CoinDesk
Entwickler der Ethereum Foundation setzten koordinierte KI-Agenten auf die Gossipsub-Schicht an, auf die Validator-Nodes für den Empfang von Nachrichten angewiesen sind. Die Agenten meldeten einen aus der Ferne auslösbaren Absturz, der nun als CVE-2026-34219 gepatcht ist. Die Schwachstelle erlaubte es einem entfernten Sender, die Software eines Validators zu einer unmöglichen Berechnung zu zwingen, den Node herunterzufahren und den Validator offline zu nehmen, bis ein Betreiber ihn neu startete.
Der Erfolg brachte eine weniger schmeichelhafte Lektion mit sich. Der größte Teil der Engineering-Zeit floss darin, echte Funde von den detaillierten, selbstbewussten und flüssig formulierten Narrativen zu trennen, die die Agenten für Abstürze und Angriffe produzierten, die tatsächlich nicht existierten.
Warum das wichtig ist
Nikos Baxevanis, Autor des Protocol-Security-Beitrags der Foundation, fasste die Überraschung knapp zusammen: Die Arbeit lag nicht darin, Bugs zu finden, sondern die echten von denen zu unterscheiden, die nur echt aussahen. Ein klassischer Fuzzer liefert einen Absturz und eine Aufzeichnung, wo er passiert ist, was ein Engineer in Minuten bestätigen kann. Ein Agent liefert eine schriftliche Erzählung, eine behauptete Schwere, funktionierenden Exploit-Code und eine Begründung, die gleich klingt, egal ob der zugrunde liegende Bug real oder erfunden ist.
Drei Kategorien von False Positives tauchten immer wieder auf. Die erste war ein Absturz, der sich nur in einem Test-Build reproduzieren ließ, wo vom Compiler eingefügte Sicherheitsprüfungen Bedingungen abfangen, die das ausgelieferte Binary nicht enthält. Die zweite war ein Angriff, der nur funktionierte, wenn der bösartige Wert von Hand im Programm platziert wurde, weil ihn jeder extern erreichbare Pfad zuvor ablehnte. Die dritte stammte aus Formal-Verification-Läufen, die bestanden, indem sie etwas trivial Wahres bewiesen, und Reviewern nichts über die tatsächliche Software sagten. Die Agenten beschrieben alle drei so flüssig wie einen echten Fund.
Marktauswirkungen
Der blinde Fleck ist strukturell und passt zu einer Reihe von Exploits aus dem Jahr 2026. Der Edel-Finance-Angriff Anfang dieses Monats umging einen korrekten Chainlink-Price-Feed über die Wrapper-Schicht darüber. Der BONK-Governance-Exploit verknüpfte gewöhnliche Transaktionen: Token kaufen, abstimmen und einen angenommenen Vorschlag ausführen. Einzeln gültig, zusammen katastrophal.
Häufig gestellte Fragen
-
Was ist CVE-2026-34219?
CVE-2026-34219 ist eine aus der Ferne auslösbare Absturzschwachstelle in Ethereums Gossipsub-Nachrichtenschicht, die von KI-Agenten unter Koordination der Ethereum Foundation gefunden wurde und nun gepatcht ist. Sie konnte die Software eines Validators zu einer unmöglichen Berechnung zwingen und den Node…
-
Wie nutzte die Ethereum Foundation KI, um Bugs zu finden?
Entwickler der Foundation setzten koordinierte KI-Agenten auf die Software an, die Ethereum-Validatoren ausführen, einschließlich der Gossipsub-Schicht. Die Agenten schlugen verdächtige Abläufe vor und lieferten detaillierte Narrative zu möglichen Abstürzen, die Engineers anschließend mit klassischen Tests und…
-
Welche False Positives produzierten die KI-Agenten?
Drei Kategorien traten wiederholt auf: ein Absturz, der sich nur in Test-Builds mit Compiler-Sicherheitsprüfungen reproduzieren ließ, ein Angriff, der nur funktionierte, wenn ein bösartiger Wert von Hand im Programm platziert wurde, und Formal-Verification-Beweise, die bestanden, indem sie etwas trivial Wahres zeigten.
-
Warum sind KI-Agenten schwach gegen Exploits wie Edel Finance und BONK?
Diese Angriffe verketteten einzeln gültige Schritte: einen korrekten Chainlink-Preisabruf, der in eine bösartige Schicht eingebettet war, sowie gewöhnliche Token-Käufe, Abstimmungen und Proposal-Ausführungen, bei denen nur die Abfolge problematisch war. Der Beitrag der Foundation stellt fest, dass Agenten gut über…
-
Ersetzt die Ethereum Foundation menschliche Sicherheitsreviews durch KI?
Nein. Die Arbeitsantwort des Beitrags lautet, den Agenten vorschlagen zu lassen, welche Sequenzen verdächtig wirken, und danach Tests und menschliches Review dennoch durchzuführen. KI beschleunigt die Suche, aber die Validierung bleibt dieselbe harte Arbeit.
Crypto Rank News
WuBlockchain
Benjamin Cowen
TheBlock
WatcherGuru