Hagnaður:
- Hæfni til að þekkja algeng varnarleysismynstur eins og endurkomu, aðgangsstýringu, véfréttameðferð og framkeyrslu og skanna þau með kyrrstöðugreiningartæki + gervigreind + manneskju
- Hæfni til að greina á milli styrkleika gervigreindar við að útskýra úttak verkfæra og forgangsraða fölskum jákvæðum og veikleikum í MEV og viðskiptarökfræði
- Skildu að „hrein skönnun“ er ekki öryggisvottorð, að skönnun er bara eitt eftirlitslag
Við sáum heildræna fræðigrein endurskoðunar í fyrri einingu. Í þessari einingu leggjum við áherslu á tæknilegra efni: varnarleysisskönnun - kerfisbundin leit að þekktum varnarleysismynstri í kóða. Hér munum við nota gervigreind, ásamt kyrrstöðugreiningartækjum, sem aðstoðarmann sem skannar og lýsir þekktum varnarleysismynstri. Markmiðið: að kynnast algengustu veikleikunum ítarlega og greina hvar gervigreind er áreiðanleg og hvar hún er ófullnægjandi við að skanna þá.
Statísk og kraftmikil skönnun
Skönnun er tvenns konar. Statísk greining - skoða kóðann án þess að keyra hann: Verkfæri eins og Slither og Mythril skanna samningskóðann og flagga þekkt mynstur. Kvik/táknræn greining (að keyra kóðann með mismunandi inntakum eða kanna hann stærðfræðilega): fuzzing (sprengja með handahófi) og táknræn framkvæmd (kanna allar mögulegar leiðir) falla í þennan hóp.
AI kemur ekki í stað þessara verkfæra, það bætir þau við: þegar ökutækið gefur út viðvörun, útskýrir gervigreind viðvörunina á látlausu máli; AI getur minnt á þegar tólið missir af mynstri; En gervigreind ein og sér getur ekki ábyrgst hversu mikið það skannar. Rétt verkflæði: tól + gervigreind + manneskja.
Ábending: Gefðu gervigreindinni afköst kyrrstöðugreiningartækis (t.d. Slither skýrslu) og spyrðu „útskýrðu hverja viðvörun á einföldu máli, hverjar eru raunverulegar áhættur og hverjar gætu verið rangar jákvæðar? spyrja. Gervigreind er ómetanleg til að gera hráefnisúttak skiljanlegt og forgangsraðað fyrir mönnum.
Algengustu varnarleysismynstur
1. Endurinngangur. Ef aðgerð kallar á utanaðkomandi samning án þess að uppfæra stöðu hans getur samningurinn sem kallaður er farið til baka, virkjað sömu aðgerðina aftur og tekið sjóðinn út margsinnis. Lausn: athugar-áhrif-víxlverkun röð og endurinngönguvörn.
2. Skortur á aðgangsstýringu. Mikilvæg aðgerð (afturköllun, afturköllun, uppfærsla) er óvart gerð opinber. Það er ein algengasta og dýrasta mistökin.
3. Oracle meðferð. Blint reiða sig samningsins á utanaðkomandi verðgjafa (véfrétt). Árásarmaðurinn vinnur verðið samstundis og blekkir siðareglur. Lausn: tímavegið meðalverð (TWAP), multi-source.
4. Heiltala yfirfall/undirfall. Þegar tala fer yfir leyfilega hámarksgildi og fer aftur í byrjun. Modern Solidity grípur mest af því sjálfkrafa, en áhættan er áfram í lágstigi (samsetningar) kóða.
5. Framkeyrandi. Viðskipti birtast í almenningspottinum (mempool) áður en þau eru staðfest; Árásarmaðurinn getur séð færsluna þína og sett eigin færslu fyrir framan hana. MEV (Maximal Extractable Value — gildið sem dregið er úr viðskiptaröðinni) er almennt heiti þessa efnis.
