Пайдалар:
- Жасалма интеллект аудитордун чөйрөсүн кеңейтет, бирок аны алмаштырбайт жана категорияларды сканерлөөдө жана долбоорлоону табууда пайдалуу экенин түшүнүү.
- Жасалма интеллект баштапкы аялуулугун жана бизнес логикалык катасын өткөрүп жибергенин жана эркин "коопсуз" билдирүү кепилдик эмес экенин түшүнүү.
- Корутундуларды олуттуулугунун деңгээлине жараша классификациялоо жана акыркы бекитүү жана кесиптик жоопкерчилик компетенттүү аудитордо экенин түшүнүү.
Коопсуздук аудити (акылдуу келишимдин аялуу жерлерге системалуу экспертизасы) Web3тин эң жооптуу иши. Аудитордун өткөрүп жиберген бир сызыгы миллиондогон долларларды жоготууга алып келиши мүмкүн. Бул бөлүмдө сиз AIди аудиттин жардамчысы катары кантип колдонууну үйрөнөсүз; Биз изилдөөлөрдүн схемасын жазууга жардам берүүдөн үйрөнөбүз. Бирок эң критикалык сүйлөм бул: AI көзөмөлдөбөйт; Бул аудитордун көзүн курчутуучу жардамчы. Акыркы бекитүү профессионалдык жоопкерчиликти өзүнө алган компетенттүү аудитордо болот.
Эмне үчүн аудит коопсуздук үчүн маанилүү
Аудиттин отчету долбоорду жана инвесторлорду "бул кодекс каралып чыкты" деп ишендирди. Эгерде бул кепилдик жалган болсо, анын кесепети каргашалуу болот: пайдаланылган протокол, жоголгон каржылоо, кыйраган долбоор. Ошондуктан, текшерүүдө AI колдонуу бул модулдун эң кылдат бөлүгү болуп саналат. AI аудитордун чөйрөсүн кеңейтет (көбүрөөк үлгүлөрдү эстейт, тезирээк окуйт), бирок аудиторду алмаштырбайт.
Эмнеге өтпөйт? Анткени:
- AI окуу маалыматтарында жок уникалдуу/жаңы аялуу жерди көрө албайт.
- AI көп учурда протоколдун бизнес логикасындагы кемчиликти байкабай калат — код техникалык жактан туура, бирок экономикалык жактан пайдаланууга болот.
- AI эркин тилде "коопсуз" деп жалган ынандырышы мүмкүн; Бул эң коркунучтуу жыйынтык.
Башкарууда AI колдонуу катмарлары
1. Алгачкы сканерлөө жана үлгү эстеткич. AI текшерүү тизмеси сыяктуу белгилүү аялуу моделдеринен өтөт: кайра кирүү, кирүү мүмкүнчүлүгүн башкаруу, oracle манипуляциясы, алдыңкы иштетүү. Бул аудитордун кандайдыр бир категорияларды өткөрүп жибербөөсүнө кепилдик берет.
2. Кодду түшүндүрүү. AI үчүн татаал функцияны жөнөкөй тил менен түшүндүрүү аудиторго логиканы тез түшүнүүгө мүмкүндүк берет; бирок сүрөттөмө дайыма код менен салыштырылат.
3. Жыйынтыктардын долбоорун жазуу. Аудитор кемчиликти тапканда, AI отчеттун долбоорун жазууда убакытты үнөмдөйт (сүрөттөө, таасир, сунушталган чечим).
4. Каршы гипотезаны түзүү. AIдан "бул функцияны кантип кыянаттык менен пайдаланса болот?" деп сураңыз. деген суроо бизге агрессивдүү көз карашты эске салат.
Көңүл буруңуз: AI "Мен бул коддон эч кандай кемчилик тапкан жокмун" дегени "бул код коопсуз" дегенди билдирбейт. Жоктун далили далилдин жоктугу эмес. AI бир нерсени таба албагандыгы аудитордун бул аймакты текшерүүнүн кереги жок кылбайт.
Катуу даражаларды табуу
Аудиттин корутундулары алардын олуттуулугунун деңгээлине жараша классификацияланат. AI долбоорлорду түзүүдө бул негизди колдонушу керек:
Деңгээл
Мааниси
мисал
сын
Фондду жоготуу/локаут түздөн-түз мүмкүн
Кайрадан акча каражаттарын алуу
бийик
Кээ бир шарттарда олуттуу таасири
Уруксатсыз басып чыгаруу (жалбыз)
орто
Чектелген таасир же оор абал
Oracle четтөө менен кичинекей жоготуу
төмөн
Кичинекей тобокелчилик, жакшы тажрыйбаны бузуу
Иш-чаранын трансляциясы жок
Маалымат
Коопсуздук эмес, окууга ыңгайлуу
NatSpecтин жоктугу
Алсыз тездик / Күчтүү тездик
Алсыз билдирүү:
Бул келишим коопсузбу?
