizuire de către criptografi de top specializați în zero-knowledge.

Dezvăluirea a făcut ca ZEC să scadă cu aproximativ 38% joi și a ridicat o preocupare mai largă pentru industria cripto, legată de modelele AI de ultimă generație care devin din ce în ce mai competente în găsirea vulnerabilităților decât majoritatea oamenilor.

„Semnificația nu este că AI poate găsi bug-uri”, a declarat Ben Goertzel, fondator și CEO al SingularityNET, pentru Decrypt. „Este că tipul de bug pe care îl poate găsi acum s-a schimbat.”

În loc să semnaleze pur și simplu erori evidente de codare, modelele de ultimă generație sunt din ce în ce mai capabile să raționeze dacă software-ul se comportă așa cum au intenționat designerii săi, a spus el.

În mai, Taylor Hornby, un cercetător în securitate angajat de Shielded Labs, a descoperit o vulnerabilitate critică în circuitul Orchard al Zcash, cu asistența lui Claude Opus 4.8 de la Anthropic. Ascunsă în două linii de cod, eroarea provenea dintr-o verificare care părea să valideze intrările tranzacției, dar nu impunea de fapt regulile intenționate, permițând potențial unui atacator să creeze ZEC contrafăcut în interiorul pool-ului protejat fără a fi detectat. Hornby a construit un exploit funcțional pentru a verifica vulnerabilitatea înainte de a o raporta dezvoltatorilor. O remediere de urgență a fost implementată la 1 iunie.

La panica ce a lovit Zcash și piața cripto în general joi și vineri se adaugă faptul că vulnerabilitatea fusese nedescoperită timp de peste patru ani.

Pentru Goertzel, descoperirea este semnificativă nu doar pentru că AI a găsit o vulnerabilitate, ci și pentru că indică un nou model pentru cercetarea în securitate.

„Cred că este un indicator timpuriu al unei schimbări greu de supraestimat”, a spus el. „Modelul cercetării în securitate, ca un grup de specialiști umani venerați care efectuează audituri lente, artizanale și profund experte, nu dispare, dar nu mai este singura abordare.”

Goertzel a spus că vulnerabilitatea Orchard aparține unei clase de erori logice subtile pe care modelele AI de ultimă generație sunt din ce în ce mai capabile să le găsească, inclusiv erori de contract inteligent, eșecuri de control al accesului și situații în care software-ul se comportă diferit decât au intenționat designerii săi. Pe măsură ce aceste capabilități se îmbunătățesc, a adăugat el, cercetarea în securitate se îndreaptă către un model în care specialiștii umani supraveghează o revizuire continuă, bazată pe AI, care poate analiza bazele de cod mult mai extins decât auditurile tradiționale.

Răspunsul Zcash în sine ar putea oferi o previzualizare a acelui viitor, a spus Goertzel.

„Shielded Labs care aduce un cercetător special pentru a vâna vulnerabilități la nivel de protocol cu un model de ultimă generație, înainte ca un actor malefic să o poată face, este, bănuiesc, șablonul, nu excepția”, a spus Goertzel. „Revizuirea proactivă, augmentată de AI, adversarială prin design, devine o miză de bază, iar protocoalele care nu o adoptă vor fi din ce în ce mai mult cele care învață despre vulnerabilitățile lor de la atacator, mai degrabă decât de la un prietenos.”

Potrivit lui Sean Ren, CEO al Sahara AI și profesor de informatică la Universitatea din California de Sud, progresele în AI remodelează, de asemenea, echilibrul dintre atacatori și apărători, deoarece modelele de ultimă generație pot testa rapid strategii de atac, pot învăța din rezultate și pot descoperi puncte slabe.

„Pentru a construi o apărare mai bună, trebuie să folosim aceste modele AI de ultimă generație ca potențiali atacatori pentru a testa sub stres aceste sisteme”, a declarat Ren pentru Decrypt.

Ren a spus că rețelele blockchain sunt deosebit de expuse, deoarece codul lor open-source poate fi analizat direct de modelele AI de ultimă generație, care pot testa rapid strategii de atac și pot identifica vulnerabilități mai repede decât revizuirile tradiționale de securitate.

„Dacă vă gândiți la laboratoarele de modele de ultimă generație precum OpenAI, Anthropic și Google DeepMind, acestea au acces mai devreme la cele mai puternice modele nepublicate și pot efectua o mulțime de experimente pe sisteme de rețea publice precum blockchain-urile, așa că au puterea la îndemână”, a spus el. „Dacă cineva cu intenții malițioase ar avea acces la aceste capabilități, ar putea efectua atacuri și crea vulnerabilități.”

Această fereastră s-ar putea închide mai repede decât se așteaptă mulți, iar potrivit lui Danny Jenkins, CEO și co-fondator al firmei de securitate cibernetică ThreatLocker, descoperirea vulnerabilităților asistată de AI se îmbunătățește mai rapid decât multe organizații își pot securiza software-ul pe care se bazează deja.

„Avem acest decalaj imens care va dura ani și ani pentru a fi depășit”, a declarat Jenkins pentru Decrypt. „Tot acest software va avea toate aceste vulnerabilități, nu vom avea remedieri sau actualizări pentru el pentru o lungă perioadă de timp, iar oamenii vor putea găsi acele vulnerabilități foarte rapid.”

Jenkins a spus că AI nu schimbă fundamental cercetarea vulnerabilităților, ci o accelerează dramatic. Sarcinile care odinioară cereau cercetătorilor în securitate să revizuiască manual codul și să facă reverse engineering software-ului pot fi acum efectuate în câteva secunde de modelele moderne.

„Înainte de AI, amenințările și exploiturile de securitate cibernetică creșteau în fiecare an”, a spus el. „După AI, a devenit și mai rapid, și cred că a devenit mai rapid din două motive. Unul este că acum poți folosi AI pentru a ajuta la găsirea vulnerabilităților și exploiturilor, iar numărul persoanelor care au capacitatea de a face acest lucru a crescut masiv. Nu mai trebuie să fii un „script kiddie” acum.”

În ciuda acestor riscuri, Goertzel a susținut că cripto ar putea fi, de asemenea, mai bine poziționată decât alte industrii pentru a se adapta, deoarece codul său este deschis, iar comunitățile sale sunt foarte axate pe securitate.

„Cripto stă cel mai aproape de ușă, dar este și partea din cameră care poate vedea ușa venind”, a spus el.