イーサリアム財団、開示済みのlibp2p脆弱性をAIエージェントが発見
同財団は、AI支援によるレッドチーミングで高深刻度のGossipsubの欠陥CVE-2026-34219を発見し、修正に寄与したと明らかにした。この欠陥により、認証されていないリモートピアが脆弱なノードをクラッシュさせ、バリデーターの運用を妨害する可能性があった。
ETH
ファクトチェック
一次情報源であるイーサリアム財団の公式ブログ記事「The triage is the product」は、この主張の主要な要素をすべて直接確認している。すなわち、AIエージェントがイーサリアムのプロトコルコードに対してレッドチーム演習を実施し、libp2p gossipsubの欠陥（遠隔からトリガー可能なpanicで、CVE-2026-34219として開示され、その後修正・公表された）を発見したこと、そして同記事が、誤検知の大量発生をふるいにかけ実際の脆弱性を検証するうえで、人間のレビュアーや実務担当者が引き続き不可欠であると明確に強調している点である（「the judgment is the real product」「human final call」）。二次情報源であるYahoo Techの報道も、libp2p gossipsub panicの発見を独自に裏付けている。
要約
イーサリアム財団の研究者は、プロトコルセキュリティのレッドチーミングで用いたAIエージェントが、libp2pのGossipsubコンポーネントに存在するリモートから誘発可能なパニックであるCVE-2026-34219を発見し、その後この問題はlibp2p-gossipsub v0.49.4で修正されたと述べた。報道で引用された外部の脆弱性リストでは、この高深刻度のサービス拒否の欠陥について、細工されたPRUNE制御メッセージによって、認証されていないピアが脆弱なコンセンサスノードやバリデーター関連ノード、その他の影響を受けるノードをクラッシュさせ得ると説明している。一方、同財団はこの事例が、AIシステムはいまだに誤検知や実用性のない、あるいは重複した検出結果を生み出すため、人によるトリアージと検証の必要性を改めて浮き彫りにしたとも指摘した。
用語解説
- libp2p: ブロックチェーンクライアントで使用されるP2Pネットワーキングソフトウェア。
- Gossipsub: イーサリアムのコンセンサスクライアントがブロック、アテステーション、その他のネットワークデータを配信するために用いるlibp2pのメッセージ伝播コンポーネント。
- CVE-2026-34219: v0.49.4で修正された、開示済みのlibp2p-gossipsubにおけるサービス拒否脆弱性の識別子。