Quỹ Ethereum nói tác nhân AI phát hiện lỗi thực giao thức, xác minh của con người rất quan trọng

• Quỹ Ethereum cho biết các tác nhân AI đang giúp phát hiện các lỗ hổng trong giao thức, nhưng mọi phát hiện đều cần được xem xét kỹ lưỡng bởi con người trước khi chấp nhận.
• Các bằng chứng khai thác có thể tái tạo được yêu cầu để xác nhận các lỗ hổng và loại bỏ các kết quả dương tính giả phát sinh trong quá trình phân tích AI.
• EF bổ sung rằng AI đã chuyển hướng nghiên cứu bảo mật từ việc tìm lỗi sang việc xác minh những lỗ hổng được báo cáo là thật và xứng đáng được công bố.

Quỹ Ethereum (EF) cho biết vào thứ Năm rằng trí tuệ nhân tạo (AI) đang trở thành công cụ ngày càng hiệu quả trong việc xác định các lỗ hổng trong phần mềm giao thức của Ethereum.

Ethereum Foundation sử dụng AI để phát hiện các lỗ hổng trong giao thức

Đội ngũ Bảo mật Giao thức của Quỹ đã trình bày chi tiết trong một bài đăng trên blog về cách họ đã triển khai các tác nhân AI phối hợp để kiểm toán hạ tầng quan trọng của Ethereum, bao gồm phần mềm hệ thống, mã hóa mật mã và hợp đồng thông minh.

Một ví dụ là lỗi panic có thể kích hoạt từ xa trong giao thức mạng Gossipsub của libp2p, một thành phần cốt lõi được sử dụng bởi các client đồng thuận của Ethereum. Vấn đề này đã được vá và công khai dưới mã CVE-2026-34219, với công nhận dành cho đội ngũ Bảo mật Giao thức.

Tuy nhiên, Quỹ lưu ý rằng việc phát hiện lỗi không phải là điều gây sốc nhất.

"Điều bất ngờ là có rất ít công sức dành cho việc tìm ra chúng, và nhiều công sức hơn dành cho việc phân biệt lỗi thật với những lỗi chỉ có vẻ thật," EF viết.

Quỹ so sánh các tác nhân AI với các công cụ fuzzing. Trong khi các công cụ fuzzing truyền thống thường tạo ra các lỗi sập và dấu vết ngăn xếp, các tác nhân AI tạo ra các kết quả chi tiết hơn nhiều, bao gồm báo cáo lỗ hổng, các đường khai thác tiềm năng, đánh giá mức độ nghiêm trọng và mã bằng chứng khái niệm.

Bất chấp điều này, tổ chức cảnh báo rằng số lượng lỗ hổng do AI tạo ra không nên được coi là thước đo thành công.

"Vì vậy, đừng đếm số lượng ứng viên mà một tác nhân tạo ra. Hãy đếm số lượng ứng viên thực sự là thật," Quỹ viết.

Để cải thiện độ tin cậy, đội ngũ Bảo mật Giao thức chạy nhiều tác nhân AI đồng thời trên cùng một cơ sở mã, giao cho họ các nhiệm vụ chuyên biệt như trinh sát, săn lùng lỗ hổng, xác thực và phân tích phạm vi bao phủ.

Thay vì dựa vào một điều phối viên trung tâm, các tác nhân hợp tác thông qua các kho lưu trữ chia sẻ và kiểm soát phiên bản, cho phép mỗi tác nhân xây dựng dựa trên công việc của các tác nhân khác trong khi tự xác minh các phát hiện.

Quỹ cho biết không có vấn đề bảo mật nào được coi là hợp lệ trừ khi nó có thể được tái tạo bằng một bằng chứng khái niệm tự chứa chạy trên mã sản xuất thực tế, thay vì trong môi trường kiểm thử nhân tạo.

Bài đăng trên blog nêu bật một số nguồn phổ biến của các kết quả dương tính giả. Bao gồm các lỗi sập chỉ xảy ra trong các bản dựng gỡ lỗi, các khai thác bằng chứng khái niệm dựa trên các đường thực thi không thể xảy ra, và các bằng chứng xác minh hình thức về mặt kỹ thuật thì đạt nhưng không xác thực được thuộc tính bảo mật dự kiến.

Quỹ Ethereum lưu ý rằng hầu hết các phát hiện do AI tạo ra cuối cùng đều được chứng minh là không chính xác, trùng lặp hoặc nằm ngoài phạm vi kiểm toán dự kiến. Mỗi ứng viên còn tồn tại đều trải qua xác thực độc lập để xác định xem nó có thể bị khai thác thực tế hay không và liệu tác động tiềm năng có xứng đáng để điều tra thêm hoặc công bố hay không.

Mặc dù AI cho phép các nhà nghiên cứu xem xét nhiều mã hơn nhiều so với việc kiểm tra thủ công đơn thuần, EF nhấn mạnh rằng sự giám sát của con người vẫn là yếu tố quyết định trong việc xác định phát hiện nào là thật và phát hiện nào cuối cùng nên được hành động.