L'IA ha trovato un bug di Ethereum che potrebbe disattivare i validatori — Gli esseri umani hanno dovuto dimostrare che era reale

La Ethereum Foundation ha utilizzato agenti AI contro il suo codice

La Ethereum Foundation ha liberato agenti di intelligenza artificiale (AI) coordinati sul software principale di Ethereum e li ha utilizzati per scoprire un difetto serio. Gli agenti hanno esaminato il codice dei sistemi che mantiene sincronizzati i numerosi nodi della rete. Lavorando in parallelo, hanno messo in evidenza CVE-2026-34219, un crash attivabile da remoto nel gossipsub, il layer peer-to-peer che i client di consenso utilizzano per scambiare messaggi tra i nodi. Il team di sicurezza del protocollo della Fondazione ha pubblicato le sue note di campo sul lavoro il 9 luglio 2026.

Il difetto potrebbe far crashare i nodi validatori da remoto

La vulnerabilità ha permesso a un sistema esterno di attivare un calcolo impossibile all'interno del software del nodo. Il nodo interessato si è quindi spento e è rimasto offline fino a quando un operatore non lo ha riavviato manualmente. Poiché gossipsub gestisce il traffico su cui i client di consenso fanno affidamento, un singolo messaggio creato ad hoc potrebbe disattivare i nodi validatori in tutta la rete. La rete proof-of-stake di Ethereum funziona su migliaia di nodi indipendenti, quindi un difetto che un messaggio può attivare da qualsiasi luogo ha un ampio raggio d'azione. Le fonti di sicurezza hanno riportato che gli sviluppatori hanno corretto il difetto nella versione 0.49.4 di libp2p-gossipsub e che gli operatori su versioni più vecchie dovrebbero aggiornare.

Dimostrare i bug è stato più difficile che trovarli

La Fondazione ha dichiarato che la scoperta era la parte facile. Secondo le note di campo, un agente costruito da Anthropic ha prodotto circa 1.000 report candidati, e i suoi risultati più solidi si sono mantenuti circa l'86% delle volte. I revisori umani dovevano comunque leggere ogni report e decidere quale descrivesse un bug genuino. La Fondazione ha dichiarato che non avrebbe pubblicato il proprio tasso di accettazione, ma ha chiarito che questo filtraggio, non la ricerca, era il collo di bottiglia.

"La sorpresa è stata quanto poco lavoro sia stato necessario per trovarli, e quanto ne sia stato necessario per distinguere i veri bug da quelli che sembravano reali", 9 luglio 2026. — Nikos Baxevanis, Sicurezza del Protocollo, Ethereum Foundation

Gli agenti hanno cambiato ruolo a seconda delle necessità del lavoro

Gli agenti non seguivano script fissi. Assumevano ruoli come ricognizione, caccia, riempimento di lacune e validazione, cambiando a seconda delle esigenze di ciascun compito. La Fondazione ha anche descritto tre tipi di falsi positivi che hanno sprecato tempo ai revisori. Uno era un crash che appariva solo in una build di debug e scompariva una volta che il software veniva eseguito come previsto. Un altro era un riproduttore costruito da un valore interno che nessun input reale avrebbe mai potuto creare. Un terzo era una prova di verifica formale che passava, ma non dimostrava ciò che i revisori avevano inteso.

Il risultato indica un nuovo flusso di lavoro per la sicurezza

L'episodio suggerisce che l'IA può ampliare la ricerca di bug nel protocollo senza sostituire le persone che li confermano. La Fondazione ha inquadrato il triage come il vero prodotto del lavoro, sostenendo che risultati affidabili dipendono ancora dal giudizio esperto. Ha dichiarato che gli stessi agenti che segnalano rischi reali generano anche rumore che solo un umano può escludere.

L'Ether ha mostrato poca reazione di prezzo alle note

L'Ether (ETH) è stato scambiato a circa $1.801 al momento della pubblicazione, con un aumento dello 0,9% nelle ultime 24 ore rispetto alla chiusura precedente (CoinPaprika, 11 luglio 2026). Il token ha mantenuto un valore di mercato vicino a $217 miliardi, e la divulgazione della sicurezza non ha avuto un effetto chiaro sul suo prezzo.

Fonte primaria: Fonte ↗