A Fundação Ethereum Encontra um Bug Real e Falsos Positivos num Teste de Segurança com IA

A Fundação Ethereum lançou recentemente agentes de IA para testar software blockchain, descobrindo uma vulnerabilidade de segurança real e, ao mesmo tempo, revelando um desafio crítico de verificação. A equipa de Segurança do Protocolo encontrou um bug real no gossipsub, a camada de mensagens usada pelos clientes Ethereum, que foi divulgado como CVE-2026-34219. O exercício mostrou que agentes de IA conseguem gerar relatórios de vulnerabilidades convincentes para problemas inexistentes, exigindo que revisores humanos distingam falhas reais do software de falsos positivos. Os testes tinham como objetivo reforçar a segurança da maior blockchain, em termos de valor bloqueado. A infraestrutura da Ethereum depende de milhares de nós a executar software de rede, onde falhas nas mensagens podem interromper validadores mesmo quando a cadeia mais alargada permanece intacta.

Fundação Ethereum Descobre Vulnerabilidade no Gossipsub Através de Testes com IA

O bug identificado pelos engenheiros estava no gossipsub, a camada de mensagens usada pelos clientes Ethereum para distribuir informação pela rede. A falha permitia que um sistema remoto desencadeasse uma falha no software do nó. Quando a falha ocorria, o nó atingia um cálculo impossível, parava de funcionar e colocava o validador offline até que um operador o reiniciasse.

O problema foi rapidamente corrigido e divulgado como CVE-2026-34219, com crédito atribuído à equipa envolvida. O bug podia causar falhas nos nós remotamente, afetando a disponibilidade dos validadores, a participação na rede e a robustez dos clientes. Para os validadores, a indisponibilidade traduz-se em recompensas falhadas e em risco operacional.

Nikos Baxevanis, autor do post da Fundação, escreveu que a surpresa estava em como havia tão pouco trabalho em encontrar bugs e em como havia muito trabalho em separar bugs reais daqueles que apenas pareciam reais. A Fundação publicou notas de campo do processo para explicar como outras equipas devem lidar com fluxos de trabalho de segurança assistidos por IA.

Agentes de IA Geram Três Tipos de Relatórios de Falso Positivo

A Fundação identificou três tipos de falsos positivos que continuavam a aparecer. O primeiro envolvia falhas que só ocorriam em versões de teste, em que as verificações de segurança do compilador estavam ativadas, mas não existiriam no software distribuído. Nesses casos, a falha reportada não afetava utilizadores reais.

O segundo envolvia ataques que só funcionavam se um valor perigoso fosse inserido manualmente dentro do programa. Se todas as rotas externas rejeitassem esse valor antes de chegar ao caminho de código vulnerável, o ataque não podia ser executado por um ator externo. O terceiro surgiu de verificação formal, em que uma prova foi aprovada ao mostrar algo trivialmente verdadeiro, sem oferecer evidência significativa de que o software se comportava corretamente.

Em cada caso, foi criado o aspeto de um teste sem provar um problema de segurança real. Um agente de IA produz uma narrativa, explicando como é que a falha poderia ser alcançada, defendendo porque é que isso importa, propondo uma classificação de severidade e fornecendo código funcional que parece demonstrar o ataque. O relatório pode ser lido com fluidez, quer o bug seja genuíno quer inventado.

A Fundação Recomenda um Fluxo de Trabalho com IA para Equipas de Segurança

A Fundação Ethereum alertou que os agentes são mais fortes a raciocinar sobre um único momento do que em identificar bugs que emergem ao longo de uma sequência de ações válidas. Essa fragilidade é especialmente relevante em finanças descentralizadas, onde muitos exploits são causados por uma sequência de passos comuns organizada por uma ordem prejudicial.

Vários ataques recentes encaixam nesse padrão. No exploit da Edel Finance, um feed de preços Chainlink exato foi contornado através da camada de empacotamento por cima dele. No ataque de governação da BONK, comprar tokens, votar e executar uma proposta aprovada eram, cada um, transações normais. O exploit surgiu do modo como essas ações se combinaram.

O fluxo de trabalho proposto pela Fundação é usar agentes para sugerir quais sequências valem a pena ser testadas e, depois, executar os testes de forma independente. Esta abordagem trata a IA como uma forma de alargar a pesquisa por possíveis caminhos de ataque, e não como o juiz final sobre se existe ou não uma vulnerabilidade. A conclusão principal foi que os agentes de IA podem expandir a superfície de pesquisa, aumentando ao mesmo tempo a necessidade de verificação disciplinada.

FAQ

Que vulnerabilidade descobriu a Fundação Ethereum usando agentes de IA?

A Fundação Ethereum descobriu a CVE-2026-34219, um bug no gossipsub, a camada de mensagens usada pelos clientes Ethereum. A falha permitia que um sistema remoto desencadeasse uma falha no software do nó, fazendo com que o nó atingisse um cálculo impossível, parasse de funcionar e colocasse o validador offline até que um operador o reiniciasse.

Que tipos de falsos positivos produziram os agentes de IA durante os testes de segurança da Ethereum?

A Fundação identificou três tipos de falsos positivos: falhas que só ocorriam em versões de teste com verificações de segurança do compilador que não existiam no software distribuído, ataques que exigiam a inserção manual de valores perigosos que as rotas externas rejeitariam, e provas de verificação formal que eram aprovadas ao mostrar algo trivialmente verdadeiro, sem provar um comportamento correto do software.