Auditor AI temukan bug kritis di OpenVM, tapi hanya setelah diberi konteks kripto yang tepat

Firma keamanan zkSecurity menerbitkan studi kasus tentang auditor AI yang menemukan bug soundness kritis di OpenVM, sebuah zero-knowledge virtual machine, dan detailnya jadi pengingat berguna soal batas kemampuan alat semacam ini. Prompt standar gagal. Claude Opus 4.6 dan 4.7 serta Codex 5.3 dan 5.4, dijalankan dengan prompt biasa dan skill buatan ahli, tidak berhasil memunculkan celah tersebut. Yang berhasil adalah zkao, auditor khusus dengan context engineering berat untuk kode kriptografi, dan itu pun butuh lebih dari sembilan setengah jam pemindaian.

Bug-nya sendiri, kini tercatat sebagai CVE-2026-46669, ada di pustaka pairing OpenVM untuk kurva BLS12-381 dan BN254. Langkah verifikasi gagal memeriksa bahwa sebuah scaling factor tetap berada di subfield yang benar, sehingga prover jahat bisa mengatur faktor itu ke nilai sembarang dan membuat pemeriksaan pairing palsu tetap lolos. Efeknya, hal ini meruntuhkan KZG commitment, bukti Groth16, dan tanda tangan BLS, apa pun yang bergantung pada pemeriksaan pairing di dalam guest OpenVM. Baik AI maupun maintainer manusia menilainya kritis, dan OpenVM merilis perbaikan di versi 1.6.0, dengan para partner yang diketahui sudah memperbarui.

Kenapa ini penting

Kalau kamu menulis atau bergantung pada zero-knowledge circuit, pelajarannya sempit tapi praktis: prompt LLM generik melewatkan celah soundness yang baru tertangkap oleh setup khusus yang paham literatur setelah berjam-jam bekerja, jadi perlakukan AI code review sebagai alat yang butuh scaffolding domain, bukan jawaban sekali prompt.