AI ने खोजे वो बग जो इंसानों से दशकों तक छिपे रहे: FFmpeg और Zcash के चौंकाने वाले खुलासे

इनमें से कई बग 15 से 20 सालों से कोड में दबे पड़े थे, और गूगल व एंथ्रोपिक जैसी दिग्गज कंपनियों के गहन सुरक्षा ऑडिट से भी बच निकलने में सफल रहे थे । ये कमजोरियां मुख्य रूप से TS डीमक्सर और VP9 डिकोडर जैसे कंपोनेंट्स में हीप और स्टैक बफर ओवरफ्लो की थीं । कंपनी ने एक रिमोट कोड एक्जीक्यूशन (RCE) एक्सप्लॉइट की संभावना दिखाने वाला एक PoC भी विकसित किया ।

FFmpeg में यह डेप्थफर्स्ट की पहली खोज नहीं थी। मई की शुरुआत में ही, फर्म ने इसी लाइब्रेरी में 12 मेमोरी करप्शन बग खोजने की सूचना दी थी, जिनमें से कुछ 2009 के कोड से जुड़े थे, और ओपन-सोर्स प्रोजेक्ट्स को AI-खोजी गई खामियों को ठीक करने में मदद के लिए 5 मिलियन डॉलर तक के क्रेडिट देने की प्रतिबद्धता जताई थी । इन प्रयासों के बावजूद, समाधान की प्रक्रिया साफ तौर पर दबाव में है। मई 2026 के अंत तक, कई FFmpeg CVEs—जिनमें CVE-2026-6385 और CVE-2025-22921 शामिल हैं—को डेबियन द्वारा अभी भी 'बिना पैच वाला' या 'स्थगित' (postponed) के रूप में सूचीबद्ध किया गया था ।

इसका मूल निहितार्थ: लगभग 21,000 डॉलर की कुल लागत पर चलने वाले एक ऑटोनॉमस एजेंट ने एक ही लाइब्रेरी में उससे कहीं ज्यादा जीरो-डे खोज निकाले, जितने ज्यादातर मानव टीमें एक साल में खोज पाती हैं। अड़चन अब निर्णायक रूप से खोज से हटकर पैचिंग पर आ गई है।

क्लॉड ओपस 4.8 को Zcash में 4 साल पुरानी नकली सिक्के बनाने वाली खामी मिली

29 मई, 2026 को, शील्डेड लैब्स (Shielded Labs) के लिए Zcash प्रोटोकॉल का ऑडिट कर रहे स्वतंत्र सुरक्षा रिसर्चर टेलर हॉर्नबी (Taylor Hornby) ने Zcash के ऑर्चर्ड (Orchard) शील्डेड पूल में एक गंभीर "साउंडनेस" (soundness) कमजोरी खोज निकाली । उन्होंने यह खोज एंथ्रोपिक द्वारा 28 मई को अपना क्लॉड ओपस 4.8 मॉडल जारी करने के ठीक एक दिन बाद की ।

हॉर्नबी ने ओपस 4.8 के ऊपर एक कस्टम "Zcash फुल-स्टैक ऑडिटर" फ्रेमवर्क बनाया। इस सिस्टम ने ऑर्चर्ड पूल की जीरो-नॉलेज सर्किट बाधाओं (zero-knowledge circuit constraints) का गहन विश्लेषण किया और एलिप्टिक कर्व मल्टीप्लिकेशन लॉजिक में एक गायब या अधूरी जांच को सतह पर ला आया—एक ऐसी खामी जो जाली प्रूफ को मान्यता पाने की छूट देती थी । हॉर्नबी ने फिर एक कार्यशील स्थानीय एक्सप्लॉइट लिखा जिसने टेस्ट एनवायरनमेंट में नकली ZEC कॉइन ढाल दिए ।

इसका प्रभाव बेहद गंभीर था: इस बग का इस्तेमाल करके बिना किसी का पता चले असीमित संख्या में नकली ZEC टोकन बनाए जा सकते थे, जो Zcash की 2.1 करोड़ सिक्कों की निर्धारित आपूर्ति सीमा को तोड़ सकता था । यह खामी ऑर्चर्ड के मई 2022 में सक्रिय होने के बाद से ही मौजूद थी—यानी पूरे चार सालों तक पकड़ में नहीं आई ।

इमरजेंसी टेक्निकल रिस्पॉन्स

Zcash के डेवलपर्स और ज़ीकैश ओपन डेवलपमेंट लैब (ZODL) ने तेजी से कदम उठाए :

