イーサリアム財団のプロトコルセキュリティチームは、重要なネットワークインフラをテストするためにAIエージェントを展開し、木曜日にブログ投稿で明らかにしました。エージェントは、libp2pのgossipsubにおいてリモートトリガーパニックを含む複数の脆弱性を発見し、Github上でCVE-2026-34219として公開されました。AI支援のセキュリティテストは、組織が自らのシステムを攻撃して弱点を特定するレッドチーミングの実践を採用したことを示しています。
イーサリアム財団、専門的なAIエージェントの役割を展開
イーサリアム財団は、偵察、ハンティング、ギャップ埋め、検証などの専門的な役割にAIエージェントを編成しました。一部のエージェントは攻撃経路を探し、他のエージェントは失敗を再現し、実運用コードに対して動作するかどうかを検証します。エージェントは、システムソフトウェア、暗号化コード、そしてイーサリアムのネットワークに依存するスマートコントラクトをテストしました。
研究者たちは、バグを見つけること自体は驚きではなかったが、その作業の分配には驚きがあったと述べています。「驚きだったのは、実際にバグを見つけるのに費やした時間は少なく、実際に見えたバグとそうでないものを見分けるのに多くの時間を費やしたことです」とブログ投稿で述べています。
AIエージェント、libp2pの脆弱性CVE-2026-34219を発見
AIエージェントによって発見された脆弱性の一つは、イーサリアムコンセンサスクライアントで使用されるピアツーピア層のlibp2pのgossipsubにおけるリモートトリガーパニックです。イーサリアム財団はこの問題を修正し、Github上でCVE-2026-34219として公開しました。
財団は、AIエージェントを脆弱性をテストするツールであるファザーに例えています。ファザーとは異なり、AIエージェントは脆弱性レポートを生成し、影響を評価し、概念実証テストを作成することができます。研究者たちは検証ルールを確立しました：「候補は、実際のコードに対して失敗を再現し、それを誰でも実行できる自己完結型のアーティファクトが存在するまで、発見とはみなさない。」
AnthropicのClaudeモデル、FirefoxとZcashの欠陥を発見
AnthropicのClaude Mythosは、4月にMozillaのFirefoxブラウザで271の脆弱性を発見しました。セキュリティ研究者のTaylor Hornbyは、5月にAnthropicのClaude Opus 4.8を使用してAI支援の監査を行い、Zcashのオーチャードプライバシープールにおける重大な脆弱性を発見しました。
Zcashの欠陥は約4年間存在し、攻撃者が明らかなオンチェーンの痕跡なしに偽のZECを作り出すことを可能にしていた可能性があります。情報筋によると、Zcashの信頼性を回復するためのネットワークアップグレードが進行中です。
人間の研究者、AI生成のセキュリティ発見を検証
AIによる発見は、誤っている場合でも説得力を持つことがあり、研究者は重複、誤検知、実際に悪用できない脆弱性を除外する必要があります。イーサリアム財団の研究者は、詳細な発見が必ずしも正確な発見を意味しないと述べています。
「AIはセキュリティ研究者に取って代わったのではなく、作業を移動させたのです」とイーサリアム財団は述べています。「エージェントは、手作業では到達できない範囲をカバーさせてくれます。その代わりに、より慎重な判断を求められます。信頼できると感じる多くの主張の中で、判断こそがAI支援のセキュリティプロセスの真の成果です。」チームは、判断こそがAI支援のセキュリティの本質だと付け加えました。
よくある質問
イーサリアム財団のAIエージェントは、libp2pでどのような脆弱性を発見しましたか？
リモートトリガーパニックを含むlibp2pのgossipsubにおける脆弱性を発見し、修正してGithub上でCVE-2026-34219として公開しました。
AnthropicのClaude Mythosは、Firefoxでいくつの脆弱性を見つけましたか？
4月にMozillaのFirefoxブラウザで271の脆弱性を発見し、AIの脆弱性研究における役割の拡大を示しました。
イーサリアムのセキュリティテストにおいて、AIエージェントはどのような役割を果たしていますか？
偵察、ハンティング、ギャップ埋め、検証などの専門的な役割にAIエージェントを編成し、一部は攻撃経路を探し、他は失敗を再現し、実運用コードに対して脆弱性を検証します。
