Fundacja Ethereum ujawnia jak działają zautomatyzowani agenci AI w testach kodu

Fundacja Ethereum oficjalnie poinformowała w opublikowanym komunikacie, że skoordynowani agenci AI sprawnie lokalizują podatności w sieci, ale generują przy tym ogromną liczbę fałszywych alarmów. Zespół odpowiedzialny za bezpieczeństwo protokołu wykorzystuje te zautomatyzowane narzędzia do testowania kluczowych systemów, w tym oprogramowania systemowego, inteligentnych kontraktów i kodu kryptograficznego. Choć algorytmy faktycznie odnajdują realne zagrożenia, to proces oddzielania prawdziwych błędów od anomalii, które jedynie przypominają awarię, pochłania obecnie najwięcej czasu i zasobów ludzkich.

Wydajność algorytmów w namierzaniu podatności zaskoczyła samych deweloperów, jednak natychmiast ujawniła drugą stronę medalu. Zamiast ręcznego pisania testów i śledzenia potencjalnych luk w zabezpieczeniach od zera, inżynierowie mierzą się teraz z setkami automatycznych raportów na dobę. Narzędzia te masowo wskazują potencjalnie niebezpieczne fragmenty architektury, drastycznie zmieniając codzienną rutynę audytorów, którzy z poszukiwaczy usterek stali się sędziami analizującymi nieustanny strumień powiadomień.

Większość wskazań generowanych przez maszyny zawiera błędy logiczne, powiela wcześniejsze raporty lub całkowicie wykracza poza ustalony zakres badania. Zespół techniczny zaznacza, że nie uważa tego zjawiska za wadę samej metody, lecz za jej naturalną specyfikę. Głównym celem inżynierów stało się sprawne odrzucanie nieprawidłowych hipotez oraz precyzyjne dokumentowanie tych zgłoszeń, które niosą realne ryzyko dla stabilności systemów.

Sztuczna inteligencja udowodniła swoją przydatność, namierzając poważną podatność w elemencie gossipsub biblioteki libp2p. To kluczowy komponent warstwy peer-to-peer, z którego korzystają klienci konsensusu sieci Ethereum. Błąd umożliwiał zdalne wywołanie krytycznego błędu systemu (tzw. panic). Deweloperzy usunęli już tę lukę i upublicznili dokumentację techniczną usterki, co potwierdza, że agenci AI potrafią przynieść wymierne korzyści.

Systemy automatyczne wykazują jednak poważne ograniczenia. Oprogramowanie radzi sobie z prostymi, pojedynczymi błędami, ale ma ogromne trudności z identyfikacją złożonych podatności, które ujawniają się dopiero w wyniku określonej sekwencji wielu następujących po sobie zdarzeń. Z tego powodu specjaliści traktują obecnie te narzędzia jako zaawansowaną wyszukiwarkę, a nie nieomylną wyrocznię.

Zmienił się rozkład obowiązków wewnątrz zespołów security. Czas poświętny dawniej na tworzenie teorii i ręczne poszukiwanie luk programistycznych, teraz pochłania budowa systemów weryfikacyjnych, triaż zgłoszeń, prowadzenie rejestru znanych błędów oraz zarządzanie procesem ich bezpiecznego ujawniania. Wąskie gardło nie zniknęło z procesu deweloperskiego, lecz przesunęło się w stronę weryfikacji i zaufania do uzyskanych wyników.

Zmiany w podejściu do audytu zbiegają się z głębszymi przekształceniami wewnątrz samej organizacji. Fundacja Ethereum przeszła niedawno reorganizację operacyjną, która doprowadziła do redukcji personelu o 20% łącznej liczby etatów. Mniejszy zespół musi teraz efektywniej zarządzać czasem, co bezpośrednio wymusza wdrożenie nowoczesnych algorytmów.

Każda wykryta przez maszynę anomalia zyskuje status oficjalnego błędu dopiero w momencie, gdy człowiek zdoła niezależnie odtworzyć awarię bezpośrednio w działającym kodzie źródłowym. Ludzki osąd pozostaje decydującym elementem ochrony ekosystemu, ponieważ agenci AI nie potrafią samodzielnie ocenić kontekstu biznesowego i operacyjnego wykrytych anomalii. Maszyny wykonują powtarzalną pracę analityczną, ale ostateczna odpowiedzialność za stabilność miliardowych funduszy zdeponowanych w sieci ciąży na programistach.