Sve više AI prijava otežava otkrivanje stvarnih sigurnosnih problema
Razvoj open source softvera godinama se temelji na jednostavnoj ideji. Što više ljudi pregledava izvorni kod, veća je vjerojatnost da će se sigurnosni propusti otkriti prije nego što ih netko pokuša iskoristiti.
To je posebno važno u crypto industriji. Bitcoin, Ethereum, digitalni novčanici, cross chain bridgeovi i DeFi platforme oslanjaju se na javno dostupan kod, neovisne sigurnosne stručnjake i bug bounty programe koji potiču prijavljivanje pronađenih ranjivosti.
No tijekom 2026. godine osnivač Linuxa, Linus Torvalds, upozorio je na novi problem. Umjetna inteligencija sve češće se koristi za izradu prijava o navodnim sigurnosnim propustima, zbog čega održavatelji projekata moraju pregledavati velik broj izvještaja koji često ne sadrže stvarne ranjivosti.
Problem nije u tome što AI može pomoći pri pronalasku stvarnih grešaka u kodu. Veći izazov je to što može u vrlo kratkom vremenu generirati velik broj uvjerljivih prijava koje ipak zahtijevaju ručnu provjeru.
Kod mnogih open source crypto projekata za sigurnost su zaduženi mali timovi koji održavaju sustave kroz koje prolazi imovina vrijedna milijarde eura ili dolara. Zbog toga velik broj bezvrijednih prijava može usporiti otkrivanje stvarnih sigurnosnih problema i dodatno opteretiti postojeće procese.
Izvor: cointelegraph
Što o svemu kaže Linus Torvalds?
Linus Torvalds upozorio je na ovaj problem tijekom rasprave o načinu prijavljivanja sigurnosnih propusta u Linux kernelu. Njegove kritike nisu bile usmjerene prema umjetnoj inteligenciji kao tehnologiji, već prema načinu na koji se koristi za izradu prijava.
Prema njegovim riječima, održavatelji projekata sve češće dobivaju velik broj sličnih prijava nastalih uz pomoć AI alata. Mnoge od njih opisuju moguće probleme u kodu, ali ne pokazuju može li se ranjivost stvarno iskoristiti, je li već poznata, ranije ispravljena ili uopće predstavlja stvaran sigurnosni rizik.
To stvara dodatni pritisak na sigurnosne timove. Svaku prijavu potrebno je pregledati jer među njima može biti i stvarni sigurnosni propust. Istovremeno, svaka analiza zahtijeva vrijeme, tehničku provjeru i dodatnu procjenu.
Prijavu koju je moguće sastaviti uz pomoć AI alata u svega nekoliko minuta stručnjaci često analiziraju satima prije nego što utvrde je li riječ o stvarnom problemu ili lažnoj uzbuni. Upravo taj nesrazmjer postaje sve veći izazov za open source zajednicu.
Izvor: cointelegraph
Kako AI prijave stvaraju “šum” u sigurnosnim analizama?
AI alati danas mogu vrlo uvjerljivo sastaviti tehničke izvještaje. Mogu analizirati izvorni kod, prepoznati neuobičajene obrasce i napisati prijavu koja na prvi pogled izgleda detaljno i stručno. Ipak, dobro napisan izvještaj ne znači automatski da sigurnosni propust stvarno postoji.
Da bi se neka ranjivost potvrdila, potrebno je odgovoriti na nekoliko važnih pitanja. Može li se problem pouzdano ponoviti? Pojavljuje li se u stvarnim uvjetima korištenja? Utječe li na važne funkcije ili osjetljive dijelove sustava? Je li ranjivost već poznata ili je ranije ispravljena? Radi li se o stvarnoj mogućnosti iskorištavanja ili samo o teorijskoj pretpostavci?
Velik broj AI generiranih prijava ne daje odgovore na ta pitanja. Umjesto toga često ističu manje nepravilnosti, pogrešno tumače način rada pojedinih funkcija ili preuveličavaju važnost problema koji u praksi nemaju veći utjecaj.
Dodatni izazov je to što su takvi izvještaji često vrlo uredno napisani i djeluju uvjerljivo. Zbog toga je potrebno uložiti više vremena kako bi se razlikovale prijave koje ukazuju na stvarni sigurnosni propust od onih koje nemaju veću vrijednost.
U raspravama unutar open source zajednice za ovakvu pojavu sve se češće koristi izraz AI slop ili šum. Time se opisuje velik broj prijava koje troše vrijeme i resurse sigurnosnih timova, a pritom rijetko doprinose otkrivanju novih sigurnosnih propusta.
Izvor: cointelegraph
Zašto je ovaj problem posebno važan za crypto projekte?
Sigurnosni propusti u crypto industriji često imaju ozbiljnije posljedice nego u mnogim drugim područjima. Dok greška na društvenoj mreži može uzrokovati prekid rada ili curenje podataka, ranjivost u crypto bridgeu ili DeFi protokolu može dovesti do gubitka imovine vrijedne stotine milijuna dolara.
Zbog toga je brzina otkrivanja i provjere sigurnosnih propusta posebno važna.
Velik dio crypto ekosustava temelji se na open source razvoju. Pametni ugovori, blockchain protokoli, digitalni novčanici i decentralizirane aplikacije dostupni su za javni pregled, a bug bounty programi potiču sigurnosne istraživače da prijave pronađene ranjivosti.
Umjetna inteligencija može biti korisna u tom procesu. U praksi postoji mogućnost da velik broj AI generiranih prijava dodatno optereti sigurnosne timove.
