CoinDesk
Os programadores da Ethereum Foundation puseram agentes de IA coordenados a testar a camada gossipsub de que os nós validadores dependem para receber mensagens, e os agentes devolveram uma falha capaz de provocar um crash remotamente, agora corrigida como CVE-2026-34219. A falha permitia que um remetente remoto forçasse o software de um validador a entrar num cálculo impossível, desligasse o nó e deixasse o validador offline até um operador o reiniciar.
A vitória veio acompanhada de uma lição menos lisonjeira. A maior parte do tempo de engenharia foi gasta a separar descobertas genuínas das narrativas detalhadas, confiantes e fluentes que os agentes produziram para crashes e ataques que, na prática, não existiam.
Porque é que isto importa
Nikos Baxevanis, autor da publicação de segurança de protocolo da Foundation, resumiu a surpresa de forma clara: o trabalho não esteve em encontrar bugs, mas em distinguir os reais daqueles que apenas pareciam reais. Um fuzzer tradicional devolve um crash e um registo do local onde aconteceu, algo que um engenheiro consegue confirmar em minutos. Um agente devolve uma narrativa escrita, uma gravidade alegada, código de exploração funcional e um raciocínio que se lê da mesma forma quer o bug subjacente seja real ou inventado.
Três categorias de falsos positivos repetiram-se. A primeira foi um crash que só se reproduzia numa build de teste, onde verificações de segurança injectadas pelo compilador detectam condições que o binário distribuído não inclui. A segunda foi um ataque que só funcionava quando o valor malicioso era colocado manualmente dentro do programa, porque todos os caminhos acessíveis externamente o rejeitavam primeiro. A terceira veio de execuções de verificação formal que passavam por provar algo trivialmente verdadeiro, sem dizerem aos revisores nada sobre o software real. Os agentes escreveram as três com a mesma fluência de uma descoberta real.
Impacto no mercado
O ponto cego é estrutural, e encaixa numa série de exploits de 2026. O ataque à Edel Finance no início deste mês contornou um feed de preço Chainlink correcto através da camada wrapper por cima dele. O exploit de governação da BONK encadeou transacções comuns: comprar tokens, votar e executar uma proposta aprovada. Individualmente válidas, colectivamente catastróficas.
Perguntas frequentes
-
O que é CVE-2026-34219?
CVE-2026-34219 é uma vulnerabilidade de crash explorável remotamente na camada de mensagens gossipsub da Ethereum, encontrada por agentes de IA coordenados pela Ethereum Foundation e já corrigida. Podia forçar o software de um validador a entrar num cálculo impossível e desligar o nó até um operador o reiniciar.
-
Como usou a Ethereum Foundation a IA para encontrar bugs?
Os programadores da Foundation apontaram agentes de IA coordenados ao software executado pelos validadores da Ethereum, incluindo a camada gossipsub. Os agentes propuseram sequências suspeitas e produziram narrativas detalhadas sobre potenciais crashes, que os engenheiros depois validaram com testes tradicionais e…
-
Que tipos de falsos positivos produziram os agentes de IA?
Três categorias repetiram-se. Um crash que só se reproduzia em builds de teste com verificações de segurança do compilador, um ataque que só funcionava quando um valor malicioso era colocado manualmente dentro do programa, e provas de verificação formal que passavam ao demonstrar algo trivialmente verdadeiro.
-
Porque são os agentes de IA fracos contra exploits como Edel Finance e BONK?
Esses ataques encadearam passos individualmente válidos, uma leitura de preço Chainlink correcta envolvida numa camada maliciosa, compras normais de tokens, votos e execuções de propostas, em que nada estava errado excepto a sequência. A publicação da Foundation nota que os agentes raciocinam bem sobre um momento…
-
A Ethereum Foundation está a substituir a revisão de segurança humana por IA?
Não. A resposta operacional da publicação é deixar o agente propor que sequências parecem suspeitas e, depois, executar os testes e a revisão humana na mesma. A IA acelera a procura, mas a validação continua a exigir o mesmo trabalho difícil.
WuBlockchain
Benjamin Cowen
TheBlock
WatcherGuru
Crypto News
CoinTelegraph