AI obniża koszty wykrywania luk, branża kryptowalut dzieli się na dwa obozy

Kryptowaluty dzielą się na dwie ścieżki bezpieczeństwa: zwinne łatanie i minimalistyczną niezmienność.

Autor: @Bankless

Tłumaczenie: AididiaoJP, Foresight News

Zdolność AI do wykrywania luk w zabezpieczeniach stała się na tyle silna, że branża kryptowalut musi na nowo zorganizować swoje strategie bezpieczeństwa.

Zacznijmy od sieci Bitcoin. 22 października Bitcoin Core połączył zmianę w strategii bezpieczeństwa, która dotyczy „luk, które można wykryć za pomocą prostego podpowiedzi dla LLM (dużych modeli językowych)”. W przeszłości takie problemy mogły być utrzymywane w tajemnicy przez maksymalnie rok; teraz naprawy i publikacje muszą być przyspieszone. Autor zmiany, Antoine Poinsot, powiedział wprost: LLM „znacznie obniża próg wykrywania niektórych typów problemów”.

To nie jest odosobniony przypadek. Dwa kluczowe luki w PHP wykryte dzięki modelom AI narażają około 1,3 miliona hostów wystawionych w Internecie na ryzyko. Initia wstrzymała całą sieć: napastnicy wykorzystali „błąd dnia 0”, o którym mówił współzałożyciel Zon, aby wybić monety i przelać około 2,7 miliona dolarów między łańcuchami. Na razie nie można potwierdzić, czy w tym ataku użyto AI, ale stwierdzenie, że w pewnym stopniu brało w tym udział, nie jest zbyt odważne.

Dane również wskazują w tym samym kierunku. Baza danych incydentów hakerskich DefiLlama pokazuje, że od początku 2026 roku miało miejsce 112 ataków o wartości przekraczającej 1 milion dolarów; w całym 2025 roku było ich 70. Badania nad inteligentnymi kontraktami przeprowadzone przez Anthropic wykazały, że w 2025 roku zyski z wykorzystania luk w symulowanych środowiskach w modelach na czołowej pozycji podwajają się średnio co 1,3 miesiąca.

Co zrobić, gdy napastnicy mają niezmordowanych i ciągle ewoluujących łowców luk? Branża kryptowalut wypracowuje dwa bardzo różne odpowiedzi.

Zwinni: mogą zmieniać w każdej chwili, mogą zatrzymać w każdej chwili

Pierwsza odpowiedź to elastyczność: możliwość szybkiego łatania, a także szybkiego hamowania.

Starknet jest obecnie najjaśniejszym przykładem. W czwartek społeczność zagłosowała za badaniem przekształcenia w niezależny L1 po kwantowym. Jednym z powodów jest chęć aktualizacji kryptografii we własnym tempie. StarkWare stwierdziło: „Nie możemy polegać na tym, że Ethereum będzie wystarczająco szybkie, aby zapewnić nasze bezpieczeństwo”. CEO Eli Ben-Sasson obecnie szacuje, że czas nadejścia obliczeń kwantowych wynosi „dwa lata” i uważa, że AI przyspiesza ten czas.

Badacze Ethereum również są czujni. Na początku tego miesiąca Justin Drake wezwał branżę do przygotowania się na „tryb bunkra”, czyli przeniesienie funduszy do nowych, bezpieczniejszych adresów. Tło stanowi fala przełomów matematycznych napędzanych przez AI.

Jednak elastyczność ma swoją cenę. Każdy klucz administratora, każda ścieżka aktualizacji, jest zarówno powierzchnią ataku, jak i punktem zależności. Zmiana zasad może również wprowadzić nowe błędy. Dlatego Ethereum w tym tygodniu usunęło Glamsterdam z testowej sieci Hoodi, ponieważ badania wykazały, że zmiany w Gas mogą zmienić zachowanie już wdrożonych kontraktów.

Minimalistyczni: zmniejszają powierzchnię ataku do minimum

Druga odpowiedź to zmniejszenie celu.

Stwierdzenie dewelopera Ethereum Rossa (z0r0z) w czwartek było bardzo bezpośrednie: przenieść kluczowy kod infrastruktury cyfrowej na publiczny łańcuch, aby wszyscy mogli zweryfikować, co się dzieje; następnie przejść do architektury bezserwerowej; a nawet zapisać aplikacje w kodzie blockchain, aby działały tak samo za każdym razem. Ten pomysł nagle wydaje się mniej dziwny.

Oczywiście jest to dość ambitne. Ale w istocie jest to „test na odpuszczenie” Rossa: jeśli budowniczy zniknie jutro, czy system nadal będzie działał bezpiecznie? Im mniejszy, bardziej pewny i łatwiejszy do zweryfikowania kod, tym mniej miejsc, które można zaatakować, i tym mniej podmiotów, którym trzeba ufać. Ross dodał w odpowiedzi: „Deweloperzy powinni skupić się na prostszym kodzie”.

Podobna intuicja pojawia się również w kryptografii Ethereum. Vitalik powiedział, że mapa drogowa Ethereum zmieniła się w kierunku „tylko haszowania”, częściowo dlatego, że haszowanie zostało zaprojektowane w taki sposób, aby nie miało struktury, którą AI mogłoby przyspieszyć w wykorzystaniu matematyki.

Odwrotna strona jest również oczywista. Publiczny, niezmienny kod może być również czytany przez napastników AI; po uruchomieniu nie można go łatwo poprawić. Dlatego minimalizm najlepiej stosować w przypadku kodu, który jest na tyle mały, że można go dokładnie sprawdzić.

Dowód AI sprawia, że „nie do naprawienia” nie jest takie straszne

Teraz przechodzimy do formalnej weryfikacji. Formalna weryfikacja to matematyczny dowód, że kod nie narusza pewnych zasad.

Historycznie formalna weryfikacja była przerażająco droga. Budowa jądra systemu operacyjnego seL4 zajęła tylko dwa lata, ale weryfikacja zajęła 20 lat. Jednak nowe badania opublikowane w czwartek przez Anthropic i Theorem pokazują, że ta droga staje się tańsza: używając Claude'a do weryfikacji 239 punktów wejścia w 123 otwartych bibliotekach, w określonych założeniach, niezależnie od tego, co jest wejściem, maksymalnie do 64 MB, te punkty wejścia nie zawiodą. Cały proces zajął tylko kilka tygodni.

Koszty również istnieją. Skala dowodu wzrasta wraz z rozrostem kodu. W powyższej pracy typowy dowód ma około 600 000 linii, odpowiadający około 18 000 instrukcji maszynowych, co może kosztować setki milionów tokenów AI. A dowód obejmuje tylko określone właściwości, co nie oznacza, że wyklucza wszystkie błędy.

Ale należy zauważyć, kto najbardziej korzysta: mały, jednofunkcyjny kod. To właśnie ten rodzaj kodu, który minimalizm chce przenieść na łańcuch. Jeśli AI nadal obniża koszty dowodzenia, „nie do naprawienia” nie będzie już tak istotne, ponieważ kod staje się coraz mniej potrzebny do naprawy.

Oczywiście systemy takie jak L1 i rollup są duże i wciąż ewoluują, więc nadal potrzebują elastyczności. W nowym paradygmacie AI „test na odpuszczenie” staje się coraz bardziej centralnym wskaźnikiem strategii bezpieczeństwa, a nie tylko idealem decentralizacji. Te trendy zasługują na dalszą uwagę.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.