• 29 मई, 2026: हॉर्नबी को बग का पता चलता है और वे तुरंत इसकी जानकारी देते हैं ।
• 29 मई – 1 जून: एक समन्वित इमरजेंसी अपडेट के जरिए बग को पैच किया गया ।
• 2 जून: एक इमरजेंसी सॉफ्ट फोर्क (ब्लॉक 3,363,426 पर) किसी भी संभावित दोहन को रोकने के लिए ऑर्चर्ड ट्रांजेक्शन्स को निष्क्रिय कर देता है ।
• 3 जून: NU6.2 हार्ड फोर्क पैच किए गए सर्किट के साथ ऑर्चर्ड को फिर से सक्रिय करता है। ब्लॉक एक्सप्लोरर्स कुछ समय के लिए ऑफलाइन रहे, और माइनर्स ने नेटवर्क में अस्थायी अस्थिरता की शिकायत की ।

Zcash फाउंडेशन ने कहा कि इस बग का असल दुनिया में कभी दोहन किए जाने का कोई सबूत नहीं है । हालांकि, शील्डेड पूल की प्राइवेसी विशेषताओं के कारण, यह क्रिप्टोग्राफिक रूप से साबित करने का कोई तरीका नहीं है कि कभी नकली सिक्के बनाए गए या नहीं । यह मूलभूत असत्यापनीयता बाजार के लिए एक केंद्रीय चिंता का विषय बन गई।

ZEC की कीमत में भारी गिरावट और बाजार पर असर

सार्वजनिक खुलासे से पहले, ZEC 600 डॉलर से ऊपर के उच्चतम स्तर पर ट्रेड कर रहा था । 5 जून को जैसे ही बग सार्वजनिक हुआ, टोकन की कीमत धराशायी हो गई :

• कॉइनमार्केटकैप ने ~31% की गिरावट दर्ज की ।
• KuCoin ने 40% से अधिक की गिरावट बताई ।
• बैंकलेस टाइम्स और BitMEX ने लगभग 50% की गिरावट दर्ज की, जहां ZEC 4 जून को $624 से गिरकर 5 जून को $309 पर आ गया ।

यह गिरावट Zcash की 2.1 करोड़ की सीमा पर भरोसे के क्षरण और भीड़ भरी लॉन्ग पोजीशन्स के खुलने से और बढ़ गई । मशहूर ट्रेडर आर्थर हेस ने भी सार्वजनिक रूप से अपनी पोजीशन से बाहर निकलने की घोषणा की, जिसने बिकवाली का दबाव और बढ़ा दिया ।

बड़ी तस्वीर: AI-संचालित खोज इंसानी समाधान से कहीं आगे निकल चुकी है

एक ही हफ्ते में सामने आई ये दो घटनाएं कोई अपवाद नहीं हैं। ये साइबर सुरक्षा में एक प्रणालीगत बदलाव की नई बुनियादी रेखा हैं।

रफ्तार और लागत की असमानता: डेप्थफर्स्ट के एजेंट ने ~$21,000 में 21 बग खोजे ; हॉर्नबी को एक नए मॉडल के लॉन्च के अगले ही दिन एक भयावह क्रिप्टो खामी मिल गई । मानव टीमें सालों तक इन दोनों को खोजने में विफल रहीं। अब आर्थिक गणित मजबूती से हमलावरों के पक्ष में है, जो कमजोरियों की खोज और हथियार बनाने के लिए नगण्य सीमांत लागत पर ऐसे ही ऑटोनॉमस एजेंट चला सकते हैं।

मेंटेनर्स के लिए भारी मात्रा का ओवरलोड: उसी हफ्ते, गूगल ने क्रोम 149 में रिकॉर्ड 429 बग पैच किए । लेकिन FFmpeg और डेबियन जैसे ओपन-सोर्स प्रोजेक्ट्स पहले से ही AI-खोजी गई CVEs के लिए 'स्थगित' (postponed) पैचिंग स्थिति दिखा रहे हैं । खोज की पाइपलाइन इतनी तेजी से बह रही है कि स्वयंसेवी मेंटेनर्स उसे संभाल ही नहीं पा रहे।

यह कोई दुर्घटना नहीं, बल्कि एक पैटर्न है: यह मई 2026 की उस घटना का ही क्रम है जब डेप्थफर्स्ट के ऑटोनॉमस AI ने महज छह घंटों में NGINX में 18 साल पुराना हीप ओवरफ्लो (CVE-2026-42945, CVSS 9.2) खोज निकाला था । यह तकनीक लगातार ऐसे पुराने, गंभीर बग ढूंढ रही है जो हर पिछले ऑडिट से बच निकलने में कामयाब रहे।

अनसुलझा सवाल: क्या Zcash ऑर्चर्ड बग का कभी चोरी-छिपे दोहन किया गया था, यह मूल रूप से असत्यापनीय बना हुआ है । अकेली इस अनिश्चितता ने बाजार के भरोसे को चोट पहुंचाई है और सभी प्राइवेसी-केंद्रित ब्लॉकचेन के लिए एक गहरा सवाल खड़ा कर दिया है: क्या किसी शील्डेड पूल में AI-खोजी गई साउंडनेस बग को कभी पूरी तरह से साफ किया जा सकता है, अगर कोई यह साबित नहीं कर सकता कि इसका इस्तेमाल नहीं किया गया?