Hagnaður:
- Hæfni til að skilja að gervigreind stækkar umfang endurskoðanda, en kemur ekki í staðinn, og nýtist vel við flokkaskönnun og uppsetningu.
- Að vera fær um að viðurkenna að gervigreind hefur misst af upprunalegu veikleika- og viðskiptarökvillunni og að reiprennandi „örugg“ yfirlýsing er ekki trygging
- Hæfni til að flokka niðurstöður eftir alvarleika þeirra og skilja að endanlegt samþykki og fagleg ábyrgð hvílir á þar til bærum endurskoðanda.
Öryggisúttekt (kerfisbundin athugun á snjöllum samningi fyrir veikleika) er ábyrgasta starf Web3. Ein lína sem endurskoðandi missir af getur leitt til milljóna dollara taps. Í þessari einingu muntu læra hvernig á að nota gervigreind sem endurskoðunaraðstoðarmann; Við munum læra af því að búa til vísbendingar til að skrifa yfirlit yfir niðurstöður. En mikilvægasta setningin er þessi: AI stjórnar ekki; Það er aðstoðarmaður sem skerpir auga endurskoðanda. Endanlegt samþykki liggur hjá þar til bærum endurskoðanda sem ber faglega ábyrgð.
Hvers vegna endurskoðun er öryggis mikilvægt
Endurskoðunarskýrsla fullvissar verkefnið og fjárfesta um að „þessi kóði hefur verið endurskoðaður“. Ef þessi fullvissa er röng eru afleiðingarnar hörmulegar: hagnýtt siðareglur, tapað fjármagn, hrunið verkefni. Þess vegna er notkun gervigreindar í skoðun mest varkár hluti þessarar einingu. Gervigreind stækkar umfang endurskoðanda (minnir fleiri mynstur, les hraðar) en kemur ekki í stað endurskoðanda.
Af hverju gengur það ekki? Vegna þess að:
- AI getur ekki séð einstaka/nýju varnarleysið sem er ekki í þjálfunargögnunum.
- Gervigreind saknar oft gallans í viðskiptarökfræði samskiptareglunnar - að kóðinn sé tæknilega réttur en hagkvæmur hagkvæmur.
- AI getur veitt falska fullvissu með því að segja „öruggt“ á reiprennandi tungumáli; Þetta er hættulegasta niðurstaðan.
Lög af því að nota gervigreind við stjórn
1. Upphafsskönnun og mynsturáminning. Gervigreind fer í gegnum þekkt varnarleysismynstur eins og gátlista: endurkomu, aðgangsstýringu, véfréttameðferð, frammistöðu. Þannig er tryggt að endurskoðandi missi ekki af neinum flokkum.
2. Kóðaskýring. Að útskýra flókna aðgerð fyrir gervigreindinni á einföldu máli gerir endurskoðandanum kleift að átta sig fljótt á rökfræðinni; en lýsingin er alltaf borin saman við kóðann.
3. Að skrifa uppkast að niðurstöðum. Þegar endurskoðandinn finnur varnarleysi sparar gervigreind tíma við að skrifa drög að skýrslunni (lýsing, áhrif, fyrirhuguð lausn).
4. Búa til gagntilgátu. Spyrðu gervigreindina "hvernig er hægt að misnota þessa aðgerð?" Að spyrja "minnir okkur á árásargjarna sjónarhornið.
Athugið: Bara vegna þess að gervigreindin segir „Ég fann enga veikleika í þessum kóða“ þýðir EKKI „þessi kóði er öruggur“. Sönnun um fjarveru er ekki skortur á sönnunargögnum. Sú staðreynd að gervigreind getur ekki fundið eitthvað gerir það ekki óþarft fyrir endurskoðanda að skoða það svæði.
Að finna alvarleikastig
Niðurstöður úttektar eru flokkaðar eftir alvarleikastigi þeirra. Gervigreind ætti að nota þennan ramma þegar þú býrð til drög:
Stig
Merking
dæmi
gagnrýninn
Sjóðstap/lokun beint mögulegt
Úttekt fjármuna með endurinngöngu
hátt
Alvarleg áhrif við ákveðnar aðstæður
Óheimil prentun (mynt)
miðlungs
Takmarkað áhrif eða erfitt ástand
Lítið tap með Oracle fráviki
lágt
Lítil áhætta, brot á góðum starfsvenjum
Vantar viðburðarútsendingu
Upplýsingar
Óöryggi, læsileiki
Skortur á NatSpec
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Er þessi samningur öruggur?
