Ethereum Vakfı, Kendi Kodunu Yapay Zeka Ajanlarına Bıraktı

Ethereum Vakfı, koordineli yapay zeka ajanlarını üretim blok zinciri altyapısına yönlendirdiğinizde neler olduğunu anlatan, şimdiye kadarki en samimi “perde arkası” anlatımlarından birini az önce yayınladı. Kısaca özetlemek gerekirse: ajanlar işlevini yerine getirdi. Asıl zor olan ise bundan sonra yaşananlardı.

Peki gerçekte ne oldu?

Vakfın Protokol Güvenliği ekibinin 9 Temmuz tarihli bir gönderisinde, araştırmacı Nikos Baxevanis, ekibin aylarca Ethereum'un dayandığı sistemlere (ağ kodu, kriptografik kütüphaneler ve yüksek güvenilirlikli sözleşmeler) karşı bir dizi yapay zeka ajanı çalıştırdığını açıkladı. Sonuçlardan biri artık kamuoyuna açık: Her Ethereum konsensüs istemcisinin blokları ve onayları yaymak için kullandığı eşler arası mesajlaşma katmanı olan gossipsub’da uzaktan tetiklenebilen bir panik durumu. Bu sorun yamalandı ve CVE-2026-34219 olarak açıklandı.

Dış kaynaklardan gelen haberlere göre, bu hata PRUNE geri çekilme süresi dolumu işleyicisinde bulunuyordu: bir eş, neredeyse maksimum geri çekilme değerine sahip özel olarak hazırlanmış bir kontrol mesajı gönderebilir ve bu da kontrolsüz zaman hesaplamasını tetikleyerek düğümde taşma ve çökmeye neden olur; bir saldırgan ise neredeyse hiçbir maliyet olmadan bu çökmeyi sonsuza kadar tekrarlayabilir. NVD'nin bu hataya 8,2 (Yüksek) puan verdiği bildirildi ve bu, bir önceki sürümdeki CVE-2026-33040'ın ardından, art arda yayınlanan libp2p sürümlerinde görülen ikinci backoff işleme hatasıdır.

Ancak ekibin temel bulgusu, ajanların hataları bulabilmesi değildi; asıl bulgu, hataları bulmak için ne kadar az çaba harcandığını ve gerçek hataları sadece gerçek gibi görünenlerden ayırt etmek için ne kadar çaba harcandığını ortaya koymasıydı. Ekibin iş akışı, merkezi bir koordinatör olmaksızın birden fazla ajanı paralel olarak çalıştırır ve durum bilgisini doğrudan git deposu üzerinden aktarır: keşif ajanları saldırı yüzeylerini test edilebilir hipotezlere dönüştürür, avcılar bunları izler ve yeniden üretmeye çalışır, boşluk doldurucular halihazırda elenenleri takip eder ve doğrulayıcılar, bir bulgu olarak kabul edilmeden önce her adayı bağımsız olarak yeniden kontrol eder. Gerçek bir saldırganın üretemeyeceği, hata ayıklama derlemesi ya da elle oluşturulmuş bir iç değer değil, piyasaya sürülen gerçek kod üzerinde çalışan bağımsız bir yeniden üretici bulunana kadar hiçbir şey gerçek bir hata olarak kabul edilmez.

Bu mimariyi benimseyen tek kuruluş Vakıf değildir. Yazıda, Anthropic’in Frontier Red Team ekibinin Python ekosisteminde özellik tabanlı testler için benzer bir ajan geliştirdiği ve Cloudflare’in kendi sistemlerine karşı benzer red-teaming araçları kullandığı belirtilmektedir; bunların tümü aynı “keşif > av > doğrulama” döngüsüne odaklanmaktadır.

Kripto sektöründe yapay zeka kullanımı, güvenlik araştırmalarının ötesine uzanıyor

Bu açıklama, sektör genelinde halihazırda devam etmekte olan çok daha büyük bir dönüşümün parçasıdır:

• CertiK’in 2026 yılının ilk yarısına ait raporuna göre, 344 olayda kripto kayıpları yaklaşık 1,32 milyar dolar olarak belirlendi ve Cyfrin ve Olympix gibi şirketler artık AI destekli kontrolleri, lansman öncesi tek seferlik bir inceleme olarak değil, geliştirme aşamasında sürekli olarak yürütüyor. OpenZeppelin'in kurucu ortağı Manuel Aráoz, X'te daha da ileri giderek, yapay zeka kodlama ajanlarının insanüstü bir güvenlik açığı keşif yeteneğine ulaştığını ve bunun DeFi'nin büyük bir kısmını yapısal olarak savunmasız bıraktığını savundu — bu iddia, Wu Blockchain'in Mayıs ayında paylaşmasının ardından geniş çapta yayıldı.
• Ethereum’un EIP-7702 güncellemesi, standart bir hesabın otonom bir ajana geçici olarak kapsamlı ve süre sınırlı izinler vermesine olanak tanıyor; bu sayede ajanlar, kullanıcının özel anahtarına hiç dokunmadan işlem yapabilir, hazine varlıklarını yeniden dengeleyebilir veya hesaplama masraflarını ödeyebilir.
• 2026 yılına ait çeşitli piyasa raporlarında alıntılanan sektör verileri, kurumsal kripto masalarının büyük bir kısmının, analiz için büyük dil modellerine (LLM'ler) başvurmaktan, piyasaları izleyen ve doğrudan işlem gerçekleştiren çoklu ajan sistemlerini çalıştırmaya geçtiğini gösteriyor.
• Anthropic’in kendi araştırması (Vakfın daha geniş bağlamında alıntılanmıştır), karşılaştırmalı testlerde gerçek tarihsel akıllı sözleşme güvenlik açıklarına karşı ajan odaklı istismarların başarısının geçtiğimiz yıl içinde keskin bir artış gösterdiğini ortaya koydu; bu da aynı araçların hem avantaj hem de dezavantajlar barındırdığını hatırlatıyor.

Önemli Nokta

Ethereum Vakfı'nın anlattığı şey, AI'nın güvenlik araştırmacılarının yerini alması değil, darboğazın yer değiştirmesidir. Ajanlar, ekibin manuel incelemenin asla başaramayacağı kadar geniş bir alanı kapsamasına olanak tanır, ancak bunun karşılığında, kulağa güvenilir gelen çok daha büyük bir iddia yığını üzerinde çok daha dikkatli bir insan yargısı gerektirir. AI destekli denetim, libp2p gibi protokol düzeyindeki altyapılardan bireysel DeFi sözleşmelerine kadar ekosistem genelinde standart hale geldikçe, sektörün 2026’daki asıl zorluğu “AI hatayı bulabilir mi?” sorusundan ziyade “insanlar, AI’nın bulduklarını doğrulamaya yetişebilir mi?” sorusuna benzeyecek gibi görünüyor.