Kasu:
- Võimalus mõista DeFi ehitusplokke nagu AMM, likviidsusfond, oraakel ja välklaen ning kasutada tehisintellekti mehhanismide selgitamisel ja stsenaariumide koostamisel
- Oskus eristada, et enamik DeFi riske on majandus-/äriloogika haavatavused, mitte koodivead ja et tehisintellekt on algses majanduslikus haavatavuses nõrk
- Oskus mõista, et majanduslikku turvalisust tõestab simulatsioon, mitte mõtlemine, ja et oraaklisõltuvus on kõige hapram punkt.
DeFi (detsentraliseeritud rahandus) on Web3 kõrgeima väärtusega ja enim rünnatud domeen. Vahetused, laenuprotokollid, likviidsuskogumid – kõik töötavad koodina ja liigutavad vaenulikus keskkonnas miljoneid dollareid. Selles üksuses kasutame AI-d protokollianalüüsi assistendina; Õpime mõistma likviidsust, hinnakujundust, MEV-i ja majandusrünnakuid ning seda, kus AI on selles kontekstuaalses valdkonnas kasulik ja ebapiisav.
DeFi peamised ehitusplokid
- AMM (Automated Market Maker): vahetusmehhanism, mis määrab hinnad valemiga (nt x·y=k), mitte ei sobita ostjaid ja müüjaid.
- Likviidsusfond: lepinguline fond, kus kasutajad deponeerivad žetoone ja kus toimub kauplemine.
- Laenuprotokoll: Laenamine tagatise vastu; Likvideerimine toimub siis, kui tagatise väärtus väheneb.
- Oracle: andmeallikas, mis toob protokollile välismaailma hinna – DeFi kõige kriitilisem ja hapram sõltuvus.
- Kiirlaen: ühe tehinguga ilma tagatiseta võetud laen, mis tagastatakse samas tehingus; Sellel on nii legitiimne kasutus kui ka ründetööriist.
MEV ja majandusrünnakud
MEV (Maximal Extractable Value – tehingute tellimise/lisamise/eemaldamise volituse eraldatud väärtus) on DeFi-le omane riskiklass. Ootel olevad tehingud kuvatakse avalikus kogumis (mempool); See nähtavus avab ukse järgmistele rünnakutele:
- Eeskätt: tulusa tehingu nägemine ja oma tehingu sisestamine selle ette.
- Võileivarünnak: tehingute sooritamine enne ja pärast ohvri ostu sooritamist ning hinnavahest kasu saamine.
- Oraakli manipuleerimine: protokolli petmine, muutes koheselt basseini hinda, tavaliselt kiirlaenuga.
Need rünnakud ei tulene mitte koodi "veast", vaid majandusliku disaini ärakasutatavusest. See on koht, kus tehisintellektiga on kõige rohkem raskusi: tehnilist koodi skanniv tehisintellekt ei suuda sageli tuvastada protokollispetsiifilist majanduslikku haavatavust.
Tähelepanu: suurem osa DeFi haavatavustest ei ole "koodivead", vaid majandus-/äriloogika haavatavused. Tehisintellekti standardne koodide skaneerimine jätab need vahele; See on valdkond, mis nõuab kõige rohkem inimteadmisi, simuleerimist ja modelleerimist.
AI roll DeFi analüüsis
1. Mehhanismi kirjeldus. AI on võimas keeruka protokolli (nt kõverapõhine AMM) lihtsas keeles selgitamisel. See tagab kiire sisenemise analüüsi.
2. Stsenaariumi/vastuhüpoteesi genereerimine. "Millise hinnaliikumise juures see võlaprotokoll likvideerimiskriisi satub?" AI koostab stsenaariumikavandeid selliste küsimustega nagu; neid testitakse simulatsiooniga.
3. Teadaolevate rünnakumustrite meeldetuletamine. AI kutsub esile varasemate DeFi rünnakute mustrid (oraakli manipuleerimine, taassisenemine, likvideerimisspiraal) nagu kontrollnimekiri.
4. Simulatsiooniplaani kavand. AI võib koostada plaani, milliseid stsenaariume testida; kuid simulatsioon ise toimub tööriistaga (Foundry, Tenderly).
Nõrk viip / Tugev viip
Nõrk viip:
Kas see DeFi protokoll on ohutu?
Võimas viip:
Sinu roll: DeFi protokolli analüütik. Uurige allolevat protokollimehhanismi. Vaatleme ükshaaval järgmisi majandusrünnakute vektoreid: oraakli manipuleerimine (välklaenuga), sandwich/front-running, likvideerimisspiraal, likviidsuse äravõtmise efekt. Iga vektori puhul: kuidas käivitada, mis tingimus on vajalik, võimalik mõju. Need on hüpoteesid, mida testitakse SIMULATSIOONIGA; Ärge öelge kindlasti "turvaline/ebaturvaline". GENERATE Tegelik ründekood; Kirjeldage ohtu ainult kaitseotstarbel.
Neli kopeeritavat malli
1) Mehhanismi kirjeldus:
Selgitage lihtsas keeles samm-sammult selle protokolli hinnakujunduse/likviidsuse mehhanismi: mis juhtub, kui kasutaja teeb tehingu, kuidas määratakse hind, millised on välised sõltuvused? Märkige see osa, millest te aru ei saa või jätate ebaselgeks.
2) Majandusliku rünnaku pind:
Kaardistage selle protokolli majandusrünnaku pind: milliseid eeldusi saab kasutada oraakli, likviidsuse, tagatise, likvideerimise ja juhtimise osas? Kirjutage iga risk koos tingimusega ("mis siis, kui"). Esitage see hüpoteesina, mis tuleb simulatsiooniga kinnitada.