Þessi spurning neyðir gervigreindina til að fella algeran, ástæðulausan dóm eins og „já/nei“ - nákvæmlega það sem við viljum ekki.
Öflug tilvitnun:
Hlutverk þitt: aðstoðarmaður eldri snjallsamningsendurskoðanda. Skannaðu eftirfarandi samning til öryggis. Farðu í gegnum eftirfarandi flokka einn í einu: endurinngangur, aðgangsstýring, heiltöluaðgerðir, inntaksfullgilding, véfrétt/ytri gögn, framkeyrsla, gasmörk. Fyrir hverja NIÐURSTÖÐU: (1) viðeigandi kóðalínu, (2) valda áhættu, (3) áætlað alvarleika (Critical/High/Medium/Low), (4) lausnartillaga. Þetta eru tilgátur sem á að staðfesta; Ekki gefa "öruggan" dóm. Merktu þau svæði sem þú ert ekki viss um að segja skýrt „leyfðu endurskoðandanum að staðfesta“.
Fjögur afritanleg sniðmát
1) Flokksmiðað vafra:
Skannaðu þennan samning fyrir eftirfarandi flokka: endurinngangur, aðgangsstýring, heiltöluflæði, inntaksfullgilding, véfréttaháð, framkeyrsla, DoS/gas. Fyrir hvern flokk, segðu "það er/er engin hætta/ég er ekki viss" og tengdu rökstuðning þinn við línuna í kóðanum. Ekki fella endanlegan dóm.
2) Gagntilgáta frá sjónarhóli árásarmannsins:
Hugsaðu eins og árásarmaður: hverjar eru leiðirnar til að misnota þessa aðgerð? Skrifaðu hverja atburðarás skref fyrir skref og tilgreindu hvaða skilyrði eru nauðsynleg. Þessar aðstæður eru tilgáturnar sem á að prófa; EKKI búa til raunverulegan hagnýtingarkóða, lýstu bara áhættunni.
3) Drög að niðurstöðuskýrslu:
Tilkynntu eftirfarandi staðfestu niðurstöðu á formlegu endurskoðunarmáli: titill, alvarleiki, lýsing, áhrif, áhrifakóði, skref til að endurskapa, fyrirhuguð lausn. Notaðu mælt og tæknimál; ýkjur. Gerum ráð fyrir að niðurstaðan sé staðfest af endurskoðanda, ekki búa til nýja niðurstöðu.
4) Lagaðu staðfestingu:
Hér að neðan er varnarleysi og lagfæringin sem framkvæmdaraðilinn beitti. Athugaðu hvort lagfæringin lokar í raun varnarleysinu; merktu hvort það skapar nýja aukaverkun eða varnarleysi. Ekki segja "lokað" fyrir víst; Endið á „verður að staðfesta með prófun“.
Þrjú smáhylki (í tölum)
Tilfelli 1 - gervigreind kom í veg fyrir flokkshopp. Endurskoðandi ætlaði að einbeita sér að 400 línu samningi og sleppa véfréttaflokknum. Flokkskönnun gervigreindar gaf viðvörun um að „verðgögn eru frá einum uppruna, opin fyrir meðferð“. Endurskoðandi skoðaði það og komst að því að það væri sannarlega miðlungs áhætta. Lexía: gervigreind viðheldur umfjöllunaraga.
Tilvik 2 - Fölsk „örugg“ fullvissa. Annað teymi spurði gervigreindina „er þetta öruggt? spurði hann; „Það virðist ekki vera verulegt vandamál,“ sagði AI. Áhafnarskoðun var létt. Þá fann óháði endurskoðandinn galla í viðskiptarökfræði: útreikningur sem var tæknilega réttur en hvata hans var nothæfur. Lexía: AI missir af viðskiptarökvillu; Það er ekki hægt að treysta honum til að segja "öruggt".
