Ethereum Foundation og AI i Sikkerhetstesting
Ethereum Foundation benytter en rekke AI-agenter for å teste Ethereum-nettverket før ondsinnede aktører får muligheten til å utnytte sårbarheter. I et blogginnlegg torsdag delte forskere fra Ethereum Foundation sitt Protocol Security-team at de har igangsatt en serie AI-agenter for å identifisere svakheter i kryptografiske systemer, protokollkode og smarte kontrakter.
«Vi har kjørt koordinerte AI-agenter mot de systemene nettverket er avhengig av, som systemprogramvare, kryptografisk kode og kontrakter som må være korrekte,» skrev forskerne. «Agentene oppdaget reelle feil.»
En av feilene som ble avdekket, var en eksternt utløst panikk i libp2p’s gossipsub, en del av peer-to-peer-laget som brukes av Ethereum-konsensusklienter. Problemet ble rettet opp og offentliggjort på GitHub som CVE-2026-34219.
Red Teaming og AI-agenter
Kjent som red teaming, innebærer denne praksisen at selskaper ansetter sikkerhetsforskere for å angripe sine egne systemer, med mål om å avdekke svakheter før ondsinnede hackere finner dem. Mens red teams angriper et system, er det opp til blue teams å forsvare det.
Tradisjonelt har menneskelige forskere søkt etter sårbarheter ved å gjennomgå kode manuelt, men AI-agenter kan skanne hele kodebaser, teste potensielle utnyttelser og generere funn for gjennomgang.
«Agentene som finner feil var ikke overraskelsen,» skrev teamet. «Overraskelsen var hvor lite arbeid som gikk med til å finne dem, og hvor mye som gikk med til å skille de reelle feilene fra de som bare så reelle ut.»
Ifølge Ethereum Foundation er agentene organisert i spesialiserte roller, inkludert rekognosering, jakt, gap-fylling og validering. Noen søker etter mulige angrepsveier, mens andre forsøker å gjenskape feil og verifisere om de fungerer mot produksjonskode.
«Skjemaet er der av en grunn,» skrev de. «Det tvinger frem et spesifikt, testbart krav og en klar definisjon av ferdig. En agent som må skrive ned et observerbart bevis kan ikke falle tilbake på «dette ser risikabelt ut.'»
AI i Sårbarhetsforskning
Den voksende rollen til AI i sårbarhetsforskning ble demonstrert i april, da en forhåndsversjon av Anthropic’s Claude Mythos oppdaget 271 sårbarheter i Mozillas Firefox-nettleser. Forskerne sammenlignet AI-agenter med fuzzers, eller verktøy som tester programvare for feil. Men i motsetning til fuzzers, kan AI-agenter generere sårbarhetsrapporter, vurdere konsekvenser og lage proof-of-concept-tester.
Likevel betyr ikke detaljert alltid korrekt. AI-genererte funn kan virke overbevisende selv når de er feil, noe som etterlater forskere med oppgaven å filtrere ut duplikater, falske positiver og sårbarheter som faktisk ikke kan utnyttes.
«En regel betyr mer enn noen annen. En kandidat er ikke et funn før det er et selvstendig artefakt som gjenskaper feilen mot den virkelige koden, og som kjører for noen som ikke skrev den,» skrev forskerne. «Reprodusenten leser ikke oppsummeringen, og den bryr seg ikke om hvor selvsikker modellen hørtes ut. Den kjører enten eller den gjør det ikke.»
AI-verktøy har allerede hjulpet sikkerhetsforskere med å avdekke feil i blokkjedenettverk. I mai brukte sikkerhetsforsker Taylor Hornby Anthropic’s Claude Opus 4.8 under en AI-assistert revisjon som avdekket en kritisk sårbarhet i Zcash’s Orchard personvernsboble. Feilen hadde eksistert i omtrent fire år og kunne ha tillatt en angriper å lage falske ZEC uten en åpenbar on-chain spor. En nettverksoppgradering for å gjenopprette tilliten til Zcash’s forsyning er fortsatt under arbeid.
Konklusjon
Ethereum Foundation’s eksperiment bringer teknologien inn i huset, ved å bruke AI-agenter til å teste sin egen kode for å finne sårbarheter. «AI erstatter ikke sikkerhetsforskeren. Det flytter arbeidet,» sa Ethereum Foundation. «Agenter lar oss dekke mye mer grunn enn vi kunne for hånd. I bytte ber de om mer nøye vurdering, over en mye større haug av selvsikre påstander.»
«Det er en handel verdt å gjøre,» la de til, «så lenge du husker at vurderingen er det virkelige produktet.»
