« L’IA a rendu la recherche de bugs peu coûteuse, mais leur évaluation reste coûteuse », a écrit Ishan Bhatt, de Jump, dans une analyse publiée le 16 octobre.
Les ingénieurs devaient toujours reproduire les problèmes signalés et vérifier si les attaques proposées pouvaient fonctionner. Certains signalements relevaient des faiblesses apparentes tout en passant à côté de protections présentes ailleurs dans le logiciel.
Le retard a atteint un pic de 299 signalements ouverts. À mesure que les évaluations ralentissaient, d’autres chercheurs redécouvraient des bugs déjà signalés, mais qui n’avaient pas encore été corrigés ni divulgués. Environ 80 % des doublons sont arrivés plus de trois jours après le signalement initial.
Le concours faisait déjà payer 100 $ par soumission et limitait les chercheurs à un signalement par jour. Jump indique que la facturation décourage les chercheurs de soumettre un grand nombre de découvertes spéculatives et de laisser ses ingénieurs les valider.
Sa nouvelle plateforme limite également chaque section principale d’un signalement à 3000 caractères.
Le concours a mis au jour de graves vulnérabilités, notamment une erreur de planification qui pouvait conduire Firedancer à exécuter les transactions dans le mauvais ordre et à ne pas s’accorder avec les autres validateurs de Solana sur l’état du réseau qui en résultait.
Parallèlement, Jump augmente les récompenses en même temps que le coût de soumission. Les découvertes admissibles donnent droit au double de la récompense standard jusqu’au 20 novembre, ou au triple pour les bugs propres à Alpenglow, le nouveau système de vote de Solana. Les découvertes critiques liées à Alpenglow peuvent donner droit à une récompense pouvant atteindre 300000 $.