عرضه «میتوس» (Mythos)، یک سیستم هوش مصنوعی که برای کشف خودکار آسیبپذیریها در کدهای برنامهنویسی طراحی شده است، ممکن است کاری فراتر از کمک به توسعهدهندگان بلاکچین برای پیدا کردن باگها انجام دهد.
با ارزانتر، سریعتر و همهگیرتر شدن ابزارهای امنیتی مبتنی بر هوش مصنوعی، پژوهشگران میگویند این ابزارها میتوانند تعریفی را که صنعت رمزارز از «ارزیابیهای لازم و منطقی» (Due diligence) پیش از اجرای کدها دارد، بازتعریف کنند؛ موضوعی که پتانسیل این را دارد که انتظارات از توسعهدهندگان و نهادها را به طور اساسی تغییر دهد.
سالهاست که امنیت قراردادهای هوشمند تحت شعاع بودجهها محدود شده است. حسابرسیهای جامع (آدیتها) اغلب هزینهبر هستند، و همین امر باعث میشود سیستمهای هوش مصنوعی مانند Mythos — که در اوایل ماه جاری پیش از حذف شدنش از بازار آمریکا به مدت کوتاهی عرضه شد — به طرز چشمگیری ارزانتر تمام شوند.
الکساندر اوربِلیس، مدیر ارشد امنیت اطلاعات در ENS Labs میگوید:
این فناوری قیمت یک حسابرسی اولیه را به سمت صفر میل میدهد.
کاری که زمانی به هفتهها زمان و هزینههای گزاف نیاز داشت، در نهایت میتواند در عرض چند دقیقه انجام شود؛ پدیدهای که به پروژههایی که پیش از این توان مالی بررسیهای حرفهای را نداشتند، اجازه میدهد به ارزیابیهای امنیتی سریع دست پیدا کنند.
سالهاست که پژوهشگران برای شکار باگهای نرمافزاری به ابزارهای خودکاری به نام «فازرها» (Fuzzers) متکی هستند که این کار را از طریق بمباران برنامهها با ورودیهای مختلف و مشاهده بخشهای آسیبدیده انجام میدهند. اما سیستمهای هوش مصنوعی رویکرد متفاوتی را در پیش گرفتهاند.
اوربلیس میگوید:
این یک تغییر در سطح و درجه است که به احتمال زیاد باعث تغییر در ماهیت و نوع کار خواهد شد. ماشینها سالهاست که باگها را شکار میکنند، اما اکنون ما درباره فازری صحبت میکنیم که توانایی استدلال دارد.
سیستمهایی مانند Mythos به جای اینکه صرفاً باگهای فنی را شناسایی کنند، میتوانند استنباط کنند که هدف از نگارش آن کد چه بوده است و سپس آن را با کاری که کد در عمل انجام میدهد، مقایسه کنند. در دنیای رمزارزها که کدهای قرارداد هوشمند کاملاً عمومی هستند و جوایز پیدا کردن باگ (Bug bounties) میتواند بودجههای کلانی داشته باشد، این قابلیت میتواند توانایی این صنعت را برای شناسایی آسیبپذیریها پیش از راهاندازی پروژه، به شدت گسترش دهد.
دیوید شوئد، مدیر ارشد عملیات (COO) در شرکت امنیت بلاکچین SVRN و بنیانگذار برنامه کارشناسی ارشد امنیت سایبری در دانشگاه یشیوا، این تحول را حتی عمیقتر و مهمتر توصیف میکند.
شوئد میگوید:
این مدلها اکنون دقیقاً مانند یک مهاجم انسانی عمل میکنند. آنها فرآیندها را تکرار میکنند و گام بعدی را بر اساس آنچه در لحظه و به صورت آنی میبینند، برمیدارند. ابزارهای قدیمیتر فقط جریانهای قطعی و ازپیشتعیینشدهی پیچیده بودند.
اما شوئد استدلال میکند که تغییر بزرگتر شاید خودِ کشف آسیبپذیری نباشد، بلکه ظهور «نظارت امنیتی مداوم و مستمر» است.
او گفت:
تحول واقعی، حسابرسی مستمر همراه با پیشنهاد راهحلهای اصلاحی با کسری از هزینههای قبلی است؛ به جای یک بررسی مقطعی و یکباره که فقط یک بار در سال توان مالی انجامش را داشتید.
پژوهشگران میگویند اگر بررسیهای امنیتی ارزانقیمت و مستمر شوند، انتظارات این صنعت نیز میتواند پابهپای آنها تغییر کند.
