Інструмент штучного інтелекту виявив критичну помилку в програмному забезпеченні Nethermind ethereum

На минулому тижні штучний інтелект звинувачували у написанні криптопрограм з багами. Цього тижня йому приписали виявлення бага до того, як його можна було використати. Octane Security, компанія, яка сама себе описує як «безпекову фірму, нативно засновану на ШІ», у середу повідомила, що її інструмент ШІ виявив високоступіневий баг у Nethermind — програмному забезпеченні, яке запускає блокчейн ethereum. Nethermind виправив баг до того, як його можна було використати, сказала Octane. Майже 40% валидаторів ethereum використовують Nethermind, і експлуатація цього бага могла б призвести до пропуску блоків, що вплинуло б на життєздатність та доступність ethereum. «Це одне з найбільш значущих демонстрацій дослідження вразливостей з використанням ШІ», — сказав Джованні Віньоне, засновник і генеральний директор Octane Security, у заяві. «ШІ значно прискорив дослідження вразливостей. Гіпотези щодо багів, перевірка експлуатації та звіти промислового рівня тепер можуть відбуватися в 10 разів швидше, що переписує модель загроз для кожної організації, яка розміщує код у блокчейн». Оголошення Octane з’явилося лише через п’ять днів після того, як компанія-розробник ШІ Anthropic rattled ринки кібербезпеки новим інструментом безпеки, який «сканує кодові бази на наявність вразливостей і пропонує цільові патчі для розгляду людиною». Moonwell ШІ охопив світ технологій, дозволивши досвідченим інженерам писати код швидше, ніж будь-коли раніше. У криптосфері він сприяв ідеї агентного ШІ, коли програми проводять угоди без участі людей. Але він також підсилив занепокоєння. Цього тижня звіт Citrini Research rattled Волл-стрит, уявляючи майбутнє, де ШІ замінив людей і знищив світову економіку. У понеділок S&P впав більше ніж на 1% саме через це. Навіть розробники ШІ стурбовані потенційними військовими застосуваннями своїх створень, як це показує конфлікт Anthropic з Білим домом. ШІ також викликав страх, що технологію можна використовувати для порушення кібербезпеки. Хтось стурбований тим, що ШІ може надати хакерам додаткову потужність. Інші стурбовані тим, що інженери можуть занадто полагодитися на коді, написаному ШІ, і випускати програми з багами. Ця тривога набула реальних форм на початку цього місяця, коли баг у AI-generated коді cost користувачам криптопротоколу Moonwell майже 2,7 мільйона доларів у криптовалюті. Один інженер Moonwell said, що цей код пройшов аудит від криптобезпекової фірми Halborn. «Кодинг з використанням ШІ стане все більш поширеним, і зростаюче застосування vibe coding залишається однією з причин, чому додаткове інвестування у дизайн, моделювання загроз, формальні методи, фаззинг та 24/7 моніторинг — це критичні кроки для кожної команди web3», — сказав Сет Галлем, генеральний директор криптобезпекової фірми Certora, DL News після інциденту з Moonwell. Досвід Octane свідчить про те, що інвестиції все частіше можуть спрямовуватися саме на ШІ. На етапі підготовки до запуску оновлення ethereum Fusaka минулого року Octane приєдналася до конкурсу аудиту, організованого Gnosis та Lido. У конкурсі нагороджувалися дослідники безпеки за знаходження багів у Nethermind та інших так званих клієнтах, які запускають ethereum. Octane об’єдналася з псевдонімним дослідником безпеки Guhu, який перевіряв потенційні баги, виявлені їхнім ШІ. Octane та Guhu подали 17 проблем, 16 з яких були виправлені командами клієнтів. Дев’ять визначили як серйозні, і з них «шість вважаються унікальними», — сказала компанія. Вони поселили четверте місце у конкурсі, заробивши $70 633 у нагородах. Вони також подали баг Nethermind у програму баг-баунтів, запущену Фондом ethereum. За словами Octane, хакер мав можливість погано вплинути на валидатори, що працюють на Nethermind, надсилаючи «неформатну транзакцію». «Це могло б призвести до тривалого пропускання слотів усими пропозерами на основі Nethermind доти, доки неформатна транзакція залишалася в пулу», — сказала компанія. «Експлуатація призвела б до втрати цього потенціалу з мережі, через що постраждалi валидатори пропускали б нагороди за блоки, отримували штрафи за неактивнiсть та погано впливали на загальну життєздатнiсть та доступнiсть мережi». Баг навряд чи був експлуатований і швидко був виправлений. Фонд ethereum нагородив Octane баг-баунтом у розмiрi $50 000, сказала компанiя. «Якщо ви не використовуєте ШІ для постійного пошуку та виправлення недолікiв, ви конкуруєте з чорними хакерами», — сказав Вiньоне. Aleks Gilbert is DL News’ New York-based DeFi correspondent. You can reach him at aleks@dlnews.com.