AI agentai rado tikrą Ethereum klaidą, galėjusią sugriauti validatorius

Registruota kaip CVE-2026-34219, spraga leido bet kuriam nepatvirtintam mazgui išsiųsti vieną specialiai sukurtą žinutę, kuri privertė mazgą atlikti neįmanomą skaičiavimą ir jį išjungė, atjungdama validatorių, kol operatorius jo neperkraudavo. Kadangi užpuolikas galėjo vėl prisijungti ir žinutę pakartoti, lūžį buvo pigu kartoti.

Pagrindinė priežastis buvo įprasta, nepatikrintas aritmetinis perpildymas tvarkant įprastą atidėjimo žinutę. Ji įvertinta kaip vidutinio pavojingumo ir ištaisyta libp2p-gossipsub versijoje 0.49.4, o operatoriai raginti greitai atsinaujinti. Ji sekė ir panašią gretimą klaidą tame pačiame komponente, užuominą, kad sritis reikalauja atidesnės priežiūros.

Įdomesnis atradimas buvo apie pačią AI. Agentai buvo suskirstyti į vaidmenis, žvalgyba, medžioklė, spragų užpildymas ir patvirtinimas, ir derinosi per bendrą kodo saugyklą, o ne per centrinį valdiklį, remiantis darbo su agentų flotile principu.

Jie sugeneravo milžinišką kiekį medžiagos. Vienas agentas pateikė maždaug 1 000 kandidatų, ir tik dalis buvo tikri. Apie 86 proc. geriausių pasirinkimų išliko po ekspertų peržiūros, tačiau dauguma pažymėtų problemų buvo įtikinami klaidingi signalai, lūžiai tik testinėse versijose, atakos, reikalaujančios reikšmių, kurių pašalinis negalėtų pateikti, ir įrodymai, kurie techniškai galioja, bet nieko neparodo.

Todėl fondas apibendrino pamoką ne kaip klaidų skaičių, o kaip darbo eigą. „AI nepakeitė saugumo tyrėjo. Ji perkėlė darbą.“ Kliūtis pasislinko nuo problemų radimo prie tikrų atskyrimo nuo triukšmo.

ETH investuotojams yra dvi išvados. Gera žinia, kad procesas suveikė, vidutinio pavojingumo klaida kritinėje infrastruktūroje buvo rasta, ištaisyta ir atskleista be trikdžių. Sunkesnė tiesa, kad tinklo saugumo paviršius yra milžiniškas, išsklaidytas tarp daugybės klientų, kalbų ir priklausomybių.

Metrika, kurią dabar verta stebėti, yra tai, kaip greitai mazgų operatoriai iš tikrųjų atsinaujina, nes ištaisyta klaida, kurią pusė tinklo ignoruoja, vis dar yra gyvas pavojus. Niekas iš to nekeičia, kaip laikote turtą, tačiau tai primena, kad savarankiškas saugojimas ir atnaujinta programinė įranga svarbu, todėl verta peržiūrėti pinigines ir viską laikyti atnaujintą.

Platesnis signalas yra tas, kad AI nuo išmaniųjų sutarčių audito perėjo prie tinklo branduolio kodo tyrimo. Tyrėjų ji nepakeitė. Tik padavė jiems kur kas didesnę krūvą įvertinti.

Tinklui, saugančiam šimtus milijardų dolerių, tas pokytis, kaip randamos klaidos, galiausiai gali būti toks pat svarbus kaip ir viena ištaisyta spraga. Kitas išbandymas bus tai, ar operatoriai atsinaujins pakankamai greitai, kad pataisa iš tikrųjų apsaugotų visą tinklą.

Būtent todėl verta atidžiai stebėti ne tik pačią pataisą, bet ir tai, kaip greitai ir nuosekliai ją realiai įdiegs validatoriai visame tinkle.