Ethereum(ETH) Vakfı, ağ güvenliğinde yapay zeka test etti: Gerçek bug bulundu, sahte alarmlar büyük sorun oldu

İnsanların okuması için doğal ve akıcı bir Türkçe versiyon aşağıdaki gibi olabilir:

Ethereum(ETH) Vakfı, ağ güvenliğini güçlendirmek için yapay zeka(AI) tabanlı ajanları devreye aldı. Ancak süreç ilerledikçe, gerçek açıkları bulmaktan çok, ‘sahte bug’ları eleyip ayıklamanın daha büyük bir sorun olduğu ortaya çıktı.

Ethereum Vakfı, kısa süre önce protokol güvenliği taramaları sırasında AI ajanlarını kullanarak yazılım bileşenlerini test etti ve olası zafiyetleri taradı. Bu çalışma sayesinde bazı gerçek hatalar tespit edildi. Fakat aynı anda, gerçekmiş gibi görünen ama aslında geçersiz olan ‘hayali güvenlik açıkları’ da büyük miktarda üretildi ve bu durum ‘insan doğrulamasının’ önemini yeniden gündeme taşıdı.

Ethereum ağı, binlerce nodun aynı blokzincir verisini paylaştığı ve aralarında mesaj alışverişi yaptığı bir mimariyle çalışıyor. Bu yapı üzerinde doğrulayıcılar(Validator), ETH stake ederek blokların geçerliliğini onaylıyor. Ancak mesaj iletimi sekteye uğrarsa doğrulayıcılar da düzgün şekilde işleyemiyor.

AI’nın bulduğu kritik bug… ama asıl mesele ‘ayıklama’ süreci

Testler sırasında bulunan gerçek güvenlik açığı, ağ üzerindeki mesaj yayılım protokolü ‘gossipsub’dan kaynaklandı. Bu zafiyet, dış bir sistemin uzaktan müdahaleyle belirli nodları çökertmesine izin veriyordu. Böyle bir durumda ilgili doğrulayıcı çevrimdışı kalabiliyor ve ağ güvenliği risk altına girebiliyordu.

Söz konusu bug, ‘CVE-2026-34219’ kimliğiyle kayda alındı ve hızla yamalandı. Ancak işin asıl zor kısmı, AI’nın ürettiği yüzlerce sonuç arasından hangisinin ‘gerçek bir zafiyet’ olduğunu seçmekti.

Nikos Baxevanis(Nikos Baxevanis), “Hataları tespit etmeye harcadığımız zamandan çok daha fazlasını, gerçek ile sahte bug’ları ayırt etmeye harcadık” diyerek durumu özetledi.

İkna edici ama sahte bug’ların 3 temel tipi

Ethereum Vakfı, testlerde tekrar tekrar karşılarına çıkan sahte güvenlik açığı kalıplarını üç ana grupta topladı.

İlk kategori, yalnızca test ortamında ortaya çıkan, gerçek çalışma koşullarında oluşmayan hatalar. Bunlar, derleme aşamasında devreye giren ek güvenlik kontrollerinin tetiklediği çakışmalardan doğuyor ve son kullanıcı ortamında hiçbir pratik risk taşımıyor.

İkinci kategori, dışarıdan saldırıyla tetiklenmesi mümkün olmayan zafiyetler. Sadece belirli riskli değerler içerden zorla enjekte edildiğinde devreye giriyorlar. Ancak normal kullanımda bu değerler giriş noktasına gelmeden önce zaten filtrelenip engelleniyor.

Üçüncü kategori ise biçimsel doğrulama(Formal Verification) sürecinde üretilen ‘anlamsız ispatlar’. Kodun güvenliğini gerçekten sınamak yerine, zaten herkesin kabul ettiği apaçık gerçekleri tekrar tekrar ispatlayan, pratikte hiçbir şeyi test etmeyen kanıtlar olarak öne çıkıyor.

Tüm bu örnekler, yüzeyde birer güvenlik testi gibi görünse de gerçekte hiçbir şey doğrulamayan, ‘boş testler’ niteliği taşıyor. AI ise bu sahte senaryoları oldukça ikna edici bir dil ve mantıkla süsleyerek sunuyor; bu da gerçek açıkları sahte olanlardan ayırmayı zorlaştırıyor.

AI’nın kör noktası: Zincirleme saldırılara karşı zayıf

Bir başka sorun da AI araçlarının tek seferlik, anlık hataları incelemede güçlü olmasına karşın, birden fazla adım içeren zincirleme saldırı senaryolarında zorlanması.

Son dönemdeki pek çok DeFi saldırısında, tek tek bakıldığında tamamen normal sayılabilecek bir dizi işlem birleşerek istismara dönüştü. Örneğin bu ayın başında yaşanan Edel Finance(Edel Finance) saldırısında Chainlink(LINK) fiyat beslemesi dolanılarak manipüle edildi. BONK(BONK) yönetişim saldırısında da token alımı, oylama ve uygulama gibi sıradan gözüken adımlar normal prosedürmüş gibi kullanıldı.

‘Sıra ve kombinasyon’un kritik olduğu bu tarz saldırılara, adımlar tek tek incelendiğinde kusur görünmediği için AI’nın otomatik olarak işaret koyması hayli güç.

AI yardımcı araç, nihai karar yine insanda

Ethereum Vakfı, bu sorunlara karşı ara bir çözüm öneriyor: AI, sadece ‘şüpheli’ olabilecek senaryoları önermek için bir keşif aracı olarak kullanılacak. Sonrasında bu senaryoların gerçek güvenlik açığına işaret edip etmediğine, insan uzmanların yönettiği gerçek testler karar verecek.

Bu son örnek, blokzincir güvenliğinde AI’nın sunduğu fırsatları gösterirken, ‘tamamen otomatik güvenlik’ fikrinin sınırlarını da net biçimde ortaya koyuyor. Özellikle Ethereum(ETH) gibi devasa bir ekonomik değerin üzerinde döndüğü ağlarda, insan uzmanlığının ve detaylı manuel denetimlerin bir süre daha vazgeçilmez olmaya devam edeceği anlaşılıyor.