ইথেরিয়াম ফাউন্ডেশন তাদের কোডে এআই এজেন্টদের অবমুক্ত করেছে: তারা আসলে কী খুঁজে পেয়েছে তা এখানে

অনেক ভুল নির্ণয়

এই পরীক্ষার বিস্তারিত তুলে ধরা হয় ফাউন্ডেশনের প্রোটোকল সিকিউরিটি টিমের নিকোস বাক্সেভানিসের ৯ জুলাই প্রকাশিত একটি ব্লগ পোস্টে, যার শিরোনামটি একই সঙ্গে প্রতিষ্ঠানের থিসিসও ছিল—অর্থাৎ, “The triage is the product.” সবচেয়ে বেশি ফ্ল্যাগ হওয়া ইস্যুগুলো শেষ পর্যন্ত ভুয়া পজিটিভ প্রমাণিত হওয়ায় (যদিও কিছু বাস্তব বাগও ছিল) ফলাফলটি ব্যাপক মনোযোগ কেড়েছে।

শিরোনাম-যোগ্য আবিষ্কারটি যথেষ্ট বাস্তব, কারণ এজেন্টগুলো gossipsub-এ দূরবর্তীভাবে ট্রিগারযোগ্য একটি প্যানিক শনাক্ত করতে সাহায্য করেছে—এটি libp2p পিয়ার-টু-পিয়ার নেটওয়ার্কিং লেয়ারের অংশ, যার ওপর ইথেরিয়াম কনসেনসাস ক্লায়েন্টগুলো চলে। ত্রুটিটি ঠিক করা হয়েছে এবং CVE-2026-34219 হিসেবে প্রকাশ করা হয়েছে (এমন ধরনের বাগ, যা যদি আক্রমণকারী আগে খুঁজে পেত, তবে নেটওয়ার্কজুড়ে নোডগুলো বিঘ্নিত করতে ব্যবহার করা যেত)।

বাগ খোঁজাই ছিল সহজ অংশ

ফাউন্ডেশন লিখেছে, বিস্ময়কর বিষয়টি এই নয় যে AI এজেন্টরা বাগ খুঁজে পেতে পারে, বরং “বাগ খুঁজতে কত কম কাজ লেগেছে, আর কোনগুলো সত্যিকারের বাগ আর কোনগুলো শুধু সত্যি মনে হয়—তা আলাদা করতে কত বেশি কাজ লেগেছে।”

টিমটি ওই ভুয়া দাবিগুলোর পুনরাবৃত্ত ধরনগুলো তালিকাভুক্ত করেছে—যেমন এমন ক্র্যাশ যা কেবল ডিবাগ বিল্ডে ঘটে এবং প্রোডাকশনে কখনোই ঘটে না, এমন রি-প্রডিউসার যা এমন অপ্রাপ্য অভ্যন্তরীণ ভ্যালুর ওপর নির্ভর করে যা কোনো আক্রমণকারী বাস্তবে সরবরাহ করতে পারবে না, এবং এমন ফরমাল-ভেরিফিকেশন প্রুফ যা কারিগরি দিক থেকে সত্য হলেও এতটাই অনিয়ন্ত্রিত যে কিছুই প্রমাণ করে না।

ফাউন্ডেশনের উত্তর ছিল একটি কঠোর প্রমাণভিত্তিক মানদণ্ড, যা তারা সংক্ষেপে বলেছে: “reproducible or it didn’t happen.” অর্থাৎ, এখন থেকে প্রতিটি সম্ভাব্য ফাইন্ডিং-এর সঙ্গে এমন একটি স্বয়ংসম্পূর্ণ আর্টিফ্যাক্ট থাকতে হবে, যা রিপোর্টিং এজেন্ট যতই আত্মবিশ্বাসী হোক না কেন, বাস্তব কোডের বিরুদ্ধে স্বাধীনভাবে ওই ব্যর্থতাটি পুনরুত্পাদন করে দেখাতে পারে।

এই প্রেক্ষাপটে এজেন্টদেরকে হাইপোথিসিস জেনারেটর (ডিসিশন-মেকার নয়, সার্চ টুল) হিসেবে দেখা যেতে পারে—যাদেরকে recon, hunting, gap-filling, এবং validation ধাপে সংগঠিত করা হয়, এবং চূড়ান্ত সিদ্ধান্ত মানুষই নেয়।

হাইপের পেছনের সংখ্যাগুলো

পোস্টটি বর্তমান প্রজন্মের টুলগুলো কতটা ভালো কাজ করে—তার একটি বিরল বেঞ্চমার্কও দিয়েছে। একটি প্রপার্টি-ভিত্তিক টেস্টিং এজেন্ট আনুমানিক ১,০০০টি সম্ভাব্য ফাইন্ডিং তৈরি করে, এবং বিশেষজ্ঞ পর্যালোচনার পরে এর শীর্ষ স্তরের সুপারিশগুলোর প্রায় ৮৬% যাচাই-বাছাইয়ে টিকে যায় (একটি মেশিনের জন্য শক্তিশালী, কিন্তু এমন হার যা প্রোডাকশন কোডে কিছু যাওয়ার আগে মানব ফিল্টার এখনও অপরিহার্য করে তোলে)।

টুলগুলো যে গুরুত্বপূর্ণ অবকাঠামোতে বাস্তব দুর্বলতা খুঁজে পাচ্ছে, তা স্পষ্ট—ফলে AI-জেনারেটেড বাগ রিপোর্টকে নিছক নয়েজ বলে উড়িয়ে দেওয়ার যুক্তি দুর্বল হয়ে যায়। তবে কাজের চাপ হারিয়ে যায়নি; বরং তা নিচের ধাপে ট্রায়াজে সরে গেছে, যেখানে অভিজ্ঞ ইঞ্জিনিয়াররা সিগন্যালকে সিমুলেশন থেকে আলাদা করেন। শত শত বিলিয়ন ডলারের মূল্য সুরক্ষিত করা একটি নেটওয়ার্কের জন্য এই ফিল্টারটি গুরুত্বপূর্ণ।

ফাউন্ডেশন এখন এটিকে এককালীন উদ্যোগ হিসেবে না দেখে কাজটিকে এগিয়ে নিচ্ছে। উদাহরণস্বরূপ, তাদের Ecosystem Support Program AI-চালিত প্রোটোকল সিকিউরিটির জন্য একটি নিবেদিত গ্রান্ট রাউন্ডে অর্থায়ন করছে, যা গবেষণা, অডিটিং, এবং ভলনারেবিলিটি ডিটেকশনকে অন্তর্ভুক্ত করে।