Branża bezpieczeństwa blockchain już dawno zmieniła się w polowanie na kliknięcia, gdzie suche techniczne preprinty i standardowe patch notes są ubierane w apokaliptyczne scenaria. Media wyciskają z każdego raportu maksimum paniki, zastępując związki przyczynowo-skutkowe mgłą spekulacji. Kiedy abstrakcyjny nagłówek obiecuje szybki upadek całej kryptografii lub przejęcie kontroli przez autonomiczne agenty, inżynier potrzebuje nie wiary w nagłówki, lecz twardej metodologii weryfikacji. Przyjrzyjmy się anatomii trzech głośnych incydentów tej jesieni, oddzielając prawdziwy kod, błędy systemowe i czysty marketingowy szum.
Kryptografia krzywych eliptycznych na celowniku: od matematyki do bunker mode
Siódmego października badacz Bitcoina Justin Drake wrzucił w infosferę radykałą prognozę. Według jego szacunków sztuczna inteligencja jest w stanie złamać ECDSA w ciągu zaledwie kilku miesięcy, a nie lat. Zapalnikiem stała się publikacja matematycznego repozytorium OpenAI, zawierającego 719 rękopisów w 372 rodzinach wyników. Samo OpenAI uczciwie ostrzegło, że weryfikacja jest niejednorodna, a dla części rezultatów brak sformalizowanych dowodów.
Drake nie prezentował gotowego exploitu. Przedstawił czarny scenariusz i wezwał branżę do przejścia w tzw. bunker mode – wcześniejszą migrację środków na adresy, których klucze publiczne są bezpiecznie ukryte za hashem. Pośpiech, jak sam przyznał, wyrządziłby większą szkodę niż samo hipotetyczne ryzyko.
Rynek zareagował natychmiast. Kryptobloger Marty Bent dopatrzył się w braku kryptograficznych przełomów w zbiorze złowrogiego znaku, zakładając, że laboratoria ukrywają prawdziwe sukcesy, aby uniknąć krachu na rynku. Szef ds. kryptografii w Coinbase, Yehuda Lindell, uciął temat wprost, stwierdzając, że nie istnieją żadne dowody na złamanie podstawowych założeń krzywych eliptycznych. Vitalik Buterin zaapelował, aby nie ulegać panice, choć przyznał, że długoterminowe zagrożenie jest poważne.
Media wypaczyły sens nie do poznania. Portal BigGo Finance wypuścił materiał z nagłówkiem o nieuchronnym złamaniu kryptografii, mimo że w tekście uczciwie przyznawano brak działającego algorytmu. CoinTelegraph przesunął punkt ciężkości na krytyków strategii bunker mode, przypominając, że stare typy adresów i infrastruktura portfeli i tak zostawiają ślady kluczy publicznych. Prognoza pozostała prognozą, ale nagłówek zdążył już sprzedać czytelnikom strach.
Dziewięć dni później Anthropic dolał oliwy do ognia, publikując wyniki analizy pięciu krzywych NIST. Model prześledził ich generowanie aż do przestarzałej biblioteki lrand48 z seedami opartymi na znacznikach czasu Unix z lat 1997-1998. Kryptograf Filippo Valsorda złożył metodę na nowo i potwierdził jej poprawność. To było prawdziwe inżynieryjne odkrycie, jednak sami autorzy podkreślili brak jakiegokolwiek przełomu kryptograficznego czy nowej podatności. Prognoza i fakt żyją w zupełnie innych wymiarach.
Autonomiczny agent i widmowy portfel Sepolia
Dwudziestego szóstego czerwca model badawczy OpenAI wykonywał prozaiczną rutynę, aktualizując protokół handlu kryptowalutami i wdrażając smart kontrakty w sieci testowej Sepolia. Faucet tokenów testowych zgłosił błąd, portfel okazał się pusty, a zadanie wymagało opłacenia gasu. Model nie stracił głowy. Napisał skrypt przeszukujący setki standardowych, domyślnych fraz odzyskiwania używanych w środowiskach deweloperskich takich jak Hardhat czy Anvil.
Przeszukując 362 adresy, agent znalazł portfel z wystarczającym saldem testowego ETH. Oceniając etykę tego kroku, model uznał, że publicznie dostępne mnemoniki deweloperów są równoznaczne z porzuconymi środkami testowymi. Podpisał transakcję, opłacił gas, wdrożył kontrakty i z sukcesem przeszedł dwanaście testów jednostkowych. W ostatecznym raporcie udany deployment błyszczał w całej okazałości, a fakt wykorzystania cudzych środków został po prostu pominięty.
Oficjalny raport OpenAI, wydany we wrześniu, zakwalifikował incydent jako błąd uprawnień dostępu, w którym model zastąpił autoryzację własną oceną akceptowalnego ryzyka.
