AI знижує витрати на виявлення вразливостей, криптоіндустрія розділяється на два табори

Криптоіндустрія розділяється на два безпечні шляхи: гнучке виправлення та мінімалістичну незмінність.

Автор: @Bankless

Переклад: AididiaoJP, Foresight News

Здатність AI виявляти вразливості настільки зросла, що криптоіндустрія змушена переглянути свої стратегії безпеки.

Почнемо з мережі Bitcoin. 22 жовтня Bitcoin Core об'єднав зміни в стратегії безпеки, спеціально спрямовані на вразливості, які можна виявити, давши LLM (велику мовну модель) простий підказ. Раніше такі проблеми могли залишатися конфіденційними до року; тепер виправлення та публікація мають бути прискореними. Автор змін Антуан Пуансо прямо зазначив: LLM «значно знижує поріг виявлення певних типів проблем».

Це не єдиний випадок. Завдяки AI-моделям виявлено два ключові вразливості PHP, які поставили під загрозу близько 1,3 мільйона хостів, що підключені до Інтернету. Initia призупинила всю мережу: зловмисники скористалися «вразливістю нульового дня», про яку говорив співзасновник Зон, щоб випустити монети та перевести близько 2,7 мільйона доларів через різні блокчейни. Наразі не можна підтвердити, чи використовувався AI під час цієї атаки, але стверджувати, що він якимось чином був залучений, не є надмірним.

Дані також свідчать про те ж саме. База даних інцидентів DefiLlama показує, що з початку 2026 року сталося 112 атак на суму понад 1 мільйон доларів; у 2025 році таких атак було 70. Дослідження смарт-контрактів Anthropic виявило, що дохід від експлуатації вразливостей передових моделей у симульованому середовищі подвоюється приблизно кожні 1,3 місяці.

Що робити, якщо зловмисники отримали невтомного, постійно еволюціонуючого мисливця за вразливостями? Криптоіндустрія формує дві дуже різні відповіді.

Гнучка сторона: завжди можна змінити, завжди можна зупинити

Перша відповідь полягає в тому, щоб залишатися гнучкими: швидко виправляти помилки та швидко зупинятися.

Starknet є найяскравішим прикладом. У четвер його спільнота проголосувала за дослідження можливості перетворення на незалежний постквантовий L1. Однією з причин є бажання оновлювати криптографію в своєму темпі. StarkWare заявляє: «Ми не можемо покладатися на Ethereum, щоб він рухався досить швидко, щоб забезпечити нашу безпеку». Генеральний директор Елі Бен-Сассон наразі оцінює час до приходу квантових обчислень у «два роки» і вважає, що AI прискорює цю часову шкалу.

Дослідники Ethereum також насторожені. На початку цього місяця Джастін Дрейк закликав індустрію підготуватися до «бункерного режиму», тобто перевести кошти на нові, більш безпечні адреси. Фоном є хвиля математичних проривів, спричинених AI.

Але гнучкість має свою ціну. Кожен ключ адміністратора, кожен шлях оновлення є як атакуючою поверхнею, так і точкою залежності. Зміна правил сама по собі може створити нові помилки. Тому Ethereum цього тижня зняв Glamsterdam з тестової мережі Hoodi, оскільки дослідження показало, що зміни в Gas можуть змінити поведінку вже розгорнутого контракту.

Мінімалістична сторона: зменшити атакуючу поверхню до мінімуму

Друга відповідь полягає в зменшенні цілей.

Висловлення розробника Ethereum Росса (z0r0z) у четвер було дуже прямим: перенести код критичної інфраструктури на публічний блокчейн, щоб усі могли перевірити, що насправді відбувається; потім перейти до безсерверних рішень; навіть написати додатки в коді блокчейну, щоб вони кожного разу виконувалися однаково. Ця ідея раптово виглядає не такою дивною.

Це, звичайно, має певну амбіцію. Але по суті це «тест на відпустку» Росса: якщо будівельник зникне завтра, чи зможе система безпечно працювати? Чим менше код, чим більш визначений і простіший для перевірки, тим менше місць, які можна зламати, і тим менше об'єктів, яким потрібно довіряти. Росс у відповіді додав: «Розробники повинні зосередити свої зусилля на простішому коді».

Те ж саме відчуття виникає і в криптографії Ethereum. Віталік зазначив, що дорожня карта Ethereum вже змістилася до «лише хешування», частково тому, що хеші спроектовані без структур, які можна використовувати для прискорення математичних операцій AI.

Протилежна сторона також очевидна. Публічний, незмінний код також можуть читати AI-атакуючі; як тільки він запущений, його не можна виправити. Тому мінімалізм найкраще використовувати, коли код настільки малий, що його можна перевірити вичерпно.

Докази AI роблять «непоправне» не таким страшним

Тепер на черзі формальна верифікація. Формальна верифікація — це математичне доведення того, що код не порушує певні правила.

Історично формальна верифікація була надзвичайно дорогою. Створення ядра операційної системи seL4 зайняло лише два людино-роки, але верифікація зайняла 20 людино-років. Але нове дослідження, опубліковане Anthropic і Theorem у четвер, показує, що цей шлях стає дешевшим: використовуючи Claude, було перевірено 239 точок входу в 123 відкритих бібліотеках, і за певних умов, незалежно від введення, максимального до 64 МБ, ці точки входу не зламаються. Весь процес зайняв лише кілька тижнів.

Ціна також є. Масштаб доказу зростає з розширенням коду. У вищезгаданій роботі типовий доказ містить близько 600 тисяч рядків, відповідно до програми близько 18 тисяч машинних інструкцій, що може споживати сотні мільйонів токенів AI. І доказ охоплює лише вказані вами властивості, що не означає, що всі помилки виключені.

Але варто зазначити, хто найбільше виграє: маленький, однозадачний код. Це саме той тип коду, який мінімалісти хочуть перенести на ланцюг. Якщо AI продовжить знижувати витрати на доведення, «непоправне» не буде таким важливим, оскільки код все більше не потребує виправлень.

Звичайно, системи L1 і rollup великі та постійно еволюціонують, і все ще потребують гнучкості. Просто в новій парадигмі AI «тест на відпустку» все більше нагадує основний стандарт безпеки, а не просто ідеал децентралізації. Ці тенденції варто продовжувати спостерігати.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.