Natuklasan ng isang mananaliksik sa seguridad na gumagamit ng Claude Opus 4.8 ng Anthropic ang isang kritikal na depekto sa Orchard privacy pool ng Zcash sa loob lamang ng ilang araw, na naglalantad ng isang kahinaan na nakaligtas sa apat na taong pagsusuri ng mga nangungunang zero-knowledge cryptographers.

Ang paglalantad na ito ay nagpababa sa ZEC ng humigit-kumulang 38% noong Huwebes at nagtaas ng mas malaking pagkabahala para sa industriya ng crypto tungkol sa mga 'frontier AI' models na lalong nagiging mahusay sa paghahanap ng mga kahinaan kaysa sa karamihan ng mga tao.

"Ang kahalagahan ay hindi talaga na ang AI ay kayang makahanap ng mga bug," sabi ni Ben Goertzel, founder at CEO ng SingularityNET, sa Decrypt. "Ito ay ang uri ng bug na kaya nitong hanapin ngayon ay nagbago."

Sa halip na basta lamang magbandera ng mga malinaw na pagkakamali sa coding, ang mga 'frontier models' ay lalong nagiging may kakayahang mag-isip kung ang software ay kumikilos ayon sa intensyon ng mga nagdisenyo nito, aniya.

Noong Mayo, si Taylor Hornby, isang mananaliksik sa seguridad na inupahan ng Shielded Labs, ay nakatuklas ng isang kritikal na depekto sa Orchard circuit ng Zcash sa tulong ng Claude Opus 4.8 ng Anthropic. Nakatago sa dalawang linya ng code, ang bug ay nagmula sa isang 'check' na tila nagpapatunay ng mga 'transaction input' ngunit hindi naman talaga ipinapatupad ang nilalayon na mga tuntunin, na posibleng magpahintulot sa isang umaatake na lumikha ng pekeng ZEC sa loob ng 'shielded pool' nang walang deteksyon. Gumawa si Hornby ng isang gumaganang 'exploit' upang patunayan ang kahinaan bago ito iulat sa mga developer. Isang emergency fix ang ipinadala noong Hunyo 1.

Dinagdag pa sa takot na bumalot sa Zcash at sa mas malawak na merkado ng crypto noong Huwebes at Biyernes ay ang katotohanan na ang depekto ay nanatiling hindi natuklasan sa loob ng mahigit apat na taon.

Para kay Goertzel, ang pagtuklas ay makabuluhan hindi lamang dahil nakahanap ang AI ng isang kahinaan, kundi dahil din itinuturo nito ang isang bagong modelo para sa pananaliksik sa seguridad.

"Sa palagay ko ito ay isang maagang tanda ng isang pagbabago na mahirap bigyan ng labis na halaga," aniya. "Ang modelo ng pananaliksik sa seguridad bilang isang dakot ng iginagalang na mga espesyalista ng tao na gumagawa ng mabagal, artisanal, malalim na ekspertong mga audit ay hindi mawawala, ngunit hindi na ito ang buong laro."

Sinabi ni Goertzel na ang depekto sa Orchard ay kabilang sa isang klase ng banayad na mga 'logic bug' na lalong kayang hanapin ng mga 'frontier AI models', kabilang ang mga error sa 'smart-contract', mga pagkabigo sa 'access-control', at mga sitwasyon kung saan ang software ay kumikilos nang iba kaysa sa nilalayon ng mga nagdisenyo nito. Habang bumubuti ang mga kakayahang iyon, idinagdag niya na ang pananaliksik sa seguridad ay lumilipat patungo sa isang modelo kung saan ang mga espesyalista ng tao ang nangangasiwa sa patuloy na pagsusuri na pinapagana ng AI na maaaring suriin ang mga 'codebase' nang mas malawakan kaysa sa tradisyonal na mga audit.

Ang mismong tugon ng Zcash ay maaaring magbigay ng preview ng kinabukasan na iyon, sabi ni Goertzel.

"Ang pagkuha ng Shielded Labs ng isang mananaliksik partikular upang manghuli ng mga depekto sa antas ng protocol gamit ang isang 'frontier model' bago pa magawa ito ng isang malisyosong aktor ay, sa hinala ko, ang 'template', hindi ang 'exception'," sabi ni Goertzel. "Ang proactive, pinahusay-ng-AI, 'adversarial-by-design' na pagsusuri ay nagiging 'table stakes', at ang mga protocol na hindi gagamit nito ay lalong matututo tungkol sa kanilang mga kahinaan mula sa umaatake kaysa sa isang kaibigan."

Ayon kay Sean Ren, CEO ng Sahara AI at isang propesor sa computer science sa University of Southern California, ang mga pag-unlad sa AI ay naghuhubog din sa balanse sa pagitan ng mga umaatake at nagtatanggol dahil ang mga 'frontier models' ay mabilis na makakapagsubok ng mga estratehiya sa pag-atake, matuto mula sa mga resulta, at matuklasan ang mga kahinaan.

"Upang makapagtayo ng mas mahusay na depensa, kailangan nating gamitin ang mga 'frontier AI models' na ito bilang potensyal na mga umaatake upang 'stress test' ang mga sistemang ito," sabi ni Ren sa Decrypt.

Sinabi ni Ren na ang mga 'blockchain network' ay lalong nalantad dahil ang kanilang 'open-source code' ay direktang masusuri ng mga 'frontier AI models', na mabilis na makakapagsubok ng mga estratehiya sa pag-atake at makatukoy ng mga kahinaan nang mas mabilis kaysa sa tradisyonal na mga pagsusuri sa seguridad.

"Kung iisipin mo ang mga 'frontier model labs' tulad ng OpenAI, Anthropic, at Google DeepMind, mas maaga silang nakaka-access sa pinakamalakas na hindi pa nailalathalang mga modelo at maaaring magsagawa ng maraming eksperimento sa mga pampublikong sistema ng network tulad ng mga blockchain, kaya may kapangyarihan sila sa kanilang kamay," aniya. "Kung ang isang taong may masamang intensyon ay may access sa mga kakayahang iyon, maaari silang magsagawa ng mga pag-atake at lumikha ng mga kahinaan."

Ang "window" na iyon ay maaaring magsara nang mas mabilis kaysa sa inaasahan ng marami, at ayon kay Danny Jenkins, CEO at co-founder ng cybersecurity firm na ThreatLocker, ang pagtuklas ng kahinaan na tinutulungan ng AI ay bumubuti nang mas mabilis kaysa sa kakayahan ng maraming organisasyon na i-secure ang software na ginagamit na nila.

"Mayroon tayong napakalaking agwat na aabutin ng maraming taon upang malagpasan," sabi ni Jenkins sa Decrypt. "Lahat ng software na ito ay magkakaroon ng lahat ng mga kahinaan na ito, hindi tayo magkakaroon ng mga 'fix' o 'update' para dito sa loob ng mahabang panahon, at ang mga tao ay makakahanap ng mga kahinaan na iyon nang napakabilis."

Sinabi ni Jenkins na ang AI ay hindi naman nagpapabago nang husto sa pananaliksik sa kahinaan kundi pinapabilis lamang ito nang malaki. Ang mga gawain na dating nangangailangan ng mga mananaliksik sa seguridad na manu-manong suriin ang code at i-reverse engineer ang software ay maaari nang gawin sa loob ng ilang segundo ng mga modernong modelo.

"Bago ang AI, ang mga banta at 'exploit' sa cybersecurity ay dumarami taun-taon," aniya. "Pagkatapos ng AI, naging mas mabilis pa ito, at sa tingin ko ay mas naging mabilis ito sa dalawang dahilan. Una ay maaari mo nang gamitin ang AI upang tumulong sa paghahanap ng mga kahinaan at 'exploit', at ang bilang ng mga taong may kakayahang gawin ito ay napakalaki na ang paglago. Hindi mo na kailangang maging 'script kiddie' ngayon."

Sa kabila ng mga panganib na iyon, iginiit ni Goertzel na ang crypto ay maaaring mas mahusay din ang posisyon kaysa sa ibang mga industriya upang umangkop dahil bukas ang code nito, at ang mga komunidad nito ay lubhang nakatuon sa seguridad.

"Ang crypto ang pinakamalapit sa pinto, ngunit ito rin ang bahagi ng silid na nakikita ang pinto na papalapit," aniya.