6. Neitun á þjónustu (DoS). Lykka verður of dýr og gerir aðgerðina ónothæfa, eða háð heimilisfangi verður læst.
7. Uppfærsla áhættu. Geymsluárekstur og misbeiting valds í uppfæranlegum samningum.
varnarleysi
AI skönnun traust
Hvers vegna
endurinngangur
hátt
Vel þekkt, skýrt mynstur
aðgangsstýringu
hátt
Hægt er að skanna mold
Heiltöluaðgerðir
hátt
staðlað eftirlit
Oracle meðferð
miðlungs
Krefst samhengis
Framhlið/MEV
Miðlungs-Lágt
samskiptareglur sértækar
viðskiptarökvilla
lágt
Ekta, samhengisbundið
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Er glufu í þessum kóða?
Öflug tilvitnun:
Hlutverk þitt: Aðstoðarmaður öryggisskoðunar. Skannaðu samninginn hér að neðan til að finna eftirfarandi þekkt mynstur og "í áhættu/ekki/óviss" fyrir hvert: endurinngangur, aðgangsstýring, heiltöluaðgerðir, oracledependency, framfarir, DoS, uppfærsluöryggi. Tengdu hverja ákvörðun við viðkomandi línu og útskýrðu hvers vegna hætta er á. Þetta eru tilgátur sem VERÐA SANNAÐAR með kyrrstöðugreiningartæki og endurskoðanda. Athugaðu að það geta verið rangar jákvæðar.
Fjögur afritanleg sniðmát
1) Lýsing á úttaksverkfærum:
Hér að neðan er skýrsla um stöðugreiningartæki (Slither). Útskýrðu hverja viðvörun á einföldu máli: hvað þýðir hún, er hún raunveruleg áhætta eða möguleg falsk jákvæð, hver ætti hún að hafa forgang? Ekki taka fasta ákvörðun; Forgangsraða fyrir staðfestingu endurskoðanda.
2) Skimun með áherslu á endurkomu:
Finndu allar aðgerðir sem hringja utanaðkomandi símtöl í þessum samningi. Athugaðu hvort eftirlits-áhrif-víxlverkunarreglunni sé fylgt fyrir hvert þeirra og hvort það sé endurinngönguvörður. Sýndu áhættusama með línu. Merktu við ef þú ert ekki viss; Að búa til hagnýtingarkóða.
3) Aðgangsstýringarkort:
Skráðu allar ytri/opinberar aðgerðir í þessum samningi og tilgreindu "hver getur hringt" (allir/eigandi/hlutverk) fyrir hvern. Framkvæma mikilvægar aðgerðir (afturkalla, prenta, uppfæra) og merkja þær með veika aðgangsstýringu. Settu það fram með borði.
4) Falskt jákvætt brotthvarf:
Íhugaðu hvers vegna þessi skannarviðvörun gæti ekki verið RAUNVERK áhætta (falsk jákvæð): hvaða samhengi eða kóðaástand myndi ógilda þessa viðvörun? En ekki segja "það er nákvæmlega ekkert vandamál"; Skráðu þau atriði sem þarfnast staðfestingar.
Þrjú smáhylki (í tölum)
Tilfelli 1 — Ökutæki + gervigreind tvöfölduð skilvirkni. Eitt lið rak Slither í 12 samningaverkefni og fékk 140 viðvaranir. Þegar við fengum gervigreindina að útskýra og forgangsraða viðvörunum, kom í ljós að 95 af 140 viðvörunum voru rangar jákvæðar; Liðið einbeitti sér að 45 raunverulegum frambjóðendum. Triage tími minnkaði úr 2 dögum í 5 klst. Lærdómur: gervigreind er öflug til að mannfæra framleiðsla ökutækja.
Mál 2 - AI rændi MEV. Í DEX (dreifð skipti) samningi fannst gervigreind stöðluðu mynstrin hrein en tókst ekki að greina varnarleysi sem var í frammi; vegna þess að þetta var sérstakt við aðgerðaröð bókunarinnar. Mannlegur endurskoðandi og uppgerð tekin. Lærdómur: Bókunarsértæk áhætta eins og MEV/framhlið er veika svæði gervigreindar.
