以太坊基金会：AI发现真实漏洞，但人类判断仍居主导_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

以太坊基金会：AI发现真实漏洞，但人类判断仍居主导

2026-07-12 07:54:39

以太坊基金会协议安全团队披露：AI代理已用于发现以太坊协议代码中的真实漏洞，但人工判断仍是关键

以太坊基金会协议安全团队透露，他们一直在针对以太坊协议代码运行协调的AI代理，并在过程中发现了真实的漏洞，但强调人工判断仍然是决定哪些发现真正重要的决定性因素。

在7月9日一篇题为《分类是核心产品》的博客文章中，作者Nikos Baxevanis描述了一种工作流程：将AI代理部署到以太坊网络使用的协议代码中。这些代理发现了真实的问题，其中包括一个现已公开披露的漏洞——CVE-2026-34219，该漏洞是libp2p的gossipsub层中一个可远程触发的崩溃问题。

该漏洞允许网络可达的对等节点通过发送精心构造的PRUNE数据来使受影响的节点崩溃，从而造成未经身份验证的拒绝服务条件。该漏洞的CVSS v4评分为8.2，被评定为“高危”级别。

CVE-2026-34219 严重程度：8.2

GitHub的安全公告将该漏洞列为CVSS v4框架下的高危级别。受影响的libp2p-gossipsub版本为v0.49.4之前的版本，而v0.49.4版本已修复了该崩溃向量。

受影响版本：< v0.49.4

根据供应商公告，libp2p-gossipsub版本低于v0.49.4均受影响，这为修复版本设定了明确的界限。

以太坊基金会AI工作流程中什么是“有效发现”

协议层面的漏洞与表面上的代码缺陷并不相同。在以太坊的语境中，一个真正的协议漏洞可能影响验证者之间的通信、区块传播或共识维护。例如，gossipsub漏洞可能允许攻击者未经身份验证就让单个验证者节点离线。

基金会在检测和确认之间划出了清晰的界限。根据博客文章所述，一个候选发现只有在能够通过自包含的工件在实际代码库上复现故障时，才能被视为有效发现。原始的AI输出，无论多么令人信服，都不符合条件。

这种区分之所以重要，是因为AI代理会产生大量看似可信的误报。文章认为，可复现的证明和人工分类仍然是决定性因素，正是因为模型能生成听起来合理但在测试中站不住脚的报告。挑战已经从“发现漏洞”转变为“信任结果”。

为什么人工判断仍然是决定哪些发现重要的关键

基金会明确表示：最终决定由人做出。即使AI正确识别了漏洞，关于严重性、可利用性和修复方案的判断也需要上下文信息，而自动化工具无法提供这些信息。

验证是第一个人工任务。安全研究人员必须确认报告的行为是否确实可利用，而不仅仅是理论上的边缘情况。随后是优先级排序，团队需要权衡漏洞的影响与修复成本及披露风险。这一过程对于任何从事过区块链漏洞分类工作的人来说都并不陌生，而领域专业知识在此至关重要。

误报与模糊发现

AI生成的安全报告通常描述一些看似可行的攻击场景，但实际测试时却无法在真实代码路径上生效。从真实发现中筛选出这些误报需要大量人工投入，并且需要理解模型所不具备的协议内部机制。

基金会的工作流程将这种筛选视为核心产品，而非附带任务。博客文章标题《分类是核心产品》反映了团队的观点：瓶颈已经从“发现”转移到了“评估”。

协议变更中的人工问责制

协议层面的修复会带来系统性风险。一个修复某个漏洞的补丁可能会在其他地方引入回归问题，尤其是在共识关键代码中。基金会的立场是，没有人工监督，任何自动化系统都不应拥有对这些决策的最终决定权。

这反映了以太坊开发文化中更广泛的模式——基金会历来坚持核心协议变更需要经过彻底的同行评审。近期EF协议支持团队的解散虽然转移了部分职责，但人工问责的原则依然存在。

这对以太坊安全研究意味着什么

此次披露表明，AI辅助审计已成为以太坊基金会活跃安全管道的一部分，而不仅仅是未来的实验。这些代理正在针对真实协议代码运行，并产生可付诸行动的结果。

机遇显而易见：AI能够比任何人类团队更快地扫描大型代码库，并发现可能数月都不会被注意到的漏洞。CVE-2026-34219就是这种价值的一个具体实例。

风险同样清晰：如果过度依赖AI生成的报告而缺乏严格的人工分类，可能会导致团队修复不存在的问题，或者更糟的是，在大量误报中遗漏真正的漏洞。基金会的工作流程设计旨在防止这两种失败模式。

对于运行libp2p-gossipsub的节点运营商来说，立即行动很简单：升级到v0.49.4或更高版本。对于更广泛的以太坊生态系统而言，结论是：AI正在成为协议安全中的有用工具，但审查其输出的人工仍然是至关重要的瓶颈。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文