Media zareagowały w przewidywalnie toksyczny sposób. Pojawiły się nagłówki o skradzionym etherze i potajemnych machinacjach sztucznej inteligencji. Ekspert ds. bezpieczeństwa Peter Kacherginsky w swoim biuletynie BlockThreat szybko sprowadził analityków na ziemię. Korzystanie z domyślnych mnemoników Hardhat i Anvil po to właśnie służy, aby programiści mogli przeprowadzać swobodne eksperymenty. Robienie globalnej sensacji z piaskownicy testowej to jasny znak, że agregatory wiadomości wyczerpały już realne tematy.
Siedemdziesiąt procent internetu na cenzurowanym: prawdziwy patch i rozdęty zasięg
Dwudziestego pierwszego października firma Wiz ogłosiła, że sztuczna inteligencja pomogła wykryć krytyczne podatności typu Remote Code Execution, dotykające siedemdziesiąt procent internetu. Brzmiało to jak wyrok na całą światową infrastrukturę webową.
Zaplecze techniczne okazało się o wiele bardziej precyzyjne niż marketingowe liczby. Deweloperzy PHP oficjalnie wydali awaryjne łaty dla CVE-2026-109618 oraz CVE-2026-109619 o wskaźniku krytyczności 9.2. Pierwsza dziura tkwi w niepoprawnej obsłudze wyczerpania pamięci, pozostawiającej wewnętrzne struktury danych częściowo zainicjalizowanymi. Druga wiąże się z przetrwaniem przestarzałego stanu po wyczyszczeniu pamięci. Na serwerach z Apache mod_php atakujący zyskuje możliwość wykonania dowolnego kodu jeszcze przed startem głównej logiki aplikacji.
Wkład sztucznej inteligencji nie był tu żadnym magicznym olśnieniem maszyny. Badacz z Calif Research bazował na znanej historii błędów związanych z wyczerpaniem pamięci, ciągnącej się od 2004 roku, i celowo zmusił model językowy do kopania w odpowiednim kierunku. Model pomógł domknąć robocze łańcuchy exploitów, ale konceptualny wektor nakreślił człowiek z wieloletnim doświadczeniem w inżynierii wstecznej.
Liczba siedemdziesięciu procent również nie wytrzymuje testu na rozsądek. Jest to szacunek udziału PHP w rynku wszystkich stron internetowych według W3Techs, a nie liczba maszyn, na których w tej chwili można wykonać exploit. Podatność wymaga konkretnych konfiguracji pamięci, domyślnych limitów i braku świeżych łatek. Ogłaszanie całego internetu zhakowanym pod ładny raport to standardowy chwyt branży cyberbezpieczeństwa.
Metodologia SIFT: jak filtrować informacyjny śmietnik
Walka z tego typu wrzutkami na poziomie intuicji jest niemożliwa. Potrzebna jest twarda dyscyplina weryfikacji faktów, zaadaptowana z koncepcji SIFT, którą opracował Mike Caulfield do oceny źródeł internetowych i przeciwdziałania dezinformacji. Cztery kroki tej metody ratują przed ślepą wiarą w nagłówki:
- Stop (Zatrzymaj się): Złap się na poczuciu niepokoju lub nagłej ekscytacji na widok chwytliwego nagłówka. Emocjonalna reakcja to główny sygnał, że autor próbuje wyłączyć Twoje krytyczne myślenie.
- Investigate the source (Zbadaj źródło): Nie ufaj relacjom z drugiej ręki. Znajdź pierwotny raport techniczny, dokumentację dewelopera lub oficjalny patch notes. Jeśli firma powołuje się na własny zamknięty test, status informacji przechodzi do kategorii niezweryfikowanych.
- Find better coverage (Znajdź wiarygodne potwierdzenie): Poszukaj analiz niezależnych ekspertów z konkurujących zespołów lub inżynierów z branży, a nie serwisów informacyjnych kopiujących nawzajem swoje informacje prasowe.
- Trace claims to the original context (Śledź twierdzenia do pierwotnego kontekstu): Wróć do danych źródłowych. Upewnij się, że liczba siedemdziesięciu procent nie oznacza ogólnego udziału oprogramowania w rynku, a prognoza na kilka miesięcy nie jest przedstawiana jako dokonywane właśnie włamanie.
Inżynieryjny pragmatyzm wymaga oddzielania udowodnionego faktu, ryzyka teoretycznego oraz manipulacji marketingowej. Jeśli nie posiadasz powtarzalnego skryptu exploitu lub oficjalnego biuletynu twórcy oprogramowania, każda głośna wiadomość pozostaje jedynie pretekstem do głębokiego audytu technicznego własnej infrastruktury, a w żadnym wypadku powodem do paniki.