Tilfelli 3 - Forðist að eyða tíma í falskt jákvætt. Liðið var hlíft við óþarfa umritun þegar gervigreindin útskýrði að viðvörun um endurkomu væri í raun falskur jákvæður (aðgerðin var þegar varin). En liðið staðfesti það samt með einu prófi. Lexía: gervigreind forgangsraðar; Staðfesting kemur aftur með prófun.
Takmörk skönnunar
Skönnunin finnur þekkt mynstur. Hvorki tólinu né gervigreindinni er tryggt að greina nýjan, einstakan eða samskiptasértækan varnarleysi. Því er skimun hluti af úttektinni; ekki hann sjálfur. Hugmyndin um að „skönnunin sé hrein, svo það þýðir að hún er örugg“ er einn hættulegasti misskilningur á þessu sviði. Dýpkun tekur upp lághangandi ávexti; Fyrir djúpar og einstakar áhættur eru mannleg sérfræðiþekking, prófanir, óljós og formleg endurskoðun nauðsynleg.
Varúð: „Hrein“ skýrsla um skannaverkfæri eða gervigreind er ekki öryggisvottorð. Að kynna það þannig - sérstaklega fyrir fjárfestum - er villandi og siðlaust.
Algeng mistök
- Skipt um skimun fyrir skoðun. Skönnun er eitt lag, ekki allt.
- Notar gervigreind án verkfæra. Statísk greining + gervigreind + mannleg vinna saman.
- Útrýma fölskum jákvæðum án staðfestingar. Hver skjár er prófaður/mannlega staðfestur.
- Framhjá samskiptasértækum áhættum (MEV) með því að treysta á gervigreind. Veikt svæði gervigreindar.
- Að hugsa "clean scan" = "öruggt". Það getur ekki fundið hið óþekkta.
- Að búa til hagnýtingarkóða. Aðeins varnarhættulýsing er lögmæt.
Í stuttu máli
- Varnarleysisskönnun leitar að þekktum varnarleysismynstri með farartæki + gervigreind + manneskju.
- Gervigreind er öflug til að útskýra og forgangsraða framleiðsla truflanagreiningartækja.
- Áreiðanleg í skýrum mynstrum eins og endurkomu og aðgangsstýringu; Veik í MEV og viðskiptarökfræði.
- Jafnvel að útrýma fölskum jákvættum krefst staðfestingar.
- „Hrein skönnun“ er ekki öryggisvottorð; Það kemur ekki í staðinn fyrir eftirlit.
Umsóknarverkefni
Keyrðu kyrrstöðugreiningartæki á sýnishornssamningi (ef mögulegt er) eða finndu tilbúna Slither skýrslu. Notaðu „úttakslýsingu tóla“ fyrir gervigreindina. Metið hvort gervigreind: (1) útskýrir viðvaranir rétt, (2) sé skynsamlegt í að greina á milli falskra jákvæða og (3) missi af áhættusértækri samskiptareglu. Fylltu út „ökutæki fannst / gervigreind útskýrt / staðfest af mönnum“ dálkana í töflu.
gátlisti
- [ ] Ég setti lúguna sem lag af stjórninni.
- [ ] Ég notaði kyrrstöðugreiningartæki + gervigreind + manneskju saman.
- [ ] Ég leitaði í flokki eftir flokkum að þekktum mynstrum.
- [ ] Ég fjarlægði rangar jákvæðar með staðfestingu.
- [ ] Ég treysti á menn á veikum sviðum eins og MEV/viðskiptarökfræði.
- [ ] Ég bauð ekki fram „hreinan sópa“ sem fullvissu.
- [ ] Ég vann aðeins í varnarskyni; Ég bjó ekki til hetjudáð.