Искусственный интеллект снижает стоимость поиска уязвимостей, криптоиндустрия делится на два лагеря

Криптоиндустрия разделяется на два безопасных пути: гибкое исправление и минималистичная неизменность.

Автор: @Bankless

Перевод: AididiaoJP, Foresight News

Способности ИИ находить уязвимости стали настолько сильными, что криптоиндустрия вынуждена пересмотреть свои стратегии безопасности.

Начнем с сети Биткойн. 22 октября Bitcoin Core объединил изменение безопасности, специально направленное на уязвимость, которую можно обнаружить, дав LLM (большой языковой модели) простую подсказку. Ранее такие проблемы могли оставаться в секрете до года; теперь исправления и публикации должны быть ускорены. Автор изменения Антуан Пуансо прямо сказал: LLM «значительно снижает порог для обнаружения некоторых типов проблем».

Это не единичный случай. Два ключевых уязвимости PHP, обнаруженные с помощью ИИ-моделей, поставили под угрозу около 1,3 миллиона хостов, открытых в интернете. Initia приостановила всю сеть: злоумышленники использовали «ошибку первого дня», о которой говорил соучредитель Зон, чтобы создать токены и вывести около 2,7 миллиона долларов через разные блокчейны. В настоящее время нельзя подтвердить, использовался ли ИИ в этой атаке, но утверждать, что он в какой-то степени участвовал, не будет преувеличением.

Данные также подтверждают эту тенденцию. База данных инцидентов хакеров DefiLlama показывает, что с 2026 года произошло 112 атак на сумму более 1 миллиона долларов; за весь 2025 год было 70 атак. Исследование умных контрактов Anthropic показало, что «доход от эксплуатации уязвимостей» передовых моделей в симуляционных средах удваивается примерно каждые 1,3 месяца.

Что делать, если у злоумышленников есть неутомимые и постоянно эволюционирующие охотники за уязвимостями? Криптоиндустрия вырабатывает два очень разных ответа.

Гибкий подход: возможность изменения и остановки в любое время

Первый ответ — оставаться гибким: быстро исправлять и быстро тормозить.

Starknet — самый яркий пример на данный момент. В четверг его сообщество проголосовало за исследование трансформации в независимый постквантовый L1. Одна из причин — желание обновлять криптографию в своем темпе. StarkWare заявляет: «Мы не можем полагаться на то, что Ethereum будет достаточно быстрым, чтобы обеспечить нашу безопасность». Генеральный директор Эли Бен-Сассон сейчас оценивает время наступления квантовых вычислений в «два года» и считает, что ИИ ускоряет эту временную шкалу.

Исследователи Ethereum также насторожены. В начале этого месяца Джастин Дрейк призвал индустрию подготовиться к «бункерному режиму», то есть перевести средства на новые, более безопасные адреса. Фон — волна математических прорывов, вызванных ИИ.

Но гибкость имеет свою цену. Каждый ключ администратора, каждый путь обновления — это как поверхность атаки, так и точка зависимости. Изменение правил может также создать новые ошибки. Поэтому Ethereum на этой неделе убрал Glamsterdam из тестовой сети Hoodi, поскольку исследования показали, что изменения в Gas могут изменить поведение уже развернутых контрактов.

Минималистичный подход: свести поверхность атаки к минимуму

Второй ответ — уменьшить цель.

Разработчик Ethereum Росс (z0r0z) в четверг выразился очень прямо: перенести код ключевой цифровой инфраструктуры на публичную цепь, чтобы все могли проверить, что произошло; затем перейти к безсерверным решениям; даже записать приложения в код блокчейна, чтобы они каждый раз работали одинаково. Эта идея внезапно выглядит не так уж странно.

Это, конечно, немного амбициозно. Но по сути это «тест на отпуск» Росса: если строители исчезнут завтра, сможет ли система безопасно функционировать? Чем меньше, более определенный и легко проверяемый код, тем меньше мест, которые можно взломать, и тем меньше объектов, которым нужно доверять. Росс добавил в ответе: «Разработчики должны сосредоточиться на более простом коде».

Та же интуиция проявляется и в криптографии Ethereum. Виталик сказал, что дорожная карта Ethereum уже изменилась на «только хеширование», отчасти потому, что хеширование было разработано без структуры, доступной для математического использования ИИ.

Обратная сторона также очевидна. Открытый, неизменяемый код также может быть прочитан злоумышленниками ИИ; как только он запущен, его нельзя исправить. Поэтому минимализм лучше всего применять, когда код мал настолько, что его можно полностью проверить.

Формальная проверка делает «неисправимое» менее страшным

Теперь речь идет о формальной верификации. Формальная верификация — это математическое доказательство того, что код не нарушает определенные правила.

Исторически формальная верификация была очень дорогой. Создание ядра операционной системы seL4 заняло всего два человеко-года, но верификация заняла 20 человеко-лет. Однако новое исследование, опубликованное Anthropic и Theorem в четверг, показывает, что этот путь становится дешевле: с помощью Claude были проверены 239 точек входа в 123 открытых библиотеках, и при определенных предположениях, независимо от входных данных, максимальных до 64 МБ, эти точки входа не будут падать. Весь процесс занял всего несколько недель.

Цена также есть. Масштаб доказательства будет расти с увеличением кода. В вышеупомянутой работе типичное доказательство составляет около 600 000 строк, соответствующих программе из примерно 18 000 машинных инструкций, что может потребовать сотни миллионов токенов ИИ. Кроме того, доказательство охватывает только указанные вами свойства и не исключает все ошибки.

Но важно отметить, кто больше всего выигрывает: маленький, узкоспециализированный код. Именно такой код минималисты хотят перенести на цепь. Если ИИ продолжит снижать стоимость доказательства, «неисправимое» станет менее важным, потому что код все меньше нуждается в исправлениях.

Конечно, такие системы, как L1 и rollup, большие и продолжают развиваться, и все еще нуждаются в гибкости. Просто в новой парадигме ИИ «тест на отпуск» все больше напоминает основной стандарт безопасности, а не просто идеал децентрализации. Эти тенденции заслуживают постоянного внимания.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.