انتشار Mythos، سیستمی هوش مصنوعی که برای کشف خودکار آسیبپذیریهای نرمافزاری طراحی شده، ممکن است فراتر از کمک صرف به توسعهدهندگان بلاکچین عمل کند. به گفتهی پژوهشگران این حوزه، با ارزانتر، سریعتر و فراگیرتر شدن ابزارهای امنیتی مبتنی بر هوش مصنوعی، استانداردهایی که صنعت کریپتو تا امروز بهعنوان «بررسی لازم» پیش از انتشار کد پذیرفته، میتواند بهکلی دگرگون شود؛ تغییری که میتواند انتظارات از توسعهدهندگان و نهادهای مالی را نیز بازتعریف کند.
تا کنون، امنیت قراردادهای هوشمند بهشدت تابع محدودیتهای بودجهای بوده است. آدیتهای جامع معمولاً هزینهبر هستند، موضوعی که با ورود سیستمهایی مانند Mythos میتواند تغییر کند؛ سیستمی که اوایل همین ماه برای مدت کوتاهی منتشر شد و سپس از بازار آمریکا کنار گذاشته شد.
الکساندر اوربلیس، مسؤول امنیت اطلاعات در شرکت ENS Labs، میگوید این فناوری «هزینهی یک آدیت پایه را به سوی صفر میبرد» و کاری که پیشتر هفتهها زمان و هزینهی قابلتوجهی میطلبید، ممکن است در نهایت در عرض چند دقیقه قابل انجام باشد؛ امری که پروژههایی را که تا پیش از این از تأمین هزینهی بررسیهای حرفهای ناتوان بودند، قادر میسازد به ارزیابیهای امنیتی سریع دست یابند.
برای سالها، پژوهشگران برای شناسایی باگهای نرمافزاری به ابزارهای خودکار موسوم به «فازر» تکیه کردهاند؛ ابزارهایی که با بمباران برنامهها با انواع ورودی، نقاط شکست را آشکار میکنند. اما سیستمهای هوش مصنوعی رویکردی متفاوت دارند. اوربلیس این تحول را «تغییری در درجه میداند که احتمالاً به تغییری در نوع منجر میشود» و میافزاید که برای سالها ماشینها به دنبال باگ بودهاند، اما اکنون صحبت از فازری است که قابلیت استدلال دارد.
بهجای صرفِ شناسایی خطاهای فنی، سیستمهایی مانند Mythos میتوانند آنچه کد قرار بوده انجام دهد را استنباط کرده و آن را با عملکرد واقعیاش مقایسه کنند؛ قابلیتی که در صنعت کریپتو، جایی که کد قراردادهای هوشمند عمومی است و برخی برنامههای جوایز کشف باگ بودجههای بزرگی دارند، میتواند ظرفیت شناسایی آسیبپذیریها پیش از راهاندازی پروژهها را بهطور قابلتوجهی افزایش دهد.
دیوید شوود، مدیر عملیات شرکت امنیتی بلاکچین SVRN و بنیانگذار برنامهی کارشناسی ارشد امنیت سایبری دانشگاه یشیوا، این تحول را حتی مهمتر توصیف میکند. به باور او، این مدلها اکنون بهشیوهای عمل میکنند که یک مهاجم انسانی عمل میکند؛ آنها تکرار میکنند، و گام بعدی را بر اساس آنچه در زمان واقعی مشاهده میکنند برمیدارند، در حالی که ابزارهای قدیمیتر صرفاً فرآیندهای قطعی و پیچیده بودند.
با این حال، شوود معتقد است تغییر بزرگتر شاید نه در خودِ کشف آسیبپذیری، بلکه در ظهور نظارت امنیتی مستمر نهفته باشد؛ یعنی آدیت پیوسته همراه با پیشنهادهای اصلاحی با بخشی از هزینهی سابق، بهجای یک بررسی موردی که تنها یکبار از عهدهی مالی آن برمیآمدند.
