Zalew AI-slopu paraliżuje programy bug bounty. Cosmos Labs notuje wzrost zgłoszeń o 900 procent

Bezpieczeństwo kryptowalut wpadło w pętlę absurdu. Narzędzia, które miały pomagać badaczom w łataniu luk, stały się bronią obosieczną w rękach amatorów i botów liczących na szybki zarobek. Rezultat? Paraliż analityczny i systemy zasypane raportami, które wyglądają profesjonalnie, ale merytorycznie są tylko pustym echem halucynacji sztucznej inteligencji.

Odcięcie od rzeczywistości w Cosmos Labs

Liczby nie kłamią, ale potrafią przerazić. Barry Plunkett, współzarządzający Cosmos Labs, ujawnił skalę zjawiska: jego program bug bounty odnotował skok zgłoszeń o 900 procent w skali roku. Dziennie na biurka deweloperów trafia od 20 do 50 raportów.

To nie jest nagły przypływ geniuszu wśród hakerów. To czysta statystyka napędzana niskim kosztem generowania treści przez AI.

Większość z tych zgłoszeń to tak zwane false positives – błędy, które nie istnieją, lub problemy o zerowym znaczeniu dla bezpieczeństwa funduszy. Dla zespołów zarządzających milionami dolarów każda godzina spędzona na weryfikacji „AI-slopu” to godzina, w której realna krytyczna luka może pozostać niezauważona.

Koniec ery otwartych drzwi

Reakcja rynku jest natychmiastowa i brutalna. Aby przetrwać, protokoły wprowadzają drastyczne zmiany w procesach triage:

• Ranking reputacji: Wyższy priorytet dla badaczy ze sprawdzoną historią trafnych zgłoszeń.
• Zewnętrzne wsparcie: Delegowanie wstępnej analizy do wyspecjalizowanych firm zewnętrznych.
• Zaostrzone standardy: Odrzucanie raportów bez działającego Proof of Concept (PoC) „od progu”.

HackerOne i granice wytrzymałości

Trend wykracza daleko poza niszowe projekty DeFi. Gigant branży, HackerOne, odnotował w 2025 roku ponad 85 000 poprawnych zgłoszeń, co jest wzrostem o 7%. Choć liczba „ważnych” błędów rośnie, stosunek ziarna do plew drastycznie się pogarsza.

Nawet legendy świata open-source mają dość. Daniel Stenberg, twórca curl, zamknął swój program bug bounty, wprost nazywając napływające zgłoszenia „AI-slopem”. To alarmujący sygnał: jeśli system nagradzania za błędy stanie się zbyt kosztowny w obsłudze, projekty zaczną z niego rezygnować, wystawiając się na strzał prawdziwych cyberprzestępców.

Klin klinem: AI jako tarcza

Kadan Stadelmann z Komodo Platform sugeruje jedyne logiczne wyjście z tego impasu: defensywne AI. Skoro atakujący używają modeli językowych do pisania raportów, obrońcy muszą użyć ich do ich filtrowania.

Automatyczne systemy odsiewające oczywiste halucynacje i błędy składniowe mogą stać się nowym standardem w branży blockchain. Bez tego małe zespoły deweloperskie, nieposiadające armii inżynierów do przeglądania maili, zostaną po prostu przygniecione ciężarem cyfrowego spamu.

Bug bounty w obecnej formie umiera. To, co obserwujemy, to ewolucja w stronę bardziej elitarnych, zamkniętych i zautomatyzowanych procesów, gdzie AI walczy z AI, a człowiek interweniuje dopiero wtedy, gdy kod naprawdę zaczyna płonąć.