مؤسسة إيثريوم: وكلاء الذكاء الاصطناعي يكشفون الأخطاء الحقيقية، لكن فرز الأولويات هو المهمة الجوهرية

فريق أمان بروتوكول مؤسسة إيثريوم قال إن وكلاء الذكاء الاصطناعي يقدرون يساعدوا في اكتشاف ثغرات حقيقية في كود البروتوكول، لكنه حذر من أن أصعب جزء مش هو توليد تقارير الأخطاء، بل إثبات أي منها حقيقي.

في منشور جديد، الفريق شرح كيف إنه شغّل وكلاء ذكاء اصطناعي منسقين ضد أنظمة إيثريوم اللي تعتمد عليها الشبكة، ومنها برامج الأنظمة، وكود التشفير، والعقود اللي تحتاج ضمان عالي.

الوكلاء لقوا أخطاء حقيقية، من ضمنها حالة ذعر (Panic) ممكن تتفعل عن بعد في مكون gossipsub في مكتبة libp2p، اللي هو جزء أساسي من طبقة الند للند اللي تستخدمها برامج توافق إيثريوم. المشكلة تم إصلاحها ونشرها كـ CVE-2026-34219.

الفريق قال إن النتيجة أظهرت إن وكلاء الذكاء الاصطناعي ممكن يكونوا مفيدين في أبحاث الأمان، لكن بس لو تم التعامل معاهم كأدوات بحث مش كسلطات نهائية.

الوكيل يقدر يقرأ الكود، ويكون فرضيات، ويتتبع مسارات الاستدعاءات، ويكتب نماذج إثبات فكرة. لكنه كمان يقدر ينتج تقارير تبدو مقنعة بينما هي معتمدة على مسارات كود غير قابلة للوصول، أو أعطال بتظهر بس في وضع التصحيح، أو مشاكل مكررة، أو براهين رسمية ضعيفة ما تلتقطش الخاصية المقصودة فعلاً.

المؤسسة قالت إن عمليتها تستخدم وكلاء كُتّار بشكل متوازي ضد هدف واحد. الوكلاء يتنسقون من خلال المستودع نفسه، ويتبادلون الحالة عبر نظام التحكم في الإصدارات بدل ما يعتمدوا على مدير مركزي. شغلهم مقسم على مراحل: استطلاع، مطاردة، سد الفجوات، والتحقق.

مرحلة الاستطلاع بتحول أسطح الهجوم الواسعة لفرضيات محددة قابلة للاختبار. المطاردة بتتبع فرضية واحدة عبر الكود وتحاول تبني أداة إعادة إنتاج.

سد الفجوات بتتتبع اللي سبق قبوله أو رفضه وتولد فرضيات جديدة عشان تتجنب تكرار نفس الشغل. التحقق بيفحص كل مرشح بشكل مستقل، ويزيل المكرر، ويقرر إذا كان المرشح يستحق اعتباره اكتشاف حقيقي.

عشان المرشح يتحسب، الفريق قال لازم يشمل: هدف قابل للوصول، ثابت واضح، آلية فشل محددة، دليل يمكن ملاحظته، وسيلة إعادة إنتاج مكتفية بذاتها، ومفتاح لإزالة التكرار. الهدف هو إجبار كل تقرير على أن يكون ادعاءً ملموساً يمكن اختباره ضد الكود الحقيقي.

المؤسسة شددت على قاعدة واحدة فوق الباقي: إما أن يكون قابل لإعادة الإنتاج أو لم يحدث. المرشح مش يعتبر اكتشاف إلا لما يتضمن أداة تعيد إنتاج الفشل ضد الكود الفعلي ويقدر يشتغلها شخص غير الوكيل اللي أنتجها.

هذا الشرط بيفلتر النتائج الإيجابية الخاطئة، من أعطال وضع التصحيح إلى أدوات إعادة الإنتاج المبنية على مدخلات لا يقدر مهاجم يوصلها. بعض نتائج التحقق الرسمي بتفشل كمان لإن البرهان ضعيف أو صحيح بشكل تافه، فالتقرير يبدو صحيح حتى لو المشكلة الأمنية ما تصمد.

الفريق قال إن معظم المرشحين غلط، أو مكررين، أو خارج النطاق، وده جزء من سير العمل. المفتاح هو رفض التقارير الضعيفة بسرعة مع دعم الاكتشافات الحقيقية بأدلة قابلة لإعادة الإنتاج.

كل مرشح ينجو يتم فحصه لمعرفة إمكانية الوصول إليه في العالم الحقيقي وتكلفة المهاجم. خطأ أي نظير يقدر يسببه غير خطأ يحتاج صلاحيات خاصة أو موارد غير واقعية.

المؤسسة حذرت كمان إن الوكلاء متفاوتين في الأداء. يقدرون يقرأوا المواصفات، ويكتبوا أدوات إعادة إنتاج، ويعلنوا ثوابت، لكنهم يقصرون مع إمكانية الوصول، وشدة الخطورة، والأخطاء اللي تتكشف عبر تسلسلات صالحة. لهذه الحالات، الوكلاء ينفعوا كمرشدين لأدوات اختبار تعتمد على الحالة، مش كبديل.

المنشور يصور عمليات التدقيق المدعومة بالذكاء الاصطناعي كتحول في شغل الأمان، مش استبدال للباحثين. نقطة الاختناق تنتقل من توليد الفرضيات إلى تقييمها من خلال: الفرز، تتبع المشاكل المعروفة، التحقق من الأدوات، والإفصاح.

المؤسسة قالت إن الممارسات الأساسية مش جديدة. الأعطال القابلة لإعادة الإنتاج، البيئات الحتمية، الثوابت الواضحة، الفرز الدقيق، والحكم البشري هي نفس المبادئ اللي خلّت الفازنق (Fuzzing) ممارسة معيارية. الأدوات اختلفت، لكن معيار الثقة في النتائج ما تغيّر.

أسئلة شائعة

• هل الذكاء الاصطناعي يقدر يكتشف كل ثغرات إيثريوم؟ لا، الذكاء الاصطناعي أداة بحث مش بديل للباحثين. يقدر يكتشف ثغرات حقيقية لكنه محتاج تحقق بشري لتصفية التقارير الخاطئة.
• أهم قاعدة عند استخدام الذكاء الاصطناعي لأمان إيثريوم؟ كل اكتشاف لازم يكون قابل لإعادة الإنتاج بشكل مستقل، يعني أي حد غير الوكيل يقدر يجرب الخطأ ويتأكد منه بنفسه ضد الكود الفعلي.
• هل عمليات التدقيق بالذكاء الاصطناعي تغني عن الباحثين؟ لا، هي تحول شغل الأمان من توليد الفرضيات إلى تقييمها. الباحثين لسه أساسيين في الحكم على شدة الثغرات وتأكيدها في العالم الحقيقي.