اگر بررسیهای امنیتی ارزان و پیوسته شوند، پژوهشگران معتقدند انتظارات صنعت نیز همراه با آن تغییر خواهد کرد. اوربلیس بر این باور است که هوش مصنوعی در نهایت میتواند استاندارد «سطح مراقبت» در توسعهی قراردادهای هوشمند را بازتعریف کند. در گذشته، تیمها میتوانستند هزینه و پیچیدگی آدیتها را دلیلی برای انجامنشدن برخی بررسیها قلمداد کنند، اما با دسترسپذیر شدن تحلیل امنیتی پیشرفته بهصورت آنی، این استدلال دشوارتر میشود. به گفتهی او، یک گزارش پاک از هوش مصنوعی دیگر دفاعی محسوب نخواهد شد، بلکه ممکن است شاکیان دقیقاً برعکس آن استدلال کنند: ابزار وجود داشته، ارزان بوده، و میبایست خطا کشف میشده است.
این موضوع پرسش گستردهتری را پیش میکشد: اگر بررسیهای امنیتی مبتنی بر هوش مصنوعی فراگیر شوند، آیا سرمایهگذاران پیش از تأمین مالی پروژهها انتظار چنین بررسیهایی را خواهند داشت، و آیا انجامندادن آدیتهای مبتنی بر هوش مصنوعی در آینده بهعنوان کوتاهی تلقی خواهد شد؟
با وجود نویدبخش بودن این فناوری، هیچیک از دو پژوهشگر بر این باور نیستند که هوش مصنوعی در آستانهی جایگزینی آدیتورهای انسانی است. هرچند ماشینها در شناسایی خطاهای کدنویسی برتری دارند، اوربلیس میگوید آنها همچنان در تشخیص آسیبپذیریهای اقتصادی و انگیزشی، که در شکلگیری برخی از بزرگترین خسارات کریپتو نقش داشتهاند، ضعیفتر عمل میکنند. به گفتهی او، باگهایی که خزانهها را تخلیه میکنند اغلب حول قصد و انگیزههای خصمانه میچرخند و همچنان نیازمند حضور یک انسان باتجربه در فرآیند هستند.
شوود نیز هشداری مشابه میدهد و میگوید گفتنِ «Claude، قراردادم را آدیت کن و خطا نکن» یک برنامهی امنیتی واقعی نیست؛ اگر فردی که ابزار را اجرا میکند نتواند نتیجهی آن را ارزیابی کند، در عمل امنیت خریداری نشده، بلکه صرفاً حسی نادرست از امنیت خریده شده است. هر دو پژوهشگر همچنین یادآور میشوند که بسیاری از پرهزینهترین حوادث صنعت کریپتو از آسیبپذیری در قراردادهای هوشمند ناشی نشدهاند.
اوربلیس به هک اخیر پروتکل Drift اشاره میکند که آن را نتیجهی یک عملیات مهندسی اجتماعی چندماهه میداند که مشارکتکنندگان مورد اعتماد را هدف قرار داده بود، نه کد پروتکل را؛ به بیان او، قرارداد هوشمند دقیقاً همان کاری را کرد که به آن دستور داده شده بود، و آنچه که خراب شده بود، مرجع صادرکنندهی آن دستور بود.
شوود نیز به حوادثی مانند Ronin و Bybit اشاره میکند که در آنها کلیدهای خصوصی هکشده و فرآیندهای امضای دستکاریشده، و نه آسیبپذیری نرمافزاری، نقش اصلی را داشتند؛ او تأکید میکند هیچ اسکنر کدی نمیتواند مانع از تأیید تراکنشی شود که یک امضاکنندهی مجاز قادر به راستیآزمایی آن نیست.
این واقعیت نشان میدهد که هوش مصنوعی چالشهای امنیتی صنعت کریپتو را از میان نخواهد برد. اما به باور پژوهشگران، میتواند بخش مهمی از این معادله، یعنی هزینهی کشف باگها و انتظارات پیرامون کشف آنها، را بهطور بنیادین دگرگون کند.