Ethereum Foundation cho biết các AI agent hoạt động phối hợp đã tìm ra lỗi phần mềm thực sự trong các bài kiểm thử an ninh, trong bối cảnh Ethereum (ETH) chuẩn bị bước vào giai đoạn thay đổi giao thức lớn.
Các điểm chính:
- AI agent phát hiện được lỗ hổng bảo mật thật, bao gồm lỗi khiến client đồng thuận có thể bị đánh sập từ xa.
- Giới nghiên cứu ghi nhận hệ thống tự động giúp mở rộng phạm vi kiểm thử nhưng cũng tạo ra nhiều “báo động giả” rất thuyết phục.
- Chuyên gia bảo mật con người vẫn là mắt xích then chốt để thẩm định phát hiện và đánh giá mức độ nghiêm trọng.
Thử nghiệm AI trên Ethereum
Nhóm Protocol Security của Ethereum Foundation cho biết các agent phối hợp đã tìm thấy những lỗ hổng thực sự khi rà soát mã nguồn Ethereum, trong đó có một lỗi “panic” bị kích hoạt từ xa trong lớp ngang hàng (peer-to-peer) mà các client đồng thuận đang sử dụng. Lỗi này hiện đã được đội ngũ phát triển khắc phục.
Theo các nhà nghiên cứu, điều bất ngờ không phải là chuyện agent có thể tìm ra bug, mà là khối lượng công việc để phát hiện bug lại ít hơn đáng kể so với công sức phải bỏ ra để tách bạch phát hiện thật với những lỗi trông rất “hợp lý” nhưng thực chất là sai.
“Điều khiến chúng tôi ngạc nhiên là phần công việc dành cho việc tìm bug thực ra khá ít, còn phần lớn thời gian phải dùng để phân biệt đâu là lỗi thật với những lỗi chỉ trông giống thật,” nhóm nghiên cứu viết.
Foundation đã chia quy trình làm việc thành các vai trò: do thám (reconnaissance), săn lỗi (hunting), lấp khoảng trống (gap-filling) và thẩm định (validation), dựa trên các nghiên cứu trước đó của Anthropic và Cloudflare. Kết quả cho thấy agent hoạt động hiệu quả ở các khâu liên kết đặc tả kỹ thuật với mã nguồn và đề xuất các nguyên nhân gốc rễ tiềm năng.
Tuy vậy, hệ thống đôi khi xem các chuỗi lệnh gọi không thể truy cập được như là đường tấn công khai thác được, và phóng đại mức độ nghiêm trọng của lỗ hổng. Nhóm nghiên cứu nhấn mạnh chuyên gia con người vẫn phải trực tiếp kiểm chứng xem lỗ hổng được báo cáo có thực sự tồn tại hay không và đánh giá tác động trong thực tế.
“Agent giúp chúng tôi mở rộng phạm vi kiểm thử lên mức mà làm thủ công không thể đạt tới,” bài viết nêu. “Đổi lại, chúng đòi hỏi khả năng đánh giá thận trọng hơn rất nhiều, trên một đống tuyên bố nghe có vẻ cực kỳ tự tin.”
Bài viết liên quan: Charles Hoskinson rời Cardano? Ông gọi đây là lời nói dối trắng trợn
Bước ngoặt an ninh của Ethereum
Thử nghiệm trên diễn ra trong bối cảnh Ethereum Foundation đang thu hẹp trọng tâm vào phát triển lớp nền tảng (base layer), các cơ chế mật mã và những bản vá an ninh khẩn cấp. Tháng 6 vừa qua, tổ chức này cũng công bố kế hoạch phân bổ lại nhiều trách nhiệm ra cộng đồng Ethereum rộng lớn hơn.
Tổ chức phi lợi nhuận này đã cắt giảm khoảng 20% nhân sự và gần một nửa ngân sách thường niên, đồng thời giải tán một số nhóm như Protocol Support. Nhiều đơn vị mới, bao gồm Ethlabs và Ethereum Institutional, đã xuất hiện để bổ sung năng lực nghiên cứu.
Cuộc tái cơ cấu tổng thể gắn liền với lộ trình Lean Ethereum được đề xuất, mà Vitalik Buterin ước tính có thể mất khoảng bốn năm để triển khai. Kế hoạch này sẽ tác động tới nhiều thành phần của mạng lưới, nhằm hướng tới hiệu năng cao hơn, khả năng chống chịu tốt hơn và tăng cường phòng vệ trước các mối đe dọa từ máy tính lượng tử trong tương lai.
Lần chuyển đổi được xem là tương đương gần nhất trong lịch sử Ethereum là The Merge, khi mạng lưới từ bỏ cơ chế đào proof-of-work để chuyển sang cơ chế xác thực proof-of-stake. Đợt đẩy mạnh an ninh hiện tại phản ánh gánh nặng kỹ thuật ngày càng lớn khi Ethereum tiếp tục chuẩn bị cho một cuộc “đại tu” kiến trúc mới.
Đọc tiếp: Palantir sa thải 50 kỹ sư và mất một phần tư giá trị vốn hóa: Điều gì đã xảy ra?