25 окт. 2026

Биткоин ускорил исправление уязвимостей из-за ИИ-охотников за багами

Искусственный интеллект научился находить уязвимости в коде быстро и дёшево. Криптоиндустрия отвечает на это двумя противоположными стратегиями: одни проекты делают ставку на скорость исправлений, другие - на максимально простой и неизменяемый код.

22 октября разработчики Bitcoin Core приняли изменение политики безопасности. Раньше уязвимости, которые можно обнаружить простым запросом к языковой модели, держали в секрете до года, пока готовилось исправление. Теперь такие баги закрывают и выпускают патч немедленно. Автор изменения Антуан Пуансо объяснил: нейросети «резко снижают порог входа для поиска определённых классов проблем».

В тот же день стало известно о двух критических уязвимостях в PHP, найденных с помощью ИИ. Они оставили без защиты около 1,3 млн хостов, доступных из интернета. А сеть Initia полностью остановила работу после атаки: злоумышленник использовал уязвимость нулевого дня, выпустил токены и вывел примерно 2,7 млн долларов. Подтверждения, что при взломе применялся ИИ, нет, но сооснователь проекта Зон назвал случившееся «багом нулевого дня».

По данным базы DefiLlama, за 2026 год зафиксировано уже 112 взломов с ущербом более 1 млн долларов. За весь 2025 таких случаев было 70. Исследование Anthropic показало: выручка от эксплуатации уязвимостей в смарт-контрактах, которую модели демонстрируют в симуляциях, удваивается примерно каждые 1,3 месяца.

Первый ответ индустрии - гибкость. Starknet проголосовал за исследование перехода в независимый постквантовый блокчейн первого уровня. Причина: проект хочет обновлять криптографию по собственному графику, не дожидаясь Ethereum. Гендиректор StarkWare Эли Бен-Сассон оценил появление квантовых компьютеров в два года и заявил, что ИИ ускоряет этот процесс.

Исследователи Ethereum тоже настороже. Джастин Дрейк ранее в октябре призвал индустрию готовиться к «режиму бункера» - переводу средств на новые, более безопасные адреса после волны математических прорывов, связанных с ИИ.

У гибкости есть цена. Каждый административный ключ и путь обновления - это дополнительная точка атаки. Изменение правил может породить новые баги. Именно поэтому Ethereum снял обновление Glamsterdam с тестовой сети Hoodi: исследование показало, что изменения в расчёте газа могут повлиять на поведение уже развёрнутых контрактов.

Второй ответ - минимализм. Разработчик Ethereum Росс, известный как z0r0z, сформулировал идею «теста на уход»: система должна продолжать безопасно работать, даже если её создатели исчезнут завтра. Небольшой детерминированный код, который может проверить любой, оставляет меньше мест для поломки и меньше сторон, которым нужно доверять. Виталик Бутерин подтвердил этот курс: дорожная карта Ethereum стала «только хэши», потому что у хэш-функций нет структуры, которую могла бы взломать ускоренная ИИ математика.

У минимализма тоже есть обратная сторона. Публичный неизменяемый код читают и ИИ-атакующие, а исправить его после запуска нельзя. Поэтому подход работает, только если код достаточно мал для исчерпывающей проверки.

Здесь на сцену выходит формальная верификация - математическое доказательство того, что код не может нарушить заданные правила. Раньше это стоило огромных денег: ядро операционной системы seL4 писали два человеко-года, а верифицировали двадцать. Но Anthropic в новом исследовании с Theorem использовала Claude, чтобы доказать: 239 точек входа в 123 библиотеках с открытым кодом не могут вызвать сбой при любом вводе до 64 МБ. На это ушли недели, а не годы.

Ограничение в том, что доказательства растут вместе с кодом. Типичное доказательство занимало около 600 тысяч строк для программы из 18 тысяч машинных инструкций и требовало сотни миллионов токенов. К тому же доказательство покрывает только заданные свойства, а не все возможные баги.

Главные выгодоприобретатели дешёвых доказательств - небольшие программы с одной задачей. Именно такой код минималисты хотят размещать в блокчейне. Если ИИ продолжит снижать стоимость верификации, «невозможность исправить» станет меньшей проблемой: код просто не должен требовать исправлений. Для крупных развивающихся систем вроде блокчейнов первого уровня и роллапов гибкость останется необходимой, но тест на уход превращается из идеала децентрализации в практический ориентир безопасности.

Биткоин ускорил исправление уязвимостей из-за ИИ-охотников за багами

Читайте также