Бул суроо AIны "ооба/жок" сыяктуу абсолюттук, негизсиз чечим чыгарууга мажбурлайт - так биз каалабаган нерсе.
Күчтүү билдирүү:
Сиздин ролуңуз: улук акылдуу контракт аудиторунун жардамчысы. Коопсуздук үчүн төмөнкү келишимди сканерлеңиз. Төмөнкү категорияларды бир-бирден өтүңүз: кайра кирүү, кирүүнү башкаруу, бүтүн операциялар, киргизүү валидациясы, oracle/тышкы маалыматтар, алдыңкы иштетүү, газ чеги. Ар бир ТАБЫЛУУ үчүн: (1) коддун тиешелүү сабы, (2) тобокелдиктин себеби, (3) болжолдуу оордук (Критикалык/Жогорку/Орто/Төмөн), (4) чечүү сунушу. Бул БИЛДИРҮҮ КЕРЕК ГИПОТЕЗАЛАР; "Коопсуз" өкүм чыгарбаңыз. "Аудитор ырастасын" деп так айта албаган жерлериңизди белгилеңиз.
Көчүрүү үчүн төрт шаблон
1) Категорияга негизделген серептөө:
Бул келишимди төмөнкү категориялар үчүн сканерлеңиз: кайра киргизүү, кирүү мүмкүнчүлүгүн көзөмөлдөө, бүтүн сандардын ашып кетиши, киргизүүнү текшерүү, Oracle көз карандылыгы, алдыңкы иштөө, DoS/газ. Ар бир категория үчүн "тобокел бар/жок/ишенбейм" деп айтыңыз жана өзүңүздүн негиздемеңизди коддогу сапка туташтырыңыз. Акыркы чечим чыгарбаңыз.
2) Кол салуучунун көз карашынан каршы гипотеза:
Чабуулчу сыяктуу ойлонуңуз: бул функцияны кыянаттык менен колдонуунун кандай жолдору бар? Ар бир сценарийди этап-этабы менен жазыңыз жана кандай шарттар талап кылынарын көрсөтүңүз. Бул сценарийлер текшериле турган гипотезалар; Чыныгы эксплуатация кодун жаратпаңыз, жөн гана тобокелчиликти сүрөттөп бериңиз.
3) корутундулардын отчетунун долбоору:
Аудиттин расмий тилинде төмөнкү текшерилген тыянакты билдириңиз: аталышы, катаалдыгы, сүрөттөлүшү, таасири, таасир эткен код, кайра чыгаруу кадамдары, сунушталган чечим. Ченемдик жана техникалык тилди колдонуу; апыртуу. Корутундуну аудитор тастыктады деп ойлойсуз, жаңы корутунду чыгарбаңыз.
4) Текшерүүнү оңдоо:
Төмөндө иштеп чыгуучу колдонгон кемчилик жана оңдоо. Оңдоо чындыгында алсыздыкты жабарын текшериңиз; ал жаңы терс таасир же аялуу жаратабы же жокпу, белгилеңиз. "жабык" деп так айтпаңыз; "Тест менен ырасталышы керек" менен бүтүрүңүз.
Үч мини иш (сан менен)
1-жагдай — AI категорияга секирүүнүн алдын алды. Аудитор 400 саптык келишимге көңүл буруп, oracle категориясын өткөрүп жибермекчи болгон. AI категориясын сканерлөө "баа маалыматтары бир булактан алынган, манипуляцияга ачык" деп эскертти. Аудитор аны карап чыгып, чындап эле тобокелдиктин орточо экенин аныктаган. Сабак: AI камтуу тартибин сактайт.
2-жагдай - Жалган "коопсуз" кепилдик. Башка команда AIдан "бул коопсузбу?" ал сурады; "Маанилүү көйгөй жок окшойт" деди AI. Экипаждын текшерүүсү жеңил болду. Андан кийин көз карандысыз аудитор бизнес-логикалык кемчиликти тапты: техникалык жактан туура, бирок стимулдары пайдаланыла турган эсептөө. Сабак: AI бизнес логикалык катасын сагынган; Ага "коопсуз" деп ишенүүгө болбойт.
