ਲਾਭ:
- ਇਹ ਸਮਝਣ ਦੀ ਯੋਗਤਾ ਕਿ ਨਕਲੀ ਬੁੱਧੀ ਆਡੀਟਰ ਦੇ ਦਾਇਰੇ ਦਾ ਵਿਸਤਾਰ ਕਰਦੀ ਹੈ, ਪਰ ਇਸਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ, ਅਤੇ ਸ਼੍ਰੇਣੀ ਸਕੈਨਿੰਗ ਅਤੇ ਡਰਾਫਟ ਲੱਭਣ ਵਿੱਚ ਉਪਯੋਗੀ ਹੈ।
- ਇਹ ਪਛਾਣਨ ਦੇ ਯੋਗ ਹੋਣਾ ਕਿ ਨਕਲੀ ਬੁੱਧੀ ਨੇ ਅਸਲ ਕਮਜ਼ੋਰੀ ਅਤੇ ਵਪਾਰਕ ਤਰਕ ਦੀ ਗਲਤੀ ਨੂੰ ਖੁੰਝਾਇਆ ਹੈ, ਅਤੇ ਇਹ ਕਿ ਇੱਕ ਪ੍ਰਵਾਹ 'ਸੁਰੱਖਿਅਤ' ਬਿਆਨ ਭਰੋਸਾ ਨਹੀਂ ਹੈ
- ਖੋਜਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਗੰਭੀਰਤਾ ਦੇ ਪੱਧਰ ਦੇ ਅਨੁਸਾਰ ਵਰਗੀਕ੍ਰਿਤ ਕਰਨ ਅਤੇ ਇਹ ਸਮਝਣ ਦੀ ਸਮਰੱਥਾ ਕਿ ਅੰਤਮ ਪ੍ਰਵਾਨਗੀ ਅਤੇ ਪੇਸ਼ੇਵਰ ਜ਼ਿੰਮੇਵਾਰੀ ਸਮਰੱਥ ਆਡੀਟਰ 'ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ।
ਸੁਰੱਖਿਆ ਆਡਿਟ (ਨਿਰਬਲਤਾਵਾਂ ਲਈ ਇੱਕ ਸਮਾਰਟ ਕੰਟਰੈਕਟ ਦੀ ਯੋਜਨਾਬੱਧ ਜਾਂਚ) Web3 ਦਾ ਸਭ ਤੋਂ ਜ਼ਿੰਮੇਵਾਰ ਕੰਮ ਹੈ। ਇੱਕ ਆਡੀਟਰ ਦੁਆਰਾ ਖੁੰਝੀ ਇੱਕ ਸਿੰਗਲ ਲਾਈਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਲੱਖਾਂ ਡਾਲਰ ਦਾ ਨੁਕਸਾਨ ਹੋ ਸਕਦਾ ਹੈ। ਇਸ ਯੂਨਿਟ ਵਿੱਚ ਤੁਸੀਂ ਸਿੱਖੋਗੇ ਕਿ ਇੱਕ ਆਡਿਟ ਸਹਾਇਕ ਵਜੋਂ AI ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕਰਨੀ ਹੈ; ਅਸੀਂ ਖੋਜਾਂ ਦੀ ਰੂਪਰੇਖਾ ਲਿਖਣ ਲਈ ਸੁਰਾਗ ਤਿਆਰ ਕਰਨ ਤੋਂ ਸਿੱਖਾਂਗੇ। ਪਰ ਸਭ ਤੋਂ ਨਾਜ਼ੁਕ ਵਾਕ ਇਹ ਹੈ: AI ਕੰਟਰੋਲ ਨਹੀਂ ਕਰਦਾ; ਇਹ ਇੱਕ ਸਹਾਇਕ ਹੈ ਜੋ ਆਡੀਟਰ ਦੀ ਅੱਖ ਨੂੰ ਤਿੱਖਾ ਕਰਦਾ ਹੈ। ਅੰਤਮ ਪ੍ਰਵਾਨਗੀ ਸਮਰੱਥ ਆਡੀਟਰ ਕੋਲ ਹੁੰਦੀ ਹੈ ਜੋ ਪੇਸ਼ੇਵਰ ਜ਼ਿੰਮੇਵਾਰੀ ਲੈਂਦਾ ਹੈ।
