资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
摘要
以太坊基金会表示，验证AI漏洞报告比生成它们更困难。
AI代理发现了一个真实的libp2p漏洞，后来被披露为CVE-2026-34219。
基金会表示，人工验证和可复现的证明对于协议安全仍然至关重要。
根据以太坊基金会协议安全团队的说法，最近与协调AI代理进行的实验在以太坊所依赖的系统上发现了真实的软件缺陷，但该组织表示，现在大部分精力都用于区分有效发现和令人信服的误报。
该团队在一篇技术文章中描述了这些结果，解释了如何测试AI代理对系统软件、加密库和高保证智能合约的应用。
协议安全团队一直在将AI代理指向以太坊的协议代码。核心收获不在于发现漏洞，而在于分类。以下是这份工作的现场笔记。
一个已确认的发现涉及libp2p的gossipsub组件中的一个可远程触发的panic，libp2p是以太坊共识客户端使用的点对点网络层的一部分。以太坊基金会表示，该漏洞已被修复，后来被披露为CVE-2026-34219。
基金会表示，不应将AI代理视为决策者，而应将其视为生成需要独立验证的假设的工具。虽然代理可以检查源代码、跟踪执行路径并准备概念验证材料，但基金会表示，它们也会基于不可达代码、重复已知问题、仅调试模式崩溃或无法证明实际安全问题的弱形式化验证来生成报告。
该团队表示，意外的发现不是AI能够识别漏洞，而是验证这些报告消耗的时间远远超过生成它们的时间。
多代理工作流过滤不可靠报告
为了减少不可靠的发现，以太坊基金会表示，它部署多个AI代理针对同一软件仓库，每个代理处理审查过程的不同阶段。代理不依赖中央协调器，而是通过仓库本身交换信息，在版本控制中共享状态。
根据基金会的说法，工作流从侦察开始，将广泛的攻击面缩小为具体的可测试想法。然后，狩猎代理在代码中跟踪每个假设，并尝试构建一个可工作的重现器。缺口填补代理跟踪已接受和已拒绝的报告，以避免重复之前的工作，而验证代理独立检查每个候选报告，删除重复项，并确定一个报告是否属于合法漏洞。
基金会表示，每个被接受的报告必须识别一个可达的目标，定义清晰的安全不变性，解释失败机制，提供可观察的证据，包含一个自包含的重现器，并携带一个去重键。这些要求旨在确保每个声明可以直接针对生产代码进行测试。
人工验证仍然是决定性因素
在流程的核心，以太坊基金会表示有一条原则凌驾于一切之上：除非报告代理之外的人能够在真实代码库上重现该漏洞，否则该漏洞不成立。根据基金会，这一要求消除了基于不可能攻击路径、仅调试模式失败或形式化验证结果（看似数学正确但未证明有意义的安全属性）的报告。
除了技术验证，基金会表示，幸存下来的候选报告还会被评估实际可利用性。任何网络参与者都能触发的缺陷与需要特权访问或非现实计算资源的缺陷具有不同的安全影响。
基金会补充说，AI代理在判断漏洞的可达性、攻击严重性或仅通过长序列有效交互才出现的漏洞时仍然不一致。在这些情况下，AI代理作为有状态测试框架的辅助工具比作为经验丰富的安全研究人员的替代品表现更好。
最新的安全更新仅发生在以太坊基金会完成重大内部重组几周后。在6月23日的一份公告中，该组织表示已裁减约20%的员工，经过为期数月的审查，根据其任务和资金管理政策，有54名员工离职。根据基金会称，重组旨在将员工和资源集中在只有该组织才能履行的职责上，同时继续以太坊的长期开发。