3) Stressi stsenaarium:
Mõelge järgmistele stsenaariumidele: kui tagatismärk langeb 50%, kui oraakli hind hälbib hetkeliselt 30%, kui 80% likviidsusest võetakse välja, siis milline on protokoll? Kirjutage üles iga stsenaariumi järelmõju. Ärge pretendeerige numbrilisele täpsusele; Täpsustage, et simulatsioon on vajalik.
4) Ajaloo rünnakumustri sobitamine:
Kas selle protokolli ülesehitus on sarnased tingimustega, mis teadaolevatest DeFi ründemustritest (nt ühe allika oraakel, välklaen avatud hind)? Too välja sarnasused kaitse eesmärgil; Ärge astuge ärakasutamise sammu, see toob ainult tähelepanu.
Kolm miniümbrist (numbrites)
Juhtum 1 – Oracle'i risk märgati varakult. Meeskond koostas uut võlaprotokolli. Mehhanismi selgitamise ajal märkis YZ hüpoteesi, et "hind on võetud ühest kogumist ja seda saab kiirlaenudega manipuleerida". Meeskond kinnitas seda simulatsioonis ja läks üle TWAP + mitmest allikast. Hinnanguline välditud kadu: kogu protokolli lukustatud väärtus. Õppetund: AI on väärtuslik teadaolevate mustrite esilekutsumisel.
Juhtum 2 – AI jättis algse haavatavuse vahele. Teises protokollis oli haavatavus ainulaadne majanduslik viga, mis tulenes kahe mehhanismi (tasu + likvideerimine) koostoimest. AI leidis, et iga mehhanism on ükshaaval veatu; Interaktsiooni ei õnnestunud näha. Jäädvustatud inimese modelleerija ja simulatsioon. Õppetund: kuigi komponendid on õiged, on terviku ökonoomika AI pimeala.
Juhtum 3 – simulatsiooniplaan säästis aega. Üks analüütik koostas tehisintellekti 15 erinevat stressistsenaariumi, selle asemel, et neid käsitsi planeerida; siis juhtis seda Foundrys. Planeerimine vähenes 1 päevalt 2 tunnini; aga tulemuste tõlgendamine ja otsus oli inimese teha. Õppetund: AI plaanid, sõiduki mõõdud, inimene otsustab.
Simulatsiooni asendamatus
DeFi puhul ei tõesta turvalisust “mõtlemine”; Seda testitakse simulatsiooniga. Protokolli majanduslikku tugevust saab mõista erinevate hinna-, likviidsus- ja ründestsenaariumide arvulise käitamise teel. AI saab kavandada ja koostada nende simulatsioonide koodi; kuid tulemusi toodavad ja tõlgendavad tööriistad ja inimesed. Tehisintellekti toodetud väide "tõenäoliselt vastupidav" ei ole simulatsioonitulemus ja seda ei saa sellisena esitada.
Näpunäide. Kui saate tehisintellektilt DeFi riskihinnangu, peaksite iga hüpoteesi kohta küsima "millise simulatsiooniga ma seda testin?" Muutke see küsimuseks. Turvanõue, mida ei saa testida, ei ole DeFi tagatis.
Levinud vead
- Majanduspuudujäägi skaneerimine nagu koodiviga. DeFi riskid on enamasti äriloogikas.
- Usaldades tehisintellekti ütlema "turvaline" ja jättes simulatsiooni vahele. Testimine on vajalik.
- Komponentide ükshaaval kinnitamine ja interaktsiooni vahelejätmine. Kogu majandus on kriitiline.
- Oracle'i usaldamine ühest allikast. Kõige tavalisem DeFi katastroof.
- MEV/eessõitmise ignoreerimine. Unustades avaliku mempooli fakti.
- Kasutuskoodi genereerimine. Ainult kaitseanalüüs on õigustatud.
Kokkuvõttes
- DeFi on kõrge väärtusega ja vaenulik ruum; Riskid on enamasti majandus/äriloogikas.
- MEV, front-running, sandwich ja oracle manipuleerimine on DeFi-le omased rünnakute klassid.
- AI on tugev mehhanismide selgitamisel ja stsenaariumide koostamisel; Algne majandusdefitsiit on nõrk.
- Majanduslikku turvalisust tõestab simulatsioon, mitte mõtlemine; AI plaanid, sõiduki meetmed.
- Oracle'i sõltuvus on DeFi kõige haavatavam punkt; vaja mitut ressurssi ja TWAP-i.
Rakenduse ülesanne
Valige AMM või laenuprotokoll (selgete dokumentidega). Rakendage tehisintellektile viipasid "mehhanismi kirjeldus" ja "majanduslik ründepind". Iga riskihüpoteesi puhul esitab AI: "millise simulatsiooniga ma seda testiks?" Vastake küsimusele. Seejärel otsige üles selle protokolli tegelik auditiaruanne ja võrrelge tegelikke leide tehisintellekti märgistatud riskidega: mida tehisintellekt püüdis, millest ilma jäi?
kontrollnimekiri
- [ ] Arutasin riske kahes dimensioonis: kood + majandus.
- [ ] Hindasin MEV/eessõitu.
- [ ] Uurisin ka Oracle'i sõltuvust.
- [ ] Seadsin kahtluse alla komponentide (kogu majanduse) koosmõju.
- [ ] Ühendasin iga hüpoteesi simulatsiooniplaaniga.
- [ ] Asendasin tehisintellekti "seifi" simulatsiooniga.
- [ ] Analüüsisin ainult kaitseotstarbel.