ਆਡਿਟਿੰਗ ਸੁਰੱਖਿਆ-ਨਾਜ਼ੁਕ ਕਿਉਂ ਹੈ
ਇੱਕ ਆਡਿਟ ਰਿਪੋਰਟ ਪ੍ਰੋਜੈਕਟ ਅਤੇ ਨਿਵੇਸ਼ਕਾਂ ਨੂੰ ਭਰੋਸਾ ਦਿਵਾਉਂਦੀ ਹੈ ਕਿ "ਇਸ ਕੋਡ ਦੀ ਸਮੀਖਿਆ ਕੀਤੀ ਗਈ ਹੈ।" ਜੇਕਰ ਇਹ ਭਰੋਸਾ ਗਲਤ ਹੈ, ਤਾਂ ਨਤੀਜੇ ਵਿਨਾਸ਼ਕਾਰੀ ਹਨ: ਸ਼ੋਸ਼ਣ ਪ੍ਰੋਟੋਕੋਲ, ਗੁੰਮ ਹੋਏ ਫੰਡ, ਢਹਿ-ਢੇਰੀ ਪ੍ਰੋਜੈਕਟ। ਇਸ ਲਈ, ਨਿਰੀਖਣ ਵਿੱਚ AI ਦੀ ਵਰਤੋਂ ਇਸ ਮੋਡੀਊਲ ਦਾ ਸਭ ਤੋਂ ਸਾਵਧਾਨ ਹਿੱਸਾ ਹੈ। AI ਆਡੀਟਰ ਦੇ ਦਾਇਰੇ ਦਾ ਵਿਸਤਾਰ ਕਰਦਾ ਹੈ (ਹੋਰ ਪੈਟਰਨਾਂ ਨੂੰ ਯਾਦ ਕਰਦਾ ਹੈ, ਤੇਜ਼ੀ ਨਾਲ ਪੜ੍ਹਦਾ ਹੈ) ਪਰ ਆਡੀਟਰ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ।
ਇਹ ਪਾਸ ਕਿਉਂ ਨਹੀਂ ਹੁੰਦਾ? ਕਿਉਂਕਿ:
- AI ਵਿਲੱਖਣ/ਨਵੀਂ ਕਮਜ਼ੋਰੀ ਨੂੰ ਨਹੀਂ ਦੇਖ ਸਕਦਾ ਜੋ ਸਿਖਲਾਈ ਡੇਟਾ ਵਿੱਚ ਨਹੀਂ ਹੈ।
- AI ਅਕਸਰ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਵਪਾਰਕ ਤਰਕ ਵਿੱਚ ਨੁਕਸ ਨੂੰ ਖੁੰਝਦਾ ਹੈ-ਕਿ ਕੋਡ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਸਹੀ ਹੈ ਪਰ ਆਰਥਿਕ ਤੌਰ 'ਤੇ ਸ਼ੋਸ਼ਣਯੋਗ ਹੈ।
- AI ਚੰਗੀ ਭਾਸ਼ਾ ਵਿੱਚ "ਸੁਰੱਖਿਅਤ" ਕਹਿ ਕੇ ਝੂਠਾ ਭਰੋਸਾ ਦੇ ਸਕਦਾ ਹੈ; ਇਹ ਸਭ ਤੋਂ ਖਤਰਨਾਕ ਨਤੀਜਾ ਹੈ।
ਨਿਯੰਤਰਣ ਵਿੱਚ AI ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀਆਂ ਪਰਤਾਂ