Mál 3 — Að semja skýrsluna sparaði 3 klukkustundir. Endurskoðandinn var að eyða hálfum degi í að tilkynna handvirkt um 8 niðurstöður. Þegar ég gaf gervigreindinni staðfestar niðurstöður og prentaði opinberu uppkastið, lækkaði tíminn um ~3 klukkustundir; Endurskoðandi gaf sér tíma til dýpkunar. Lærdómur: gervigreind er örugg og skilvirk í skýrslugerð vegna þess að niðurstöðurnar hafa þegar verið sannreyndar mannlega.
Viðkvæmni í viðskiptarökfræði: blindur blettur gervigreindar
Dýrustu veikleikarnir koma oft ekki vegna tæknilegrar villu í kóðanum, heldur hagnýtingar viðskiptarökfræðinnar: námundandi hagnýtingu á verðlaunareikningi, ræning á skyndilánum á atkvæði, tafarlaus meðferð á verði. Þetta eru tilvik þar sem kóðinn virkar "rétt" en hægt er að plata siðareglurnar á hagkvæman hátt. Líklegt er að gervigreind missi af slíkum villum - sérstaklega þeim sem eru sértækar fyrir siðareglur. Þess vegna er skoðun viðskiptarökfræði mannfrekasta svið endurskoðandans og minnst treyst á gervigreind.
Ábending: Spyrðu gervigreindina „hvernig er hægt að nýta efnahagslega hvata þessarar bókunar? og notaðu aðstæðurnar sem koma upp sem upphafspunktur - en mundu að þú og teymið þitt ættuð að gera alvöru greiningu.
Algeng mistök
- Spyrðu gervigreindina "er það öruggt?" Að spyrja og treysta jáinu þínu. Alger dómgreind er ekki krafist.
- Stöðva endurskoðunina þegar gervigreindin segir „Ég gat ekki fundið það“. Fjarvera er ekki sönnun.
- Framselja skoðun viðskiptarökfræði til gervigreindar. Það er stærsti blindi bleturinn hans.
- Notar ekki sjálfstæð verkfæri (Slither osfrv.). AI eitt og sér er ekki nóg.
- Að setja uppgötvun gervigreindarinnar inn í skýrsluna án þess að staðfesta hana. Hætta á ofskynjunum.
- Að reyna að setja stjórn ábyrgð á gervigreind. Ábyrgðin er hjá sérfræðingnum.
Í stuttu máli
- Endurskoðun er öryggis mikilvæg; Gervigreind stækkar svið endurskoðanda en kemur ekki í staðinn.
- AI saknar upprunalega varnarleysis og viðskiptarökvillunnar; Að segja „öruggt“ er ekki trygging.
- Niðurstöður eru flokkaðar eftir alvarleikastigi; AI er gagnlegt við að búa til drög.
- Mótilgáta og flokkaskimun varðveita fræðigreinina án aðgreiningar.
- Lokasamþykki og fagleg ábyrgð er ávallt hjá þar til bærum endurskoðanda.
Umsóknarverkefni
Finndu sýnishorn af samningi sem inniheldur þekktan varnarleysi (í fræðsluskyni eru dæmi um „viðkvæma samninga“ fáanleg í opnum hugbúnaði). Notaðu „flokkatengda skönnun“ hvetninguna á gervigreindina. Athugaðu hvort gervigreindin: (1) fann hið raunverulega varnarleysi, (2) framleitt tilbúnar/rangar niðurstöður, (3) felldi algjöra dóma eins og „öruggt“. Berðu það síðan saman við kyrrstöðugreiningartæki.
gátlisti
- [ ] Spyrðu gervigreindina "er það öruggt?" Í staðinn fór ég í flokkaskönnun.
- [ ] Ég fór með hverja niðurstöðu sem tilgátu.
- [ ] Ég gerði úttekt á viðskiptarökfræði sjálfur/teymi.
- [ ] Ég krossfesti það með óháðu kyrrstöðugreiningartæki.
- [ ] Ég hef staðfest að gervigreindin búi ekki til niðurstöður.
- [ ] Ég flokkaði niðurstöðurnar eftir alvarleikastigi.
- [ ] Ég samþykkti að endanlegt samþykki liggur hjá þar til bærum endurskoðanda.