Код завжди має баги. Глибокі баги раніше залишалися прихованими, бо їх пошук вимагав рідкісної та дорогої людської експертизи — чистота коду тут не мала значення. Ця вартість швидко знижується. На OpenAI та Paradigm’s EVMbench шість місяців тому найкращі моделі могли експлуатувати менше 20% критичних багів Code4rena. GPT-5.3-Codex зараз виявляє 70%. Але уважно прочитайте друге число. Його повнота охоплення всієї кодової бази все ще становить близько 45%. Штучний інтелект добре працює, коли йому вже вказали на дірку — але слабкий у визначенні, яка саме дірка серед усіх у протоколі дійсно має значення. Перше — це рутинна робота. Друге — це судження. Це має більше значення на ланцюзі, бо немає кнопки «відмінити». Зламаний банк може заморозити та відкотити транзакції. На ланцюзі, коли кошти вже переміщені, немає чистого способу виправити це — це суперечило б самій децентралізації. І 2026 рік показав, де справді витікають кошти. DeFi втратив понад 750 млн $ до середини року. Майже жодна з цих втрат не була результатом бага в коді, знайденого штучним інтелектом. Kelp DAO втратив 292 млн $ — не через баг у коді, а через верифікатор, налаштований як 1 з 1, який отримував хибні дані, тоді як усі транзакції виглядали дійсними. $285 млн Drift — це був мультипідпис, зламаний через соціальну інженерію. StablR — це була надмірно сконцентрована ключова функція створення монет. Жодне з цих не можна виявити, просто прочитавши код. Ви виявляєте їх, розуміючи протокол: де дозволи надто широкі, наскільки хрупкий верифікатор мосту, чи має сенс залежність від оракула, скільки насправді отримує нападник з кожного шляху. Штучний інтелект виявляє сотні підозрілих рядків. Але те, який з них вартий місяців соціальної інженерії для досягнення — це рішення людини. Аудит тепер поділяється на два рівні. Аудит за чек-листом — сканування рядок за рядком за відомими шаблонами — AI робить за години, і цей рівень швидко втрачає цінність. Люди, які розуміють економічну структуру протоколу, його припущення про довіру, реальні шляхи атаки, стають рідкісними та дорогими. Коли пошук багів стає дешевим, саме таке судження залишається рідкісним — а рідкісність встановлює ціну. Спеціаліст з безпеки, якого варто платити в наступному циклі, зможе подивитися на те, що знайшов AI, і сказати вам, чи можна насправді отримати гроші через цей баг.