3-жагдай — Отчетту түзүү 3 саат үнөмдөлдү. Аудитор 8 корутундуну кол менен отчет берүүгө жарым күн короткон. Мен текшерилген жыйынтыктарды AIга берип, расмий долбоорду басып чыгаргандан кийин, убакыт ~ 3 саатка кыскарды; Аудитор тереңдетүүгө убакыт бөлдү. Сабак: AI отчеттуулукта коопсуз жана эффективдүү, анткени жыйынтыктар адам тарабынан текшерилген.
Бизнес логикасынын аялуулугу: AIнын сокур жери
Эң кымбат алсыздыктар көбүнчө коддогу техникалык катадан эмес, бизнес логикасынын эксплуатациялоосунан келип чыгат: сыйлык эсебин тегеректөө, добуштарды флеш кредитти басып алуу, бааны заматта манипуляциялоо. Бул код "туура" иштеген учурлар, бирок протоколду экономикалык жактан алдаса болот. AI мындай каталарды, айрыкча, протоколго тиешелүү каталарды өткөрүп жибериши мүмкүн. Ошондуктан, бизнес-логиканы карап чыгуу - бул аудитордун эң көп адамдык чөйрөсү жана AIга эң аз көз каранды.
Кеңеш: AIдан "бул протоколдун экономикалык стимулдарын кантип колдонсо болот?" деп сураңыз. жана башталгыч чекит катары келип чыккан сценарийлерди колдонуңуз, бирок сиз жана сиздин командаңыз чыныгы талдоо жүргүзүүгө тийиш экенин унутпаңыз.
Жалпы каталар
- AIдан "бул коопсузбу?" Сиздин ообаңызга ишенүү жана суроо. Абсолюттук өкүм талап кылынбайт.
- AI "мен таба алган жокмун" деп айтканда, карап чыгууну токтотуу. Жоктук далил эмес.
- Бизнес логикасын кароону AIга тапшыруу. Бул анын эң чоң сокур жери.
- Көз карандысыз куралдарды колдонбоо (Slither ж.б.). Жалгыз AI жетишсиз.
- AI тарабынан жасалган тыянакты текшербестен отчетко киргизүү. Галлюцинация коркунучу.
- Башкаруу жоопкерчилигин AIга жүктөөгө аракет кылуу. Жоопкерчилик экспертке жүктөлөт.
Кыскача айтканда
- Аудит коопсуздук үчүн маанилүү; AI аудитордун чөйрөсүн кеңейтет, бирок аны алмаштырбайт.
- AI баштапкы аялуулугун жана бизнес логикалык мүчүлүштүктөрүн сагынат; "Коопсуз" деп айтуу кепилдик эмес.
- Жыйынтыктар оордук даражасына жараша классификацияланат; AI долбоорлорду түзүүдө пайдалуу.
- Каршы гипотеза жана категория скрининги киргизүү дисциплинасын сактайт.
- Акыркы бекитүү жана кесиптик жоопкерчилик ар дайым компетенттүү аудитордо.
Колдонмо тапшырмасы
Белгилүү аялуу жерин камтыган келишимдин үлгүсүн табыңыз (билим берүү максатында, "аялуу келишимдердин" мисалдары ачык булакта бар). AI үчүн "категорияга негизделген сканерлөө" сунушун колдонуңуз. AI: (1) чыныгы аялуу жерин таптыбы, (2) ойдон чыгарылган/жалган табылгаларды чыгардыбы, (3) "коопсуз" сыяктуу абсолюттук чечимдерди чыгарды. Андан кийин аны статикалык талдоо куралы менен салыштырыңыз.
текшерүү тизмеси
- [ ] AIдан "бул коопсузбу?" Анын ордуна, мен категорияга негизделген сканерден өттүм.
- [ ] Мен ар бир табылгага гипотеза катары мамиле кылдым.
- [ ] Мен бизнес логикасын өзүм/команда карап чыктым.
- [ ] Мен аны көз карандысыз статикалык талдоо куралы менен кайчылаш верификацияладым.
- [ ] Мен AI тыянактарды ойлоп чыгарбагандыгын тастыктадым.
- [ ] Мен жыйынтыктарды оордук даражасына жараша классификацияладым.
- [ ] Мен акыркы бекитүү компетенттүү аудитордо экенин кабыл алдым.