1. ਸ਼ੁਰੂਆਤੀ ਸਕੈਨ ਅਤੇ ਪੈਟਰਨ ਰੀਮਾਈਂਡਰ। AI ਇੱਕ ਚੈੱਕਲਿਸਟ ਵਰਗੇ ਜਾਣੇ-ਪਛਾਣੇ ਕਮਜ਼ੋਰ ਪੈਟਰਨਾਂ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ: ਮੁੜ-ਪ੍ਰਵੇਸ਼, ਪਹੁੰਚ ਨਿਯੰਤਰਣ, ਓਰੇਕਲ ਹੇਰਾਫੇਰੀ, ਫਰੰਟ-ਰਨਿੰਗ। ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਆਡੀਟਰ ਕਿਸੇ ਵੀ ਸ਼੍ਰੇਣੀ ਤੋਂ ਖੁੰਝਦਾ ਨਹੀਂ ਹੈ।
2. ਕੋਡ ਦੀ ਵਿਆਖਿਆ। ਏਆਈ ਨੂੰ ਸਾਦੀ ਭਾਸ਼ਾ ਵਿੱਚ ਇੱਕ ਗੁੰਝਲਦਾਰ ਫੰਕਸ਼ਨ ਦੀ ਵਿਆਖਿਆ ਕਰਨ ਨਾਲ ਆਡੀਟਰ ਨੂੰ ਤਰਕ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਸਮਝਣ ਦੀ ਆਗਿਆ ਮਿਲਦੀ ਹੈ; ਪਰ ਵਰਣਨ ਦੀ ਤੁਲਨਾ ਹਮੇਸ਼ਾ ਕੋਡ ਨਾਲ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
3. ਖੋਜਾਂ ਦਾ ਖਰੜਾ ਲਿਖਣਾ। ਜਦੋਂ ਆਡੀਟਰ ਨੂੰ ਕੋਈ ਕਮਜ਼ੋਰੀ ਮਿਲਦੀ ਹੈ, ਤਾਂ AI ਰਿਪੋਰਟ ਦਾ ਖਰੜਾ ਲਿਖਣ ਵਿੱਚ ਸਮਾਂ ਬਚਾਉਂਦਾ ਹੈ (ਵਰਣਨ, ਪ੍ਰਭਾਵ, ਪ੍ਰਸਤਾਵਿਤ ਹੱਲ)।
4. ਵਿਰੋਧੀ ਪਰਿਕਲਪਨਾ ਪੈਦਾ ਕਰਨਾ। AI ਨੂੰ ਪੁੱਛੋ "ਇਸ ਫੰਕਸ਼ਨ ਨੂੰ ਕਿਵੇਂ ਦੁਰਵਿਵਹਾਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ?" ਪੁੱਛਣਾ "ਸਾਨੂੰ ਹਮਲਾਵਰ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਦੀ ਯਾਦ ਦਿਵਾਉਂਦਾ ਹੈ।
ਧਿਆਨ ਦਿਓ: ਕਿਉਂਕਿ AI ਕਹਿੰਦਾ ਹੈ "ਮੈਨੂੰ ਇਸ ਕੋਡ ਵਿੱਚ ਕੋਈ ਕਮਜ਼ੋਰੀ ਨਹੀਂ ਮਿਲੀ" ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ "ਇਹ ਕੋਡ ਸੁਰੱਖਿਅਤ ਹੈ"। ਗੈਰਹਾਜ਼ਰੀ ਦਾ ਸਬੂਤ ਸਬੂਤ ਦੀ ਅਣਹੋਂਦ ਨਹੀਂ ਹੈ। ਇਹ ਤੱਥ ਕਿ AI ਕੁਝ ਨਹੀਂ ਲੱਭ ਸਕਦਾ, ਆਡੀਟਰ ਲਈ ਉਸ ਖੇਤਰ ਦੀ ਜਾਂਚ ਕਰਨਾ ਬੇਲੋੜਾ ਨਹੀਂ ਬਣਾਉਂਦਾ.
