بنیاد اتریوم توضیح می‌دهد که چرا هوش مصنوعی هنوز در یافتن باگ‌های واقعی ناکام است

بنیاد اتریوم فاش کرده است که بزرگترین چالش در تحقیقات امنیتی مبتنی بر هوش مصنوعی، اثبات واقعی بودن کدام یک از آسیب‌پذیری‌های گزارش‌شده است، نه یافتن باگ‌های احتمالی.

به گفته تیم امنیت پروتکل بنیاد اتریوم، آزمایش‌های اخیر با عوامل هماهنگ‌شده هوش مصنوعی، نقص‌های نرم‌افزاری واقعی را در سیستم‌هایی که اتریوم به آن وابسته است، نشان داده است، اما این سازمان گفت که اکثر تلاش‌ها در حال حاضر به جدا کردن یافته‌های معتبر از متقاعد کردن موارد مثبت نادرست انجام می‌شود.

این تیم نتایج را در یک پست فنی فاش کرد و توضیح داد که چگونه عوامل هوش مصنوعی را در برابر نرم افزار سیستم، کتابخانه های رمزنگاری و قراردادهای هوشمند با اطمینان بالا آزمایش می کند.

یکی از اکتشافات تایید شده شامل یک وحشت از راه دور در مولفه gossipsub libp2p است که بخشی از لایه شبکه همتا به همتا را تشکیل می دهد که توسط مشتریان توافق اتریوم استفاده می شود. بنیاد اتریوم گفت این آسیب‌پذیری برطرف شده و بعداً با نام CVE-2026-34219 فاش شد.

به گفته این بنیاد، به جای مشاهده عوامل هوش مصنوعی به عنوان تصمیم گیرندگان، آنها باید به عنوان ابزارهایی در نظر گرفته شوند که فرضیه هایی را ایجاد می کنند که نیاز به تأیید مستقل دارند. در حالی که عوامل می توانند کد منبع را بازرسی کنند، مسیرهای اجرا را ردیابی کنند و مطالب اثبات مفهوم را آماده کنند، بنیاد گفت که آنها همچنین گزارش هایی را بر اساس کد غیرقابل دسترس، مشکلات شناخته شده تکرار شونده، خرابی های فقط اشکال زدایی یا شواهد رسمی ضعیف که نشان دهنده یک مشکل امنیتی واقعی نیست، تولید می کنند.

به گفته این تیم، یافته غیرمنتظره این نبود که هوش مصنوعی می‌تواند خطاها را تشخیص دهد، بلکه تأیید این گزارش‌ها به زمان بیشتری نسبت به تولید آنها نیاز دارد.

گردش کار چند عاملی گزارش های غیر قابل اعتماد را فیلتر می کند

برای کاهش یافته‌های غیرقابل اعتماد، بنیاد اتریوم اعلام کرد که چندین عامل هوش مصنوعی را در یک مخزن نرم‌افزاری مستقر کرده است که هر عامل مرحله متفاوتی از فرآیند بررسی را انجام می‌دهد. کارگزاران به جای تکیه بر یک هماهنگ کننده مرکزی، اطلاعات را از طریق خود مخزن مبادله می کنند و حالت را در کنترل نسخه به اشتراک می گذارند.

به گفته این بنیاد، گردش کار با کشف آغاز می شود، جایی که سطوح حمله گسترده به ایده های قابل آزمایش خاص محدود می شود. سپس ماموران هانتر هر فرضیه را از طریق کد دنبال می کنند و سعی می کنند یک تکثیر کننده فعال ایجاد کنند. عوامل تکمیل کننده گزارش های پذیرفته شده و رد شده را پیگیری می کنند تا از تکرار کارهای قبلی جلوگیری کنند، در حالی که نمایندگان اعتبارسنجی به طور مستقل هر نامزد را بررسی می کنند، موارد تکراری را حذف می کنند و تعیین می کنند که آیا یک گزارش به عنوان یک آسیب پذیری قانونی واجد شرایط است یا خیر.

این بنیاد گفت که هر گزارش پذیرفته شده باید یک هدف دست یافتنی را تعیین کند، یک متغیر امنیتی واضح تعریف کند، مکانیسم خرابی را توضیح دهد، شواهد قابل مشاهده ارائه کند، شامل یک تکثیر کننده مستقل و یک کلید تکراری باشد. این الزامات در نظر گرفته شده است تا اطمینان حاصل شود که هر ادعا می تواند مستقیماً در برابر کد تولید آزمایش شود.

راستی آزمایی انسانی همچنان عامل تعیین کننده است

در قلب این فرآیند، بنیاد اتریوم گفت که یک اصل بر هر چیز دیگر غلبه می کند: یک آسیب پذیری حساب نمی شود مگر اینکه فردی غیر از عامل گزارش دهنده بتواند آن را در برابر پایگاه کد واقعی بازتولید کند. به گفته این بنیاد، این نیاز گزارش‌های ساخته شده در مورد مسیرهای حمله غیرممکن، خطاهای اشکال‌زدایی صرف، یا نتایج تأیید رسمی را که بدون اثبات ویژگی امنیتی معنی‌دار از نظر ریاضی درست به نظر می‌رسند، حذف می‌کند.

این بنیاد گفت که فراتر از اعتبار سنجی فنی، نامزدهای باقی مانده نیز از نظر قابلیت استفاده عملی مورد ارزیابی قرار گرفتند. نقصی که می تواند توسط هر شرکت کننده شبکه ایجاد شود، پیامدهای امنیتی متفاوتی نسبت به نقصی که به دسترسی ممتاز یا منابع محاسباتی غیرواقعی نیاز دارد، دارد.

این بنیاد افزود که عوامل هوش مصنوعی هنگام ارزیابی دسترسی به بهره‌برداری، شدت حمله یا آسیب‌پذیری‌هایی که تنها از طریق توالی‌های معتبر طولانی مدت از تعاملات آشکار می‌شوند، ناسازگار باقی می‌مانند. در چنین مواردی، عوامل به جای جایگزینی محققان امنیتی با تجربه، به عنوان دستیار چارچوب‌های آزمایشی حالت بهتر عمل می‌کنند.

آخرین به روز رسانی امنیتی تنها چند هفته پس از تکمیل یک بازسازی داخلی بزرگ توسط بنیاد اتریوم منتشر شد. در اطلاعیه 23 ژوئن، این سازمان اعلام کرد که نیروی کار خود را تقریباً 20٪ کاهش داده است و 54 کارمند پس از بررسی چند ماهه تحت سیاست مدیریت و مدیریت خزانه داری آن را ترک کردند.

به گفته این بنیاد، بازسازی با هدف حفظ توسعه بلندمدت اتریوم در حالی که کارکنان و منابع را تنها بر روی مسئولیت‌هایی متمرکز می‌کند که سازمان می‌تواند انجام دهد.