Ako bug bounty programi počnu primati velik broj takvih prijava, održavatelji projekata mogli bi teže prepoznati koje ranjivosti zahtijevaju hitnu reakciju. Istovremeno, kvalitetne prijave sigurnosnih istraživača mogu dulje čekati na pregled zbog velikog broja izvještaja koji ne otkrivaju stvarne probleme.
Dodatni izazov je to što napadači nisu obvezni prijavljivati pronađene ranjivosti. AI mogu koristiti za traženje sigurnosnih propusta bez ikakvog upozorenja ili javne objave. Upravo zato sigurnosni timovi moraju što brže prepoznati i analizirati prijave koje ukazuju na stvarne prijetnje.
Izvor: cointelegraph
Problem poticaja kod bug bounty programa
Bug bounty programi temelje se na jednostavnoj ideji. Pronalaženje ozbiljnih sigurnosnih propusta zahtijeva znanje, vrijeme i tehnički trud.
Umjetna inteligencija mijenja taj odnos.
Danas istraživači mogu koristiti velike jezične modele i automatizirane alate za pregled koda, sastavljanje prijava i izradu izvještaja uz znatno manje vremena nego prije. Zbog toga se može pojaviti veći broj prijava, posebno od korisnika s manje iskustva koji pokušavaju ostvariti nagrade kroz količinu umjesto kroz kvalitetu pronađenih problema.
Ovaj obrazac počinje podsjećati na neželjenu e poštu. Kada je moguće izraditi velik broj slabih prijava uz vrlo mali trud, dio korisnika mogao bi pokušati iskoristiti takav pristup. Čak i ako samo mali broj prijava dovede do nagrade, ovakav način rada nekima može biti isplativ.
Crypto projekti zbog toga bi mogli morati prilagoditi način rada bug bounty programa. Neke od mogućih promjena uključuju:
- traženje detaljnijih dokaza za potvrdu ranjivosti
• postavljanje strožih kriterija za prijave
• ograničavanje sudjelovanja u otvorenim bounty programima
• veći fokus na provjerene sigurnosne istraživače
• prelazak na programe dostupne samo pozvanim sudionicima
Iako bi takve promjene mogle smanjiti broj nekvalitetnih prijava, istovremeno bi mogle smanjiti otvorenost koja je godinama važan dio razvoja crypto projekata.
Izvor: cointelegraph
Kako učinkovito koristiti AI u sigurnosnim istraživanjima
To ne znači da umjetna inteligencija nema vrijednost u području sigurnosti. Iskusni istraživači sve češće koriste AI alate za brži pregled koda, fuzz testiranje, analizu dokumentacije i simulaciju mogućih napada.
Problem nastaje kada se AI generirani rezultati šalju kao gotove sigurnosne prijave bez dodatne provjere.
Korištenje AI alata u sigurnosnim analizama zahtijeva ljudski nadzor i tehničku provjeru. Umjetna inteligencija može pomoći pri pronalasku mogućih problema, ali konačna procjena zahtijeva stručnu analizu.
Kvalitetna prijava sigurnosnog propusta obično uključuje:
- detaljne korake za ponavljanje problema
• dokaz da se ranjivost stvarno može iskoristiti
• objašnjenje mogućeg utjecaja na sustav
• potvrdu da problem ranije nije prijavljen
• realnu procjenu ozbiljnosti ranjivosti
• prijedlog mogućeg rješenja kada je to moguće
Jednostavno rečeno, AI može pomoći u ranom otkrivanju potencijalnih problema, ali ljudska procjena i dalje ostaje ključna kod donošenja konačne odluke.
Izvor: cointelegraph
Crypto industrija mora pronaći ravnotežu između AI alata i sigurnosti
U sljedećim godinama pitanje sigurnosti moglo bi dobiti dodatnu važnost u crypto industriji, posebno kako umjetna inteligencija postaje dostupnija i napadačima i sigurnosnim stručnjacima. Prema mišljenju nekih stručnjaka, cilj će biti razviti bolje načine korištenja AI alata za otkrivanje i uklanjanje sigurnosnih propusta prije nego što ih netko pokuša iskoristiti.
Jedan od mogućih smjerova je veće korištenje automatiziranih sigurnosnih analiza i suradnje većeg broja istraživača koji mogu pomoći u provjeri crypto projekata. Istovremeno, projekti će morati pronaći način kako iskoristiti prednosti AI tehnologije bez stvaranja dodatnog opterećenja kroz velik broj nekvalitetnih prijava.
Rasprave o ovoj temi postale su intenzivnije nakon razvoja novih AI modela koji mogu pomoći pri analizi koda i simulaciji napada. Iako proizvođači AI sustava uvode različite zaštitne mehanizme, sigurnosni stručnjaci i dalje upozoravaju da se mogućnosti ovih alata mogu koristiti na različite načine.
Interes za sigurnost dodatno je porastao nakon nekoliko velikih napada na DeFi protokole koji su ponovno pokazali koliko ranjivosti u pametnim ugovorima i cross chain sustavima mogu imati ozbiljne posljedice. Prema objavljenim informacijam jedan od takvih slučajeva dogodio se kada je napadač iz Kelp DAO bridgea izvukao oko 116.500 rsETH tokena, čija je vrijednost u tom trenutku iznosila približno 290 do 293 milijuna dolara.
Ovi događaji pokazuju da će crypto projekti morati nastaviti razvijati sigurnosne procese u razdoblju kada AI postaje dio svakodnevnog rada programera i istraživača. Jedno od ključnih pitanja bit će koliko brzo sigurnosni timovi mogu provjeriti, razumjeti i otkloniti potencijalne sigurnosne propuste koje AI identificira.