ਗੰਭੀਰਤਾ ਦੇ ਪੱਧਰਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣਾ
ਆਡਿਟ ਖੋਜਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਤੀਬਰਤਾ ਦੇ ਪੱਧਰ ਦੇ ਅਨੁਸਾਰ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ। ਡਰਾਫਟ ਤਿਆਰ ਕਰਨ ਵੇਲੇ AI ਨੂੰ ਇਸ ਫਰੇਮਵਰਕ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:
ਪੱਧਰ
ਭਾਵ
ਉਦਾਹਰਨ
ਨਾਜ਼ੁਕ
ਫੰਡ ਦਾ ਨੁਕਸਾਨ/ਲਾਕਆਊਟ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਸੰਭਵ ਹੈ
ਪੁਨਰ-ਪ੍ਰਵੇਸ਼ ਨਾਲ ਫੰਡ ਕਢਵਾਉਣਾ
ਉੱਚ
ਕੁਝ ਸਥਿਤੀਆਂ ਵਿੱਚ ਗੰਭੀਰ ਪ੍ਰਭਾਵ
ਅਣਅਧਿਕਾਰਤ ਛਪਾਈ (ਟਕਸਾਲ)
ਮੱਧਮ
ਸੀਮਤ ਪ੍ਰਭਾਵ ਜਾਂ ਮੁਸ਼ਕਲ ਸਥਿਤੀ
ਓਰੇਕਲ ਵਿਵਹਾਰ ਨਾਲ ਛੋਟਾ ਨੁਕਸਾਨ
ਘੱਟ
ਮਾਮੂਲੀ ਜੋਖਮ, ਚੰਗੇ ਅਭਿਆਸ ਦੀ ਉਲੰਘਣਾ
ਗੁੰਮ ਇਵੈਂਟ ਪ੍ਰਸਾਰਣ
ਜਾਣਕਾਰੀ
ਗੈਰ-ਸੁਰੱਖਿਆ, ਪੜ੍ਹਨਯੋਗਤਾ
NatSpec ਦੀ ਘਾਟ
ਕਮਜ਼ੋਰ ਪ੍ਰੋਂਪਟ / ਮਜ਼ਬੂਤ ਪ੍ਰੋਂਪਟ
ਕਮਜ਼ੋਰ ਪ੍ਰੋਂਪਟ:
ਕੀ ਇਹ ਇਕਰਾਰਨਾਮਾ ਸੁਰੱਖਿਅਤ ਹੈ?
ਇਹ ਸਵਾਲ AI ਨੂੰ "ਹਾਂ/ਨਹੀਂ" ਵਰਗਾ ਨਿਰੋਲ, ਗੈਰ-ਜ਼ਰੂਰੀ ਨਿਰਣਾ ਕਰਨ ਲਈ ਮਜ਼ਬੂਰ ਕਰਦਾ ਹੈ — ਬਿਲਕੁਲ ਉਹੀ ਜੋ ਅਸੀਂ ਨਹੀਂ ਚਾਹੁੰਦੇ।
ਸ਼ਕਤੀਸ਼ਾਲੀ ਪ੍ਰਾਉਟ:
ਤੁਹਾਡੀ ਭੂਮਿਕਾ: ਸੀਨੀਅਰ ਸਮਾਰਟ ਕੰਟਰੈਕਟ ਆਡੀਟਰ ਦਾ ਸਹਾਇਕ। ਸੁਰੱਖਿਆ ਲਈ ਹੇਠਾਂ ਦਿੱਤੇ ਇਕਰਾਰਨਾਮੇ ਨੂੰ ਸਕੈਨ ਕਰੋ। ਹੇਠ ਲਿਖੀਆਂ ਸ਼੍ਰੇਣੀਆਂ ਨੂੰ ਇੱਕ-ਇੱਕ ਕਰਕੇ ਵੇਖੋ: ਪੁਨਰ-ਪ੍ਰਵੇਸ਼, ਪਹੁੰਚ ਨਿਯੰਤਰਣ, ਪੂਰਨ ਅੰਕ ਕਾਰਜ, ਇਨਪੁਟ ਪ੍ਰਮਾਣਿਕਤਾ, ਓਰੇਕਲ/ਬਾਹਰੀ ਡੇਟਾ, ਫਰੰਟ-ਰਨਿੰਗ, ਗੈਸ ਸੀਮਾ। ਹਰੇਕ ਖੋਜ ਲਈ: (1) ਕੋਡ ਦੀ ਸੰਬੰਧਿਤ ਲਾਈਨ, (2) ਜੋਖਮ ਦਾ ਕਾਰਨ, (3) ਅਨੁਮਾਨਿਤ ਗੰਭੀਰਤਾ (ਨਾਜ਼ੁਕ/ਉੱਚ/ਮੱਧਮ/ਘੱਟ), (4) ਹੱਲ ਪ੍ਰਸਤਾਵ। ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕਲਪਨਾ ਹਨ; "ਸੁਰੱਖਿਅਤ" ਫੈਸਲਾ ਨਾ ਦਿਓ। ਉਹਨਾਂ ਖੇਤਰਾਂ ਨੂੰ ਚਿੰਨ੍ਹਿਤ ਕਰੋ ਜਿਨ੍ਹਾਂ ਬਾਰੇ ਤੁਸੀਂ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਯਕੀਨੀ ਨਹੀਂ ਹੋ ਕਿ "ਆਡੀਟਰ ਨੂੰ ਪੁਸ਼ਟੀ ਕਰਨ ਦਿਓ"।
ਚਾਰ ਕਾਪੀ ਕਰਨ ਯੋਗ ਟੈਂਪਲੇਟ
1) ਸ਼੍ਰੇਣੀ ਆਧਾਰਿਤ ਬ੍ਰਾਊਜ਼ਿੰਗ:
ਹੇਠ ਲਿਖੀਆਂ ਸ਼੍ਰੇਣੀਆਂ ਲਈ ਇਸ ਇਕਰਾਰਨਾਮੇ ਨੂੰ ਸਕੈਨ ਕਰੋ: ਪੁਨਰ-ਪ੍ਰਵੇਸ਼, ਪਹੁੰਚ ਨਿਯੰਤਰਣ, ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ, ਇਨਪੁਟ ਪ੍ਰਮਾਣਿਕਤਾ, ਓਰੇਕਲ ਨਿਰਭਰਤਾ, ਫਰੰਟ-ਰਨਿੰਗ, ਡੀਓਐਸ/ਗੈਸ। ਹਰੇਕ ਸ਼੍ਰੇਣੀ ਲਈ, ਕਹੋ "ਕੋਈ ਖਤਰਾ ਨਹੀਂ ਹੈ/ਮੈਨੂੰ ਪੱਕਾ ਪਤਾ ਨਹੀਂ ਹੈ" ਅਤੇ ਕੋਡ ਵਿਚਲੀ ਲਾਈਨ ਨਾਲ ਆਪਣੀ ਉਚਿਤਤਾ ਨੂੰ ਜੋੜੋ। ਅੰਤਮ ਨਿਰਣਾ ਨਾ ਕਰੋ।
2) ਹਮਲਾਵਰ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਪ੍ਰਤੀਕੂਲ ਧਾਰਨਾ:
ਇੱਕ ਹਮਲਾਵਰ ਵਾਂਗ ਸੋਚੋ: ਇਸ ਫੰਕਸ਼ਨ ਦੀ ਦੁਰਵਰਤੋਂ ਕਰਨ ਦੇ ਕਿਹੜੇ ਤਰੀਕੇ ਹਨ? ਹਰੇਕ ਦ੍ਰਿਸ਼ ਨੂੰ ਕਦਮ ਦਰ ਕਦਮ ਲਿਖੋ ਅਤੇ ਦੱਸੋ ਕਿ ਕਿਹੜੀਆਂ ਸ਼ਰਤਾਂ ਦੀ ਲੋੜ ਹੈ। ਇਹ ਦ੍ਰਿਸ਼ ਪਰਖ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਅਨੁਮਾਨ ਹਨ; ਅਸਲ ਸ਼ੋਸ਼ਣ ਕੋਡ ਤਿਆਰ ਨਾ ਕਰੋ, ਸਿਰਫ ਜੋਖਮ ਦਾ ਵਰਣਨ ਕਰੋ।
3) ਡਰਾਫਟ ਖੋਜ ਰਿਪੋਰਟ:
Report the following verified finding in formal audit language: title, severity, description, impact, affected code, steps to reproduce, proposed solution. ਮਾਪੀ ਅਤੇ ਤਕਨੀਕੀ ਭਾਸ਼ਾ ਦੀ ਵਰਤੋਂ ਕਰੋ; ਅਤਿਕਥਨੀ ਮੰਨ ਲਓ ