Zgłaszanie błędów w oprogramowaniu Firedancer, rozwijanym dla sieci Solana, będzie teraz wymagało spalenia 1 SOL. To sposób na ograniczenie fali zgłoszeń tworzonych lub wspomaganych przez sztuczną inteligencję, które obciążają zespoły bezpieczeństwa i utrudniają wyłapywanie rzeczywistych zagrożeń.
Tokeny będą bezpowrotnie usuwane z obiegu. Opłata nie zostanie zwrócona nawet wtedy, gdy zgłoszenie okaże się nieprawidłowe, nie będzie dotyczyć zakresu programu albo powieli wcześniej opisany problem. Raporty przesłane bez spalenia SOL nie będą kwalifikować się do nagród.
Setki raportów, znacznie mniej odkrytych błędów
Skalę wyzwania pokazał miesięczny konkurs audytowy z pulą nagród w wysokości miliona dolarów. Od 9 kwietnia do 9 maja 162 badaczy przesłało łącznie 809 zgłoszeń, ale po analizie wyłoniono 127 unikalnych problemów bezpieczeństwa. Niemal połowa poprawnych raportów powtarzała ustalenia innych uczestników.
Zespół Jump Crypto, który rozwija Firedancer jako alternatywne oprogramowanie dla walidatorów Solany, ocenia, że AI pomogła w przygotowaniu lub odkryciu prawie wszystkich zgłoszeń. Jak ujął to przedstawiciel firmy Ishan Bhatt, sztuczna inteligencja obniżyła koszt znajdowania błędów, ale ich weryfikacja nadal wymaga dużo pracy.
Inżynierowie muszą odtworzyć opisany problem i sprawdzić, czy przedstawiony scenariusz ataku rzeczywiście jest możliwy. Część raportów wskazywała potencjalne słabości, pomijając zabezpieczenia istniejące w innych częściach systemu.
Wykorzystanie AI może przyspieszyć poszukiwanie błędów, ale nie zastępuje ich rzetelnej weryfikacji. Opłata ma ograniczyć liczbę zgłoszeń, które nie wnoszą nowych informacji. Skuteczność tego rozwiązania pokaże dopiero praktyka.
Opóźnienia utrudniały ocenę zgłoszeń
W pewnym momencie w kolejce do rozpatrzenia czekało 299 raportów. Gdy analiza się przeciągała, kolejni badacze ponownie zgłaszali błędy, które zostały już wcześniej odkryte, ale nie zostały jeszcze naprawione ani upublicznione. Około 80 proc. duplikatów trafiało do systemu ponad trzy dni po pierwszym zgłoszeniu.
Opłata ma zniechęcać do wysyłania dużej liczby niepewnych obserwacji, których sprawdzenie pochłania czas programistów. Wcześniejszy konkurs również przewidywał koszt zgłoszenia — 100 dolarów — oraz limit jednego raportu dziennie. Nowa platforma ogranicza ponadto długość każdej głównej części raportu do 3000 znaków.
Sprawdź także, jak Five Eyes ostrzega przed wykorzystywaniem AI do cyberataków.
Nagrody za poważne luki pozostają wysokie
Konkurs pomógł wykryć między innymi błąd w harmonogramowaniu transakcji. Mógł on sprawić, że Firedancer przetworzyłby operacje w niewłaściwej kolejności, a walidatory Solany nie zgodziłyby się co do stanu sieci.
Jump Crypto równocześnie zwiększa nagrody za kwalifikujące się ustalenia. Do 20 listopada standardowe wypłaty będą podwojone, a zgłoszenia dotyczące systemu głosowania Alpenglow mogą otrzymać trzykrotność zwykłej nagrody. Za krytyczną lukę związaną z Alpenglow przewidziano nawet 300 tys. dolarów.
1 SOL za report brzmi brutalnie, ale chyba inaczej się nie dało. Jak 80% zgłoszeń to duplikaty albo AI-owy szum, to ktoś i tak musi to przesiewać ręcznie. Dla prawdziwych bugów to będzie filtr, choć pewnie odetnie też część mniejszych badaczy.
Trochę śliski ruch. Z jednej strony rozumiem problem z zalewem śmieciowych zgłoszeń, z drugiej w praktyce wyjdzie pewnie tak, że sensowny researcher dwa razy się zastanowi, a ktoś z kasą i AI dalej bedzie spamował. Opłata przy zgłoszeniu błędu w security to nie jest najlepszy sygnał.
To w sumie pokazuje jak bardzo AI rozjechała program bug bounty. Zamiast 127 unikalnych problemów mieli 809 zgłoszeń, czyli klasyczne cost of verification rośnie szybciej niż jakość inputu. Limit 3000 znaków też ma sens, bo połowa tych elaboratów i tak pewnie była generowana przez model bez zrozumienia threat modelu.
Mam mieszane odczucia. 100 dolarów za zgłoszenie jeszcze jakoś brzmiało jak próba porządkowania tematu, ale 1 SOL to już może odstraszyć ludzi, którzy faktycznie coś znaleźli i nie chcą ryzykować. No i zależy od kursu, bo to potrafi być spora zmienna opłata.
Z punktu widzenia praktyka: przy takim wolumenie duplikatów problem nie jest AI samo w sobie, tylko brak dobrego triage i automatycznej deduplikacji. Jeśli 3 dni opóźnienia powodują lawinę powtórek, to karanie wszystkich opłatą jest raczej obejściem niż rozwiązaniem. Ale pewnie szybciej wdrożyć burner fee niż zbudować sensowny pipeline analizy.
Zabawne, bo to wygląda jak klasyczne „pay to talk to security”. Jak projekt jest tak popularny, że nie ogarnia kolejki raportów, to może problemem nie jest liczba badaczy tylko ich proces. 300 tys. za krytyka brzmi fajnie na papierze, ale najpierw trzeba przebrnąć przez bramkę z 1 SOL.