Il team Firedancer di Solana ora richiede ai ricercatori di bruciare 1 SOL per ogni segnalazione di bug, al fine di contrastare le segnalazioni generate dall'IA che stanno inondando il suo programma di sicurezza.
In breve
- Firedancer, il client di validazione Solana sviluppato da Jump Crypto, ora richiede ai ricercatori di bruciare 1 SOL (circa 100 dollari) per ogni segnalazione di bug.
- La quota non è rimborsabile, nemmeno per report non validi, fuori tema o duplicati.
- Un recente concorso di audit ha generato 809 report , ma ha prodotto solo 127 risultati di sicurezza unici, e Jump ritiene che l'intelligenza artificiale abbia contribuito a crearne quasi tutti.
- Jump sta temporaneamente aumentando le ricompense: i difetti critici di Alpenglow possono far vincere fino a 300.000 dollari.
Il team che ha sviluppato il software Firedancer di Solana ha introdotto un sistema a pagamento per chi cerca bug. I ricercatori devono ora spendere 1 SOL, circa 100 dollari, per ogni segnalazione. L'obiettivo è ridurre lo spam generato dall'IA e dare agli ingegneri più tempo per indagare su reali falle di sicurezza.
Secondo i termini aggiornati lunedì, i token bruciati vengono rimossi definitivamente dalla circolazione. Il costo non è rimborsabile, indipendentemente dal fatto che la segnalazione risulti non valida, al di fuori dell'ambito del programma o duplicata. Le segnalazioni inviate senza aver bruciato i token non danno diritto a premi.
Cos'è Firedancer e perché è importante?
Jump Crypto ha sviluppato Firedancer come alternativa ad Agave, il principale software utilizzato dai validatori per verificare ed elaborare le transazioni Solana. Un grave bug in questo software può impedire ai validatori di elaborare i pagamenti o causare discrepanze sui saldi dei conti. Ciò potrebbe interrompere le transazioni e i trasferimenti sulla rete. Ogni ora spesa a vagliare report duplicati o inutilizzabili è un'ora non dedicata alla risoluzione di vulnerabilità come queste.
L'intelligenza artificiale inonda il programma Bug Bounty
La decisione fa seguito a un concorso di audit da 1 milione di dollari che si è svolto dal 9 aprile al 9 maggio. Il concorso ha attirato 809 report da 162 ricercatori, ma ha prodotto solo 127 risultati di sicurezza unici una volta escluse le osservazioni non sfruttabili. Quasi la metà dei report validi erano duplicati.
Secondo Jump, gli agenti di intelligenza artificiale hanno contribuito a individuare o a scrivere quasi tutte le segnalazioni. In una revisione del 16 ottobre, Ishan Bhatt di Jump ha sostenuto che l'IA ha reso economico trovare i bug, mentre la loro valutazione rimane costosa. Gli ingegneri dovevano comunque riprodurre ogni problema e verificare se l'attacco proposto potesse effettivamente funzionare. Alcune segnalazioni evidenziavano apparenti vulnerabilità, trascurando però le protezioni presenti in altre parti del codice.
L'arretrato di revisione ha raggiunto un picco di 299 segnalazioni aperte. Con il rallentamento dei controlli, altri ricercatori hanno riscoperto bug che erano stati segnalati ma non ancora corretti o resi noti. Circa l'80% delle segnalazioni duplicate è arrivato più di tre giorni dopo la segnalazione originale.
Il concorso prevedeva già una quota di iscrizione di 100 dollari per ogni elaborato e limitava i ricercatori a un solo rapporto al giorno. Jump afferma che l'introduzione di una tariffa scoraggia l'invio di grandi quantità di risultati speculativi. La nuova piattaforma, inoltre, limita ogni sezione principale del rapporto a 3.000 caratteri.
Ricompense più elevate per gli Alpenglow Bugs
Oltre alla nuova tariffa, Jump sta aumentando i premi. Le scoperte idonee riceveranno il doppio della ricompensa standard fino al 20 novembre e il triplo per i bug specifici di Alpenglow, il nuovo sistema di votazione di Solana . Le scoperte critiche relative ad Alpenglow possono valere fino a 300.000 dollari.
Questa iniziativa dimostra come l'intelligenza artificiale stia cambiando il lavoro di sicurezza nel settore delle criptovalute. Gli strumenti automatizzati possono generare report più velocemente di quanto gli esseri umani possano esaminarli, quindi i team stanno ora utilizzando i costi economici per filtrare le informazioni errate.