Ethereum FoundationのAIエージェントによる脆弱性発見
Ethereum Foundationは、他の誰かが攻撃する前にEthereumネットワークの脆弱性を発見するためにAIエージェントの群れを活用しています。木曜日に発表されたブログ記事で、Ethereum Foundationのプロトコルセキュリティチームの研究者たちは、Ethereumが依存するソフトウェアに対して一連のAIエージェントを展開し、暗号システム、プロトコルコード、スマートコントラクトの脆弱性を探していると述べました。
「私たちは、ネットワークが依存するシステム、例えばシステムソフトウェアや暗号コード、正確でなければならない契約に対して、協調的なAIエージェントを運用しています」と研究者たちは書いています。
「エージェントは実際のバグを見つけました。」発見されたバグの一つには、Ethereumのコンセンサスクライアントが使用するピアツーピア層の一部であるlibp2pのgossipsubにおけるリモートトリガーによるパニックが含まれていました。この問題は修正され、CVE-2026-34219としてGitHubに公開されました。
レッドチーミングとAIの役割
レッドチーミングとして知られるこの手法は、企業が自社のシステムを攻撃するためにセキュリティ研究者を展開し、悪意のあるハッカーが見つける前にネットワークの弱点を明らかにすることを目的としています。レッドチームがシステムを攻撃する間、ブルーチームがそれを防御する役割を担います。
従来、人間の研究者は手動でコードをレビューすることで脆弱性を探していましたが、AIエージェントは全体のコードベースをスキャンし、潜在的なエクスプロイトをテストし、レビュー用の結果を生成することができます。
「エージェントがバグを見つけることは驚きではありませんでした」とチームは書いています。「驚きは、バグを見つけるためにかかる作業が非常に少なく、実際のバグと見た目だけのバグを区別するためにかかる作業が非常に多いことでした。」
AIエージェントの専門的役割
Ethereum Foundationによると、エージェントは偵察、ハンティング、ギャップフィリング、検証などの専門的な役割に組織されています。一部は可能な攻撃経路を探し、他は失敗を再現し、それが本番コードに対して機能するかどうかを検証します。
「スキーマには理由があります」と彼らは書いています。「それは特定の、テスト可能な主張と明確な完了の定義を強制します。観察可能な証拠を書き留めなければならないエージェントは、「これはリスクがあるように見える」とは言えません。」
脆弱性研究におけるAIの役割の増大は、4月にAnthropicのClaude Mythosのプレビュー版がMozillaのFirefoxブラウザで271の脆弱性を発見したことで示されました。研究者たちはAIエージェントをファザー、つまりソフトウェアの欠陥をテストするツールに例えました。
AIエージェントの限界と可能性
しかし、ファザーとは異なり、AIエージェントは脆弱性レポートを生成し、影響を評価し、概念実証テストを作成することができます。しかし、詳細であることが必ずしも正しいことを意味するわけではありません。AIが生成した結果は、間違っている場合でも説得力があるように見えることがあり、研究者は重複、偽陽性、実際には悪用できない脆弱性をフィルタリングする必要があります。
「他のどのルールよりも重要なルールがあります。候補は、実際のコードに対して失敗を再現する自己完結型のアーティファクトが存在するまで発見とは見なされません。」
AIツールはすでにセキュリティ研究者がブロックチェーンネットワークの欠陥を発見するのを助けています。5月、セキュリティ研究者のTaylor Hornbyは、AI支援監査中にAnthropicのClaude Opus 4.8を使用してZcashのOrchardプライバシープールにおける重大な脆弱性を発見しました。この欠陥は約4年間存在しており、攻撃者が明らかなオンチェーントレースなしに偽造ZECを作成できる可能性がありました。
Ethereum Foundationの今後の展望
Zcashの供給に対する信頼を回復するためのネットワークアップグレードはまだ進行中です。Ethereum Foundationの実験は、技術を社内に取り入れ、AIエージェントを使用して自社のコードをテストし、脆弱性を見つけることを目的としています。
「AIはセキュリティ研究者を置き換えたわけではありません。作業が移動したのです」とEthereum Foundationは述べています。「エージェントは、手作業ではカバーできない範囲をカバーすることを可能にします。その代わりに、彼らは自信のある主張のはるかに大きな山の中で、より慎重な判断を求めます。」
彼らは付け加えました。「それは価値のある取引です。判断が本当の製品であることを忘れない限り。」