اوربلیس معتقد است هوش مصنوعی در نهایت میتواند استانداردهای مراقبتی و مسئولیتی را در زمینه توسعه قراردادهای هوشمند بازتعریف کند. در گذشته، تیمها میتوانستند هزینه و پیچیدگی حسابرسیها را به عنوان دلیلی برای انجام ندادن برخی بررسیها مطرح کنند. اما وقتی تحلیلهای امنیتی پیشرفته به صورت آنی و برحسب تقاضا در دسترس باشند، دفاع از این استدلال سختتر میشود.
او میگوید:
یک گزارش بینقص و پاک از هوش مصنوعی دیگر به عنوان یک دفاعیه (در دادگاه) پذیرفته نخواهد شد. حتی ممکن است شاکی پرونده استدلال را برعکس کند و بگوید: این ابزار وجود داشت، ارزان هم بود، و شما باید باگ را پیدا میکردید.
این چشمانداز سوالات گستردهتری را برای این صنعت ایجاد میکند: اگر بررسیهای امنیتی مبتنی بر هوش مصنوعی همهگیر شوند، آیا سرمایهگذاران پیش از تامین مالی پروژهها انتظار انجام آنها را خواهند داشت؟ و آیا کوتاهی در اجرای حسابرسیهای تحت هدایت هوش مصنوعی در نهایت میتواند به عنوان “سهلانگاری و قصور” تلقی شود؟
با وجود پتانسیلهای بالای این فناوری، هیچکدام از این دو پژوهشگر معتقد نیستند که هوش مصنوعی آماده جایگزینی کامل با حسابرسان انسانی است.
اوربلیس میگوید در حالی که ماشینها در شناسایی نقصهای کدنویسی فوقالعاده عمل میکنند، اما همچنان در شناسایی آسیبپذیریهای اقتصادی و مبتنی بر انگیزههای مالی (که مسبب برخی از بزرگترین خسارات دنیای رمزارز بودهاند) ضعیف هستند. او گفت:
باگهایی که خزانهها را خالی میکنند، اغلب حول محور اهداف و انگیزههای تقابلی شکل میگیرند. برای تشخیص این موارد هنوز به یک انسان باتجربه در اتاق نیاز است.
شوئد نیز هشدار مشابهی داد:
اینکه بگویید “کلود (Claude)، قرارداد هوشمند من را حسابرسی کن و هیچ اشتباهی هم نکن”، یک برنامه امنیتی نیست. اگر فردی که ابزار را اجرا میکند نتواند نتایج بازگشتی را ارزیابی کند، شما امنیت نخریدهاید، بلکه یک حس امنیت کاذب خریدهاید.
اما در مورد اینکه آیا سیستمی مانند Mythos میتوانست جلوی هکهای بزرگ را بگیرد یا خیر، هر دو پژوهشگر خاطرنشان کردند که بسیاری از پرهزینهترین حوادث دنیای رمزارز از آسیبپذیریهای قراردادهای هوشمند نشات نگرفتهاند. اوربلیس به هک اخیر پلتفرم «دریفت» (Drift) اشاره کرد و آن را نتیجه یک کمپین مهندسی اجتماعی چند ماهه دانست که به جای کدهای پروتکل، مشارکتکنندگان و افراد مورد اعتماد را هدف قرار داده بود. او گفت:
قرارداد هوشمند دقیقاً همان کاری را انجام داد که به آن گفته شده بود؛ این اختیارات و هویت پشت دستورالعمل بود که هک شد و مورد سوءاستفاده قرار گرفت.
به همین ترتیب، شوئد به حوادثی مانند شبکههای «رونین» (Ronin) و «بایبیت» (Bybit) اشاره کرد که در آنها کلیدهای خصوصیِ فاششده و فرآیندهای امضای دستکاریشده نقش اصلی را ایفا کردند، نه آسیبپذیریهای نرمافزاری.
او گفت:
هیچ اسکنر کدی نمیتواند جلوی یک امضاکننده مجاز را برای تایید تراکنشی که خودش نمیتواند صحت آن را تایید کند، بگیرد.
این واقعیت نشان میدهد که هوش مصنوعی چالشهای امنیتی کریپتو را به طور کامل از بین نخواهد برد. اما این پژوهشگران استدلال کردند که این فناوری میتواند یک بخش از این معادله را به طور بنیادین تغییر دهد: هزینه یافتن باگها و انتظاراتی که پیرامون کشف آنها وجود دارد.
منبع: Coindesk
