Ethereum'un Yapay Zeka Ajanları Doğrulayıcıları Çökerten Açığı Buldu: CVE-2026-34219

Ethereum Haberleri

Ethereum'un çekirdek geliştiricileri, koordineli çalışan yapay zeka ajanlarını (AI agents) ağın kendi istemci yazılımına salıverdi ve uzaktan tetiklenebilen, doğrulayıcı düğümlerini (validator) çevrimdışı bırakabilecek gerçek bir güvenlik açığı buldu. Sorun, Ethereum (ETH) ağını güvenceye alan binlerce düğüm arasında blokları ve tanıklıkları (attestation) taşıyan eşten eşe mesajlaşma katmanı gossipsub'ın içinde yaşıyordu. Uzaktaki bir aktör, düğümü imkânsız bir hesaplamaya zorlayarak yazılımın pes edip kapanmasına yol açabiliyor; bu durumda düğüm, bir operatör manuel olarak yeniden başlatana kadar kapalı kalıyor ve o süre boyunca ilgili doğrulayıcı konsensüsten düşüyordu. Açık yamalandı ve CVE-2026-34219 koduyla kamuya açıklandı; buluş, deneyi yürüten Protocol Security ekibine mal edildi.

Daha çarpıcı olan sonuç ise, gerçek açıkları inandırıcı sahtelerinden ayırmak için harcanan emeğin büyüklüğüydü. Ekibin kendi saha notlarına göre ajanlar, gerçek çıkan her bir açık için kabaca on adet şüpheli açık üretti; bu da yüzde 90'a yaklaşan bir yanlış pozitif oranı anlamına geliyor. Uydurma bulguların her biri kusursuz giyinmiş halde geliyordu: makul bir saldırı akışı, kod düzeyinde analiz, ifade edilmiş bir kök neden ve bir etki değerlendirmesi — hepsi otoriter bir dille yazılmış. Oysa bunların birçoğu hatalı varsayımlara dayanıyor ve asla yeniden üretilemiyordu. Mühendisler artık zamanlarının büyük bölümünü, kaynak kodu satır satır okuyup kendileri kusur avlamak yerine, makine üretimi ipuçlarını yeniden üretip doğrulamaya harcıyor.

Araştırmacılar tek bir modele yaslanmak yerine, her birine iş akışının bir dilimi atanmış birkaç uzmanlaşmış ajanı birbirine bağladı. Bazıları olası saldırı yüzeyini yokluyor, bazıları program mantığı üzerine akıl yürütüp açık hipotezleri öne sürüyor, bir başka grup ise akranlarının çıktısını yeniden inceliyor — tekrarları ayıklıyor, test senaryoları ekliyor ve hatta yepyeni saldırı yolları tasarlıyor. Tasarım, bir insan güvenlik ekibinin iş bölümünü bilinçli biçimde taklit ediyor; ajanlar birbirini çapraz kontrol ederek kapsamı genişletiyor ve gerçek bir açığı yakalama olasılığını yükseltiyor. Açıkça belirtilen hedef, yapay zekayı soru-cevap aracı olmaktan çıkarıp tam bir araştırma hattını sırtlayabilen bir sisteme dönüştürmek.

Değerlendirmeyi kaleme alan Nikos Baxevanis, sürprizi sade bir dille özetledi: zor kısım aday açıkları bulmak değil, gerçek olanları yalnızca gerçek gibi görünenlerden ayırmaktı. Geleneksel bir fuzzer — yazılım kırılana dek ona bozuk veri fırlatan standart araç — mühendise bir çökme ve bunun tam olarak nerede yaşandığına dair kesin bir kayıt verir; bu da dakikalar içinde doğrulanabilir. Bir ajan ise bunun yerine bir anlatı sunar ve anlatılar, yanlış olsalar bile ikna edici olabilir. Bu tersine dönüş, kıt insan saatlerinin güvenlik sürecinde nereye aktığını yeniden şekillendirdi ve teraziyi kararlılıkla doğrulama tarafına yatırdı.

Ajanlar bir sınırlarını da açığa çıkardı. Tek tek geçerli görünen adımlar dizisi boyunca gelişen istismarlarda zorlanıyorlar; bu, Edel Finance ve BONK saldırıları gibi son dönem gerçek olaylarının ardındaki örüntüdür — hiçbir tekil eylemin kendi başına kötü niyetli görünmediği otomatik piyasa yapıcı (automated market maker) mekaniklerini istismar eden DeFi ihlalleri. Bunu telafi etmek için Vakıf artık ajanları şüpheli çok adımlı diziler önermek üzere kullanıyor, ardından bu yolların gerçekten geçerli olup olmadığını doğrulamak için geleneksel testlere, fuzzing'e ve insan incelemesine başvuruyor. Yaklaşım, makine çıktısını bir hüküm değil, bir hipotez üreteci olarak ele alıyor — kendinden emin ama temelsiz bir sonucun üretim istemci koduna sızmasına karşı bilinçli bir güvenlik bariyeri.

Protocol Security ekibi, gözlemlerini daha geniş ekosisteme rehberlik olsun diye yayımladı ve rollup'lardan Aztec Network gibi gizlilik katmanlarına dek diğer projeleri, aynı ayıklama yükünü göze alarak benzer yapay zeka iş akışlarını benimsemeye teşvik etti. Temel mesajı şu: bir yapay zeka sisteminin değeri, ürettiği açık raporlarının sayısıyla değil, nihayetinde doğruladığı gerçek ve yamalanabilir açıkların sayısıyla ölçülür. Yanlış pozitifler hâlâ onda dokuza yakın seyrederken, makine bulguları bir insan onları yeniden üretene kadar kullanılamaz kalıyor; bu da uzman muhakemeyi Ethereum'un güvenlik güvencesinin kıyısında değil, merkezinde tutuyor.

Grafik tarafında, piyasa değerine göre en büyük altcoin olan ETH, bu satırların yazıldığı sırada (17:16 UTC) 1.821 dolar civarında işlem görüyor; COINOTAG'ın tescilli 42 göstergeli birleşik puanlama motoru, 1.856 dolarlık direnci 96/100 ile derecelendiriyor ve bunu R2 pivotu, üst Bollinger Bandı, ATR üst bandı ve Fibonacci 0,382 düzeltmesi üzerine kurulu istisnai yoğunlukta bir küme olarak okuyoruz. Fiyatın altında motor, 50 günlük SMA ve bir MACD kesişimine dayanan 1.784 dolarlık desteği 73/100 ile puanlıyor. Türev piyasası temkinli biçimde long tarafında: türev açık pozisyon verilerine göre toplam açık pozisyon 7,1 milyar dolar, perpetual fonlama oranı yüzde 0,0026 gibi ılımlı bir seviyede ve 1,58'lik long/short hesap oranı, işlemcilerin yüzde 61,3'ünün long konumlandığını gösteriyor. RSI 59,86'da ve Korku & Açgözlülük endeksi 26'da — tam anlamıyla ayı piyasası (bear market) korku bölgesinde ve ETH'nin tüm zamanların en yükseğinin çok altında — iken 1.856 doların net biçimde kırılması 1.955 dolar seviyesini açarken, 1.784 doların kaybedilmesi kısa vadeli boğa senaryosunu geçersiz kılıyor.