AI kao alat napadača i branitelja u DeFi-ju
DeFi protokoli javno objavljuju velik dio svog koda, a transakcije s imovinom korisnika izvršavaju se putem pametnih ugovora. Zbog toga se svaka nova generacija alata za analizu softvera brzo postavlja i kao pitanje sigurnosti u tom sektoru. Anthropic je 7. travnja 2026. predstavio Claude Mythos Preview, model namijenjen samostalnom pronalaženju ranjivosti u softveru, u sklopu inicijative Project Glasswing, što je ponovno pokrenulo raspravu o tome mogu li takvi alati jednako ubrzati napade na DeFi protokole kao i njihovu obranu.
Izvor: cointelegraph
Claude Mythos i Project Glasswing
Claude Mythos Preview je, prema Anthropicovim navodima, opći model sposoban samostalno pronaći ranjivosti nultog dana u softveru i za njih izraditi funkcionalne exploite. U sklopu inicijative Project Glasswing pristup modelu dobili su odabrani partneri, među njima AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux zaklada, Microsoft, NVIDIA i Palo Alto Networks, koji ga koriste za pregled i zaštitu vlastite infrastrukture. Model nije javno dostupan, a Anthropic za sada ne najavljuje da će to promijeniti. Prema Anthropicovu izvještaju, Project Glasswing je do 22. svibnja 2026. pronašao više od 10.000 ranjivosti visoke ili kritične ozbiljnosti, uključujući ranjivost staru 17 godina u FreeBSD-ovu NFS poslužitelju i ranjivost staru 27 godina u OpenBSD-u koja je do tada preživjela sve sigurnosne revizije. Dana 12. lipnja 2026. na snagu je stupio nalog američke vlade vezan uz zabrinutost oko mogućeg zaobilaženja sigurnosnih ograničenja pri traženju softverskih ranjivosti. Zbog nemogućnosti provjere državljanstva korisnika, Anthropic je tada privremeno obustavio pristup modelima Claude Fable 5 i Claude Mythos 5 za sve korisnike, ne samo za strane državljane na koje se nalog izvorno odnosio, dok su ostali Anthropicovi modeli ostali dostupni. Ograničenja su ukinuta 30. lipnja 2026.
Izvor: cointelegraph
Zašto je DeFi osjetljiv na ovakve alate
DeFi protokoli javno objavljuju velik dio svog koda, što sigurnosnim timovima omogućuje pregled, ali isto vrijedi i za potencijalne napadače. Transakcije s imovinom korisnika uz to se izvršavaju putem pametnih ugovora, pa greška u kodu može omogućiti brzo premještanje sredstava bez dodatnog odobrenja. Samo pronalaženje ranjivosti ipak nije isto što i uspješan napad. Prema analizi Stephena Ajayija, vodećeg inženjera za ofenzivnu sigurnost u tvrtki Hacken, uspješan napad obično zahtijeva i razumijevanje mehanike protokola, dostupan kapital te koordinaciju više transakcija, a ne samo identificiranu ranjivost u kodu.
Izvor: cointelegraph
Podaci za prvu polovicu 2026.
Prema izvještaju tvrtke CertiK, u prvoj polovici 2026. zabilježeni su gubici veći od 1,31 milijarde dolara u 344 sigurnosna incidenta na Web3 protokolima. Manuel Aráoz, osnivač sigurnosne platforme OpenZeppelin, u svibnju 2026. je nakon gubitaka od 630 milijuna dolara u travnju upozorio da cijeli DeFi sektor treba promatrati kao izložen riziku. Natalie Newson, viša istražiteljica u CertiK-u, navodi da je u prvoj polovici 2026. čak 73 slučaja iskorištavanja ranjivosti u kodu uključivalo pametne ugovore koji su bili u funkciji dulje od godinu dana prije napada, u odnosu na 45 takvih slučajeva tijekom cijele 2025. godine. Prema njezinoj procjeni, to bi moglo biti znak da AI alati napadačima omogućuju analizu znatno većeg broja pametnih ugovora nego što je prije bilo uobičajeno, iako sami podaci o starijim ugovorima ne dokazuju izravno korištenje AI alata u pojedinačnim napadima. Haseeb Qureshi, glavni partner investicijske tvrtke Dragonfly, na temelju istih podataka za 2026. ocjenjuje da je zabilježen niži mjesečni iznos hakiranih sredstava i pad medijalne veličine pojedinačnog hakiranja u odnosu na prethodne godine, što po njegovim riječima pokazuje da su strahovi od takozvane “AI hakerske apokalipse” za sada pretjerani.
Izvor: cointelegraph
Odakle dolaze veliki gubici
Prema izvještaju tvrtke Hacken za drugo tromjesečje 2026., oko 88 posto ukupno ukradene vrijednosti u tom razdoblju povezano je s kompromitiranim privatnim ključevima, potpisnicima i operativnom infrastrukturom, a ne s greškama u pametnim ugovorima. Velik dio te vrijednosti odnosi se na dva napada koje istraživači povezuju sa skupinama iz Sjeverne Koreje, usmjerena na platforme Drift Protocol i Kelp DAO. Prema Chainalysisovu izvještaju Crypto Crime Report 2026, prijevare s on-chain poveznicama na pružatelje AI alata u 2025. su, prema riječima Sullyja Hanifa, voditelja za javni sektor u Ujedinjenom Kraljevstvu u toj tvrtki, u prosjeku donosile 3,2 milijuna dolara po operaciji, naspram 719.000 dolara kod tradicionalnih prijevara. On dodaje da su prijevare lažnog predstavljanja tijekom 2025. porasle za više od 1.400 posto na godišnjoj razini, uz sve dostupniju upotrebu AI alata za izradu deepfake sadržaja.
Izvor: cointelegraph
AI i na strani obrane
Sigurnosne tvrtke AI alate koriste i za pregled koda, praćenje aktivnosti na lancu i rad na bug bounty programima. Prema riječima Natalie Newson iz CertiK-a, isti se alati mogu koristiti i za obrambene sigurnosne analize, dok njihov stvarni učinak ovisi o tome tko tehnologiju brže i učinkovitije primijeni u praksi. Stephen Ajayi dodaje da AI za sada uglavnom ubrzava postojeće metode napada, poput analize koda i izrade phishing kampanja, dok slabosti poput lošeg upravljanja pristupom i operativne sigurnosti i dalje uvelike određuju razmjer štete kad se napad dogodi. Prema njegovim riječima, to ne znači da rizik od naprednijih AI napada nije prisutan, nego da dosadašnji podaci ne pokazuju da je AI zamijenio dosadašnje uzroke gubitaka u sektoru.