Ethereum Foundationのプロトコルセキュリティチームは、重要なプロトコルコードの脆弱性を探し出すために、連携した一群のAIエージェントを展開しました。この取り組みにより、実際のセキュリティ問題が見つかり、具体的には、Ethereumのピアツーピア通信を支えるlibp2p gossipsubライブラリにおける、遠隔でトリガー可能なパニックが明らかになりました。セキュリティ研究者は、ブロックチェーン基盤を保護するための手段として人工知能をますます活用するようになっており、Ethereum Foundationのアプローチは、AIによるセキュリティ支援が持つ能力と限界の両方を示しています。
AIエージェントがLibp2p gossipsubライブラリの遠隔トリガー可能なパニックを発見
連携したAIエージェントの部隊は、Ethereumのピアツーピア通信インフラの重要コンポーネントであるlibp2p gossipsubライブラリに、遠隔でトリガー可能なパニックを特定しました。該当する脆弱性は解消されており、CVE-2026-34219として公に開示されています。この発見は、複雑なプロトコルコードにおいても、AIエージェントが実在するセキュリティ問題を見つけられる能力を示しています。
トリアージの課題が、発見から検証へとセキュリティのワークフローを移行する
Ethereum Foundationのプロトコルセキュリティチームは、AI支援セキュリティ業務で最も難しいのは、潜在的なバグを見つけることではなく、それらを厳密にトリアージして、真の問題と誤検知を切り分けることだと報告しました。同チームによると、「エージェントがバグを見つけることは驚きではありませんでした。驚きだったのは、バグを見つける作業のうち、実際にはどれほど作業が少なかったのか、そして、本物のバグを“それっぽいだけ”のものから見分けるのにどれほどの作業が必要だったのか、という点です。」チームは、AIはセキュリティ研究者を置き換えるのではなく作業を移すものであり、かつて仮説の構築や追跡に費やしていた時間は、スケールさせたうえでそれらを判断することに振り向けられたと述べています。これには、オラクルの構築、トリアージの実行、既知の問題リストの維持、開示対応が含まれます。ボトルネックはバグを見つけることから、結果を信頼することへと移り、チームはその段階こそ制約のかけどころであり、人間の判断が最も重要になるのだとしています。
複数エージェントシステムが偵察と検証の役割を整理
AIエージェントは、偵察、ハント、ギャップ埋め、独立した検証のために、特定の役割へと編成されました。あらゆる候補となる脆弱性には、実際のコードに対して再現可能な証明が必要でした。このアプローチは、人間の判断が検証に不可欠でありつつも、AIが複雑なシステムのカバレッジを拡張できることを示しています。
FAQ
Ethereum FoundationのAIエージェントは、プロトコルコードのどの脆弱性を発見しましたか？
AIエージェントは、Ethereumのピアツーピア通信を支えるlibp2p gossipsubライブラリに、遠隔でトリガー可能なパニックを発見しました。この問題は解消されており、CVE-2026-34219として公に開示されています。
Ethereum Foundationによれば、AIエージェントをセキュリティ研究に使う際の主な課題は何ですか？
Ethereum Foundationのプロトコルセキュリティチームは、最も難しいのは潜在的なバグを見つけることではなく、それらを厳密にトリアージして誤検知と真の問題を切り分けることだと報告しました。同チームは、ボトルネックはバグを見つけることから結果を信頼することへと移り、現在は仮説をスケールさせたうえで判断することに時間を費やしているほか、オラクルの構築、トリアージの実行、既知の問題リストの維持、開示対応が行われていると述べています。
Ethereum Foundationのセキュリティ活動では、AIエージェントはどのように編成されましたか？
エージェントは、偵察、ハント、ギャップ埋め、独立した検証という特定の役割に編成されました。さらに、あらゆる候補となる脆弱性には実際のコードに対する再現可能な証明が必要でした。
