Solana bug reports now cost 1 SOL as AI floods security teams with spam
В связи с огромным количеством сообщений об ошибках, сгенерированных с помощью ИИ, команда, разрабатывающая программное обеспечение Firedancer для Solana, ввела плату в размере 1 SOL (около 100 долларов США) за каждое сообщение, чтобы сократить количество спама и предоставить инженерам больше времени для изучения реальных уязвимостей в системе безопасности.
Токены должны быть уничтожены, что означает их безвозвратное изъятие из обращения. Согласно обновленным условиям, опубликованным в понедельник, плата не возвращается, даже если сообщение является недействительным, выходит за рамки программы или дублирует ранее обнаруженную уязвимость. Сообщения, представленные без подтверждения уничтожения токенов, не подлежат вознаграждению.
Торговая компания Jump Crypto разработала Firedancer как альтернативу Agave, основному программному обеспечению, используемому компьютерами для проверки и обработки транзакций Solana.
Серьезная уязвимость может привести к тому, что эти компьютеры перестанут обрабатывать платежи или будут давать противоречивые данные об остатках на счетах, что приведет к сбоям в торговле и переводах. Сотни дублирующихся или бесполезных сообщений отнимают у инженеров время, которое они могли бы потратить на изучение и устранение этих уязвимостей.
Почему были введены новые условия
Конкурс на выявление уязвимостей с призовым фондом в 1 миллион долларов, проходивший с 9 по 9 мая, привлек 809 сообщений от 162 исследователей. В результате было выявлено 127 уникальных уязвимостей, исключая наблюдения, которые не могут быть использованы для эксплуатации системы. Почти половина всех действительных сообщений оказались дубликатами.
Jump считает, что ИИ помог обнаружить или составить почти каждое из этих сообщений.
«ИИ сделал поиск уязвимостей дешевым, но оценка их серьезности по-прежнему остается дорогостоящей», — написал Ишан Бхатт из Jump в обзоре от 16 октября.
Инженерам все равно приходилось воспроизводить описанные проблемы и проверять, могут ли предложенные атаки быть реализованы. Некоторые сообщения указывали на очевидные слабые места, но при этом не учитывали наличие защиты в других частях программного обеспечения.
В какой-то момент количество нерассмотренных сообщений достигло 299. По мере замедления процесса рассмотрения другие исследователи заново обнаруживали уязвимости, которые уже были сообщены, но не были устранены или раскрыты. Около 80% дубликатов поступали более чем через три дня после первоначального сообщения.
В рамках конкурса уже взималась плата в размере 100 долларов за каждое сообщение, и количество сообщений от одного исследователя было ограничено одним в день. Jump утверждает, что введение платы призвано отговорить исследователей от отправки большого количества предположительных уязвимостей и переложить задачу их проверки на инженеров компании.
Новая платформа также ограничивает каждый основной раздел отчета 3000 символами.
В ходе конкурса были выявлены серьезные уязвимости, в том числе ошибка в планировании, из-за которой Firedancer может выполнять транзакции в неправильном порядке и давать противоречивые данные другим валидаторам Solana относительно конечного состояния сети.
В то же время Jump увеличивает размер вознаграждений наряду с платой за отправку сообщений. За сообщения, содержащие информацию о выявленных уязвимостях, выплачивается вдвое большая сумма, чем обычно, до 20 ноября, или в три раза больше за уязвимости, специфичные для Alpenglow, новой системы голосования Solana. За критические уязвимости в Alpenglow можно получить до 300 000 долларов США.