एथेरियम प्रोटोकॉल की सुरक्षा में AI का बढ़ता दखल, मानव सत्यापन अब भी अनिवार्य

भ्रामक अलर्ट और वास्तविक खामियों की पहचान

फाउंडेशन के लिए सबसे हैरान करने वाली बात यह नहीं थी कि AI खामियों को ढूंढ पा रहा है, बल्कि यह थी कि सारा काम खामी खोजने में नहीं, बल्कि यह तय करने में खर्च हो रहा है कि कौन सी खामी असली है और कौन सी केवल वैसी दिख रही है। संगठन के मुताबिक, AI एजेंटों द्वारा जनरेट किए गए आउटपुट अक्सर पारंपरिक फज़िंग टूल्स की तुलना में बहुत अधिक विस्तृत होते हैं। इनमें न केवल क्रैश रिपोर्ट और स्टैक ट्रेस, बल्कि संभावित एक्सप्लॉइट पथ, गंभीरता का आकलन और प्रूफ-ऑफ-कांसेप्ट कोड भी शामिल होते हैं।

फाउंडेशन ने चेतावनी दी है कि AI द्वारा रिपोर्ट किए गए सुरक्षा मुद्दों की संख्या को सफलता का पैमाना नहीं मानना चाहिए। उनका जोर इस बात पर है कि यह गणना न करें कि एक एजेंट ने कितने संभावित मुद्दे तैयार किए हैं, बल्कि यह देखें कि उनमें से वास्तव में कितने सही साबित हुए हैं।

सहयोगात्मक कार्यप्रणाली और सख्त सत्यापन

विश्वसनीयता बढ़ाने के लिए, प्रोटोकॉल सिक्योरिटी टीम एक ही कोडबेस पर कई AI एजेंटों को एक साथ तैनात करती है। हर एजेंट को टोही (reconnaissance), वल्नरेबिलिटी हंटिंग, वैलिडेशन और कवरेज एनालिसिस जैसे विशिष्ट कार्य सौंपे जाते हैं। ये एजेंट किसी केंद्रीय समन्वयक पर निर्भर रहने के बजाय साझा रिपॉजिटरी और वर्जन कंट्रोल के माध्यम से एक-दूसरे के काम को आगे बढ़ाते हैं और स्वतंत्र रूप से निष्कर्षों की पुष्टि करते हैं।

एथेरियम फाउंडेशन का स्पष्ट नियम है कि किसी भी सुरक्षा मुद्दे को तब तक वैध नहीं माना जाएगा जब तक उसे वास्तविक प्रोडक्शन कोड पर चलने वाले सेल्फ-कंटेंड प्रूफ-ऑफ-कांसेप्ट का उपयोग करके दोहराया न जा सके। फाउंडेशन का मानना है कि कृत्रिम परीक्षण वातावरण में परीक्षण पर्याप्त नहीं है।

गलत निष्कर्षों के सामान्य कारण

फाउंडेशन ने उन स्थितियों की पहचान की है जहाँ AI से 'फॉल्स पॉजिटिव' या गलत अलर्ट मिलते हैं। इसमें वे क्रैश शामिल हैं जो केवल डिबग बिल्ड्स में ही होते हैं, ऐसे प्रूफ-ऑफ-कांसेप्ट जो असंभव निष्पादन पथों पर आधारित हैं, और औपचारिक सत्यापन प्रमाण जो तकनीकी रूप से पास तो हो जाते हैं लेकिन इच्छित सुरक्षा गुणों को मान्य करने में विफल रहते हैं।

अंततः, AI द्वारा जनरेट किए गए अधिकांश निष्कर्ष या तो गलत होते हैं, या वे डुप्लिकेट होते हैं, या फिर वे ऑडिट के दायरे से बाहर होते हैं। हर एक उम्मीदवार निष्कर्ष को स्वतंत्र सत्यापन प्रक्रिया से गुजरना पड़ता है ताकि यह निर्धारित किया जा सके कि क्या वह वास्तव में शोषण योग्य है और क्या उसका संभावित प्रभाव इतना गंभीर है कि उस पर आगे की कार्रवाई या सार्वजनिक प्रकटीकरण की आवश्यकता है। हालांकि AI कोड की जांच के दायरे को बढ़ाता है, लेकिन मानवीय निगरानी ही वह निर्णायक कारक बनी हुई है जो अंततः यह तय करती है कि क्या वास्तविक है और किस पर कदम उठाने की आवश्यकता है।