Ethereum Foundation, büyük protokol değişiklikleri öncesinde yapılan güvenlik testlerinde koordine çalışan yapay zekâ ajanlarının gerçek yazılım hataları yakaladığını açıkladı. Bu süreç, Ethereum’un (ETH) tarihindeki en büyük mimari kaymalardan birine hazırlanırken yürütülüyor.
Öne Çıkanlar
- YZ ajanları, uzaktan tetiklenebilen bir konsensüs istemcisi arızası da dahil olmak üzere gerçek güvenlik açıkları tespit etti.
- Araştırmacılara göre otomasyon kapsamı genişletiyor, ancak aynı zamanda son derece ikna edici sahte pozitifler üretiyor.
- Bulguların doğrulanması ve önem derecesinin ölçülmesinde insan güvenlik uzmanları hâlâ kritik rol oynuyor.
Ethereum’un YZ Güvenlik Testleri
Vakfın Protokol Güvenliği ekibi, koordine çalışan ajanların Ethereum kod tabanını tararken gerçek açıklar bulduğunu duyurdu. Bunlar arasında, konsensüs istemcilerinin kullandığı eşler arası (P2P) katmanda, uzaktan tetiklenebilen bir “panic” durumu da yer aldı. Geliştiriciler söz konusu sorunu çoktan yamaladı.
Araştırmacılar, sürprizin ajanların bug bulmasında değil, bu bug’ları bulmak için gereken emeğin; geçerli bulguları, oldukça makul görünen ama hatalı uyarılardan ayırmak için gerekenden daha az olmasında yattığını belirtti.
Ekip bunu şöyle özetledi:
“Asıl şaşırtıcı olan, emeğin ne kadar azının bug’ları bulmaya, ne kadar fazlasının da gerçek hataları sadece gerçekmiş gibi görünenlerden ayırmaya gitmesiydi.”
Vakıf, çalışma sürecini keşif, avcılık, boşluk doldurma ve doğrulama gibi rollere ayırdı; bu çerçevede Anthropic ve Cloudflare’in önceki araştırmalarından yararlandı. Ajanların, teknik spesifikasyonları kodla ilişkilendirme ve olası kök nedenler önermede güçlü performans sergilediği aktarıldı.
Ancak sistemler zaman zaman erişilemeyen çağrı zincirlerini istismara açık varsaydı ve bazı zafiyetlerin ciddiyetini abarttı. Ekip, bildirilen her açığın gerçekten sömürülebilir olup olmadığını test etmek ve pratik etkisini değerlendirmek için insan incelemesinin hâlâ şart olduğunun altını çizdi.
Blog yazısında şu değerlendirme yer aldı:
“Ajanlar, tek başımıza elle inceleyebileceğimizden çok daha geniş bir alanı taramamızı sağlıyor. Karşılığında ise, içinden seçici davranmamız gereken, özgüveni yüksek çok daha büyük bir iddia yığınıyla bizi baş başa bırakıyorlar.”
Ayrıca Oku: Charles Hoskinson Cardano’dan Ayrılıyor mu? İddiaları Baştan Aşağı Yalanladı
Ethereum’da Güvenlik Odaklı Yapısal Değişim
Bu deney, vakfın odağını giderek daha fazla temel katman geliştirmesi, kriptografik korumalar ve acil güvenlik yamalarına çevirdiği bir dönemde yürütülüyor. Haziranda, Ethereum ekosistemi geneline daha fazla sorumluluk devretme planları da ana hatlarıyla paylaşıldı.
Kâr amacı gütmeyen kuruluş, personel sayısını yüzde 20 azaltırken, yıllık bütçesini de neredeyse yarı yarıya kıstı; Protocol Support gibi bazı ekipler kapatıldı. Buna paralel olarak, ek araştırma kapasitesi sağlamak üzere Ethlabs ve Ethereum Institutional gibi yeni oluşumlar ortaya çıktı.
Bu yeniden yapılanma, Vitalik Buterin’in hayata geçirilmesinin dört yıla yayılabileceğini söylediği “Lean Ethereum” yol haritasına bağlanıyor. Plan; performansı hızlandırmayı, ağın dayanıklılığını güçlendirmeyi ve gelecekte ortaya çıkabilecek kuantum hesaplama tehditlerine karşı korumaları artırmayı hedeflerken, çok sayıda bileşeni etkileyecek.
Ethereum’un ölçek ve önem bakımından son benzer geçişi, ağı iş kanıtı (proof-of-work) madenciliğinden hisse kanıtı (proof-of-stake) doğrulamaya taşıyan The Merge olmuştu. Bugünkü güvenlik atağı, yeni tasarlanan mimarinin oluşturduğu daha ağır mühendislik yükünün de yansıması niteliğinde.
Sıradaki Haber: Palantir 50 Mühendisten ve Değerinin Çeyreğinden Vazgeçti: Nerede Hata Yaptı?