Công cụ AI phát hiện lỗ hổng nghiêm trọng trong phần mềm Nethermind của ethereum

Tuần trước, trí tuệ nhân tạo bị đổ lỗi vì viết phần mềm tiền điện tử chứa lỗi. Tuần này, nó được ghi nhận vì đã phát hiện ra một lỗ hổng trước khi bị khai thác. Octane Security, một công ty bảo mật tự mô tả là “AI-native”, cho biết vào thứ Tư rằng công cụ AI của họ đã phát hiện ra một lỗ hổng nghiêm trọng trong Nethermind — phần mềm chạy blockchain ethereum. Octane cho biết Nethermind đã vá lỗ hổng này trước khi bị khai thác. Gần 40% các validator ethereum sử dụng Nethermind, và nếu bị khai thác, nó có thể khiến họ bỏ lỡ các khối, ảnh hưởng đến tính sẵn sàng và hoạt động liên tục của ethereum. “Đây là một trong những minh chứng quan trọng nhất cho đến nay về nghiên cứu lỗ hổng do AI dẫn dắt,” Giovanni Vignone, người sáng lập và CEO của Octane Security, cho biết trong một tuyên bố. “AI đã đẩy nhanh đáng kể nghiên cứu lỗ hổng. Các giả thuyết về lỗi, xác minh khai thác và báo cáo chất lượng sản xuất giờ đây có thể diễn ra nhanh hơn 10 lần, điều này viết lại mô hình đe dọa cho mọi tổ chức đưa mã lên chain.” Thông báo của Octane được đưa ra chỉ năm ngày sau khi công ty AI Anthropic rattled các cổ phiếu an ninh mạng với một công cụ bảo mật mới có khả năng “quét cơ sở mã để tìm lỗ hổng bảo mật và đề xuất các bản vá phần mềm nhắm mục tiêu để con người xem xét.” Moonwell AI đã làm khuấy động thế giới công nghệ, giúp các kỹ sư phần mềm giàu kinh nghiệm viết mã nhanh hơn bao giờ hết. Trong lĩnh vực tiền điện tử, nó đã thúc đẩy ý tưởng về AI agentic — nơi các chương trình thực hiện giao dịch độc lập mà không cần sự can thiệp của con người. Nhưng nó cũng làm dấy lên những lo ngại. Tuần này, một báo cáo từ Citrini Research rattled Wall Street khi hình dung một tương lai nơi AI đã thay thế người lao động và phá hủy nền kinh tế toàn cầu. Chỉ số S&P đã giảm hơn 1% vào thứ Hai do ảnh hưởng của báo cáo này. Ngay cả các nhà phát triển AI cũng lo ngại về các ứng dụng quân sự tiềm tàng của sáng tạo của họ, như cuộc xung đột giữa Anthropic và Nhà Trắng cho thấy. Và AI đã gây ra nỗi sợ rằng công nghệ này có thể bị sử dụng để phá vỡ an ninh mạng. Một số người lo ngại nó có thể trang bị thêm sức mạnh cho tin tặc. Những người khác lo lắng rằng các kỹ sư có thể quá phụ thuộc vào mã do AI viết ra và phát hành phần mềm chứa lỗi. Nỗi lo này đã trở thành hiện thực đầu tháng này, khi một lỗi trong mã AI-generated đã cost người dùng giao thức tiền điện tử Moonwell gần 2,7 triệu đô la tiền điện tử. Một kỹ sư phần mềm của Moonwell said mã liên quan đã vượt qua cuộc kiểm toán từ công ty bảo mật tiền điện tử Halborn. “Mã hóa do AI sẽ ngày càng phổ biến hơn, và việc ngày càng nhiều người áp dụng ‘vibe coding’ vẫn là một lý do khiến việc đầu tư nhiều hơn vào thiết kế, mô hình đe dọa, phương pháp hình thức, fuzzing và giám sát 24/7 là những bước thiết yếu mà mọi đội ngũ web3 cần thực hiện,” Seth Hallem, CEO của công ty bảo mật tiền điện tử Certora, nói với DL News sau sự cố Moonwell. Trải nghiệm của Octane cho thấy đầu tư có thể ngày càng chảy về phía AI. Trước khi nâng cấp ethereum Fusaka ra mắt năm ngoái, Octane đã tham gia một cuộc thi kiểm toán do Gnosis và Lido tài trợ. Cuộc thi thưởng cho các nhà nghiên cứu bảo mật vì tìm ra lỗi trong Nethermind và các “client” khác chạy ethereum. Octane hợp tác với nhà nghiên cứu bảo mật ẩn danh Guhu, người xem xét các lỗi tiềm ẩn được công cụ AI của công ty phát hiện. Octane và Guhu đã nộp 17 vấn đề, trong đó 16 vấn đề đã được các đội ngũ client vá lỗi. Chín vấn đề được đánh giá là nghiêm trọng, và trong số đó, “sáu vấn đề được cho là độc đáo,” công ty cho biết. Cuối cùng, họ xếp hạng tư trong cuộc thi và nhận được phần thưởng 70.633 đô la. Họ cũng đã nộp lỗ hổng Nethermind vào chương trình bug bounty do Quỹ ethereum vận hành. Theo Octane, một tin tặc có thể phá hoại các validator chạy Nethermind bằng cách gửi một “giao dịch không hợp lệ.” “Điều này có thể gây ra tình trạng bỏ lỡ slot liên tục trên tất cả các proposer dựa trên Nethermind trong suốt thời gian giao dịch không hợp lệ vẫn còn trong pool,” công ty cho biết. “Việc khai thác sẽ loại bỏ khả năng đó khỏi mạng lưới, khiến các validator bị ảnh hưởng bỏ lỡ phần thưởng khối, chịu phạt do không hoạt động, và làm suy giảm tính sẵn sàng và hoạt động tổng thể của mạng lưới.” Lỗ hổng này chưa bao giờ bị khai thác và đã được vá kịp thời. Quỹ ethereum đã trao cho Octane phần thưởng bug bounty 50.000 đô la, công ty cho biết. “Nếu bạn không sử dụng AI để liên tục tìm và sửa lỗi, bạn đang cạnh tranh với những kẻ đen đang làm điều đó,” Vignone nói. Aleks Gilbert là DL News’ New York-based DeFi correspondent. You can reach him at aleks@dlnews.com.