مؤسسة إيثريوم: وكلاء الذكاء الاصطناعي يكتشفون ثغرات حقيقية في البروتوكول، لكن التحقق البشري يظل ضروريًا

• قالت مؤسسة إيثريوم إن وكلاء الذكاء الاصطناعي يساعدون في كشف ثغرات البروتوكول، لكن جميع النتائج تخضع لمراجعة بشرية دقيقة قبل اعتمادها.
• تأكيد أي ثغرة يتطلب تقديم نموذج استغلال تجريبي قابل لإعادة الإنتاج، للتحقق من صحة الثغرة واستبعاد النتائج الإيجابية الكاذبة التي قد يولدها تحليل الذكاء الاصطناعي.
• وأضافت المؤسسة أن الذكاء الاصطناعي غيّر طبيعة أبحاث الأمن السيبراني من العثور على الأخطاء إلى التحقق من أي الثغرات المبلغ عنها حقيقية وتستحق الإفصاح عنها.

قالت مؤسسة إيثريوم (EF) يوم الخميس إن الذكاء الاصطناعي (AI) أصبح أداةً أكثر فاعلية على نحو متزايد في اكتشاف الثغرات الأمنية في برمجيات بروتوكول إيثريوم.

مؤسسة إيثريوم تستخدم الذكاء الاصطناعي لكشف ثغرات البروتوكول

وأوضح فريق أمن البروتوكول في المؤسسة في تدوينة كيف يجري نشر وكلاء ذكاء اصطناعي منسقين لتدقيق البنية التحتية الحيوية لإيثريوم، بما في ذلك برمجيات الأنظمة والشفرة التشفيرية والعقود الذكية.

ومن الأمثلة على ذلك حالة ذعر يمكن تفعيلها عن بُعد في بروتوكول الشبكات Gossipsub الخاص بـ libp2p، وهو مكوّن أساسي تستخدمه عملاء إجماع إيثريوم. وقد جرى إصلاح المشكلة منذ ذلك الحين والإفصاح عنها علناً على أنها CVE-2026-34219، مع نسب الفضل إلى فريق أمن البروتوكول.

ومع ذلك، أشارت المؤسسة إلى أن اكتشاف الأخطاء لم يكن المفاجأة الأكبر.

وكتبت EF: "كانت المفاجأة هي مدى ضآلة العمل الذي ذهب إلى العثور عليها، ومدى ما ذهب إلى التمييز بين الأخطاء الحقيقية وتلك التي بدت حقيقية فقط".

وقارنت المؤسسة وكلاء الذكاء الاصطناعي بأدوات fuzzing. ففي حين أن أدوات fuzzers التقليدية تنتج عادةً حالات تعطل وتتبعاً للمكدس، فإن وكلاء الذكاء الاصطناعي يولدون مخرجات أكثر تفصيلاً بكثير، بما في ذلك تقارير الثغرات ومسارات الاستغلال المحتملة وتقييمات الخطورة وشيفرة إثبات المفهوم.

وعلى الرغم من ذلك، حذرت المنظمة من أن عدد الثغرات التي يولدها الذكاء الاصطناعي لا ينبغي اعتباره مقياساً للنجاح.

"لذا لا تعدّوا عدد المرشحين الذين ينتجهم الوكيل. عدّوا كم منها يتبين أنه حقيقي," كتبت المؤسسة.

ولتحسين الموثوقية، يشغّل فريق أمن البروتوكول عدة وكلاء ذكاء اصطناعي في الوقت نفسه على قاعدة الشيفرة نفسها، مع إسناد مهام متخصصة لهم مثل الاستطلاع، والبحث عن الثغرات، والتحقق، وتحليل التغطية.

وبدلاً من الاعتماد على منسق مركزي، يتعاون الوكلاء عبر مستودعات مشتركة ونظام التحكم بالإصدارات، ما يتيح لكل منهم البناء على عمل الآخرين مع التحقق من النتائج بشكل مستقل.

وقالت المؤسسة إنه لا يُعتد بأي مشكلة أمنية ما لم يكن بالإمكان إعادة إنتاجها باستخدام إثبات مفهوم مستقل يعمل على الشيفرة الإنتاجية الفعلية، وليس في بيئة اختبار اصطناعية.

وسلطت التدوينة الضوء على عدة مصادر شائعة للإيجابيات الزائفة. وتشمل هذه الأعطال التي تحدث فقط في نسخ التصحيح، وعمليات الاستغلال القائمة على مسارات تنفيذ مستحيلة، وبراهين التحقق الرسمي التي تنجح تقنياً لكنها تفشل في التحقق من الخاصية الأمنية المقصودة.

وأشارت مؤسسة إيثريوم إلى أن معظم النتائج التي يولدها الذكاء الاصطناعي يتبين في النهاية أنها غير صحيحة أو مكررة أو خارج النطاق المقصود للتدقيق. وتخضع كل نتيجة صامدة للتحقق المستقل لتحديد ما إذا كان من الممكن استغلالها واقعياً وما إذا كان أثرها المحتمل يبرر مزيداً من التحقيق أو الإفصاح.

وفي حين يتيح الذكاء الاصطناعي للباحثين فحص شيفرة أكثر بكثير مما تسمح به المراجعات اليدوية وحدها، شددت EF على أن الإشراف البشري يظل العامل الحاسم في تحديد أي النتائج حقيقية وأيها ينبغي في النهاية التعامل معه.