AIツール、EthereumのNethermindソフトウェアに深刻なバグを発見

先週、人工知能がバグだらけの暗号通貨ソフトウェアの作成を担ったと非難された。今週は、そのバグが悪用される前にAIが発見したと称賛された。自らを「AIナティブなセキュリティ企業」と称するOctane Securityは、水曜日、自社のAIツールがEthereumブロックチェーンを実行するNethermindソフトウェアに高嚴重度のバグを発見したと発表した。 Octaneによると、Nethermindはこのバグが悪用される前に修正した。Ethereumのバリデータの約40％がNethermindを使用しており、このバグが悪用されれば、バリデータがブロックを欠落させ、Ethereumの稼働性と可用性に影響を与えていた可能性がある。 Octane Securityの創設者でCEOであるGiovanni Vignoneは、声明で次のように述べた。「これは、AI主導の脆弱性調査としてこれまでで最もリスクの高い実証の一つです。 AIは脆弱性調査を劇的に加速しました。バグの仮説立案、悪用の検証、本番レベルのレポート作成がこれまでの10倍のスピードで可能になり、オンチェーンにコードを公開するすべての組織の脅威モデルを書き換えています。」 Octaneの発表は、AI企業Anthropicが「コードベースをスキャンしてセキュリティ脆弱性を検出し、人間によるレビュー用にターゲット化されたソフトウェアパッチを提案する」新しいセキュリティツールでサイバーセキュリティ株を揺るがしてからたった5日後のことである。 Moonwell AIはテクノロジー界を席巻し、経験豊富なソフトウェアエンジニアがかつてない速さでコードを書くことを可能にした。暗号通貨分野では、プログラムが人間の介入なしに取引を実行する「エージェント型AI」の概念を後押ししてきた。しかし、同時に懸念も広がっている。今週、Citrini Researchの報告書が、AIが人間の労働者を置き換え、世界経済を破壊する未来を描いてWall Streetを揺るがした。その結果、月曜日にS&Pは1％以上下落した。 AI開発者自身も、Anthropicとホワイトハウスの対立が示すように、自らの開発した技術が軍事目的に使用される可能性に懸念を抱いている。また、AIがサイバーセキュリティを破壊するために利用される可能性への恐れも生じている。一部では、ハッカーが強化されると懸念されている。他の人々は、エンジニアがAIが書いたコードに過度に依存し、バグのあるソフトウェアをリリースしてしまうことを心配している。この懸念は今月上旬、AI生成コードのバグにより暗号プロトコルMoonwellのユーザーが約270万ドル分の暗号資産を失ったことで現実となった。Moonwellのソフトウェアエンジニアの一人は、該当するコードが暗号セキュリティ企業Halbornによる監査を通過していたと語った。「AIによるコーディングはますます普及していくでしょう。『バイブコーディング』の採用拡大が、設計、脅威モデリング、形式的手法、ファジング、24/7監視へのさらなる投資がすべてのweb3チームにとって不可欠なステップである理由の一つです」と、暗号セキュリティ企業CertoraのCEOであるSeth Hallemは、Moonwell事件後にDL Newsに語った。 Octaneの経験は、投資がますますAIに向かう可能性を示唆している。昨年EthereumアップグレードFusakaのリリースに向けた準備期間中、OctaneはGnosisとLidoが主催する監査コンテストに参加した。このコンテストでは、Ethereumを実行するNethermindおよび他のいわゆるクライアントにおけるバグを発見したセキュリティ研究者に報奨金が与えられた。 Octaneは仮名のセキュリティ研究者Guhuと提携し、同社のAIがフラグした潜在的バグをレビューした。 OctaneとGuhuは17件の問題を提出し、そのうち16件がクライアントチームによって修正された。そのうち9件が深刻と評価され、「そのうち6件は独自であると見なされている」と同社は述べた。最終的に彼らはコンテストで4位となり、70,633ドルの報奨金を受け取った。また、彼らはEthereum財団が運営するバグバウンティプログラムにもNethermindのバグを提出した。 Octaneによると、ハッカーは「不正なトランザクション」を送信することでNethermindを実行するバリデータを破壊できたという。「この不正なトランザクションがプールに残っている限り、すべてのNethermindベースプロポーザーで持続的なスロット欠落が発生していた可能性があります」と同社は述べた。「悪用されれば、ネットワークからその処理能力が奪われ、影響を受けたバリデータはブロック報酬を見逃し、不活性漏れペナルティを科され、ネットワーク全体の稼働性と可用性が低下していたでしょう。」このバグは悪用されることなく即座にパッチが適用された。Ethereum財団はOctaneに5万ドルのバグバウンティを支払ったと同社は述べた。「継続的にAIを使って脆弱性を見つけて修正していないなら、AIを使っているブラックハットと競争していることになります」とVignoneは語った。 Aleks GilbertはDL Newsのニューヨーク在住DeFi特派員です。お問い合わせはaleks@dlnews.comまで。