Команда безопасности Ethereum Foundation натравила ИИ-агенты на код сети — и они нашли реальную уязвимость. В библиотеке libp2p, отвечающей за общение узлов, нашёлся баг, позволявший удалённо обрушить узел валидатора Ethereum одним сообщением. Проблему закрыли и раскрыли как CVE-2026-34219 до того, как ею воспользовались.

Технически это «удалённо вызываемая паника»: переполнение целого числа в обработке служебных сообщений о паузе. Любой участник сети мог отправить сообщение с огромным значением и уронить узел, повторяя атаку почти без затрат. Оценка — 5,9 по CVSS, «средняя», закрыта в версии 0.49.4. Баг грозил не только Ethereum, а любому приложению на уязвимой версии библиотеки, как следует из разбора команды.

Но самое интересное — не баг, а вывод разработчиков: найти уязвимость легко, а вот отделить настоящие находки от убедительных, но ложных — тяжело. Обычный фаззер выдаёт краш и трассировку, проверяемую за минуты. ИИ-агент возвращает целый нарратив: как достигается уязвимость, насколько серьёзна, и код атаки. И текст одинаково убедителен, когда баг реален и когда выдуман. Один агент выдал около тысячи кандидатов — лишь 86% лучших прошли проверку, так что человеческий фильтр всё ещё нужен.

У ИИ есть и системная слабость: агенты плохо ловят баги, растянутые на цепочку корректных шагов, где каждое действие законно, а вредоносен их порядок. Так устроено большинство атак этого года: и обход оракула в Edel Finance, и захват управления в BONK состояли из обычных транзакций. Поэтому Foundation использует агентов как генераторов гипотез, а решение оставляет за тестированием и человеческой проверкой.

Мой вывод. На мой взгляд, главный урок не про Ethereum и не про конкретный баг, а про роль ИИ в безопасности. Насколько я наблюдаю, ИИ-агенты уже не игрушка: они реально находят уязвимости в критической инфраструктуре, обесценивая аргумент, что их отчёты — сплошной шум. Но волшебной кнопки не появилось: узкое место сместилось с поиска на проверку. Преимущество получит тот, кто научится отсеивать правдоподобную ложь от реальных угроз. А для держателей важна другая метрика — как быстро операторы накатывают патчи: закрытая, но не установленная половиной сети уязвимость остаётся уязвимостью.

Материал носит информационный характер и не является инвестиционной рекомендацией — DYOR. Следите за ключевыми трендами 2026 года.