Manuel Aráoz, medstifter af blockchain værdipapirfirmaet OpenZeppelin, siger, at han nu betragter alle decentraliserede finansprotokoller (DeFi) som usikre, og han giver skylden til hurtige fremskridt inden for AI-agenters udnyttelse af kode.
Mere præcist fremhæver revisoren Aave, MakerDAO og Compound, tre blue-chip protokoller, som hans firma har været med til at sikre siden 2015.
Aráoz forklarer asymmetrien i sikkerheden
OpenZeppelin-direktøren argumenterede for, at kodeagenter nu overgår mennesker, når det gælder om at finde fejl i smart contracts.
”Jeg betragter nu al DeFi som usikkert. Kodeagenter er overmenneskelige til at finde sårbarheder, og sikkerheden i smart contracts er for asymmetrisk: Forsvarere skal udbedre alle fejl, mens angribere kun behøver én udnyttelse for at stjæle midler,” skrev han i et opslag.
Sagde han, at ubalancen er afgørende, da forsvarere skal lukke alle huller, mens angribere kun skal bruge ét.
Følg os på X for at få de nyeste nyheder, mens de sker
Hans advarsel kommer samtidig med, at nye målinger viser, at avancerede modeller selvstændigt kan finde og udnytte fejl på blockchain, en tendens, BeInCrypto har fulgt gennem 2026.
Et a16z sandbox-forsøg tidligere i år viste, at en agent slap ud af sit testmiljø for at hente en aktiv API-nøgle.
Branchens modstand breder sig hurtigt
Marc Zeller, stifter af Aave Chan Initiative, kaldte opslaget ”tåbeligt”. Han mente, at under 10% af sidste års DeFi-tab skyldtes kodebasefejl, da langt de fleste stammede fra forkerte parametre og svag driftssikkerhed.
Investor Jacob Franek tilføjede, at protokoller med stor TVL allerede ville være blevet tømt, hvis Aráoz’ tese holdt stik.
Han nævnte også, at time locks og circuit breakers stadig er effektive måder at afbøde risici uden for koden, og at de samme AI-værktøjer i fremtiden vil bistå formel verifikation ved implementering af ny kode.
”Det her er et midlertidigt problem. Mythos eller noget lignende, der kommer snart, vil formentlig være ‘så godt som det kan blive’, når det gælder om at finde udnyttelser, så dem, der skriver nye contracts, kan bruge de samme modeller til formelt at verificere og sandsynligvis eliminere alle angrebsflader (i hvert fald dem, der ligger i app’en selv – altså ekskl. eksterne fejl som for eksempel kollaps af sikkerhed eller oracle exploits), når kode bliver implementeret,” tilføjede Franek.
OpenZeppelin selv har ikke godkendt Aráoz’ råd om at trække sig ud.
Firmaet udgav et lagdelt DeFi-risikoframework tidligere i maj og lancerede for nylig et løbende AI-assisteret auditabonnement, der skal supplere enkeltstående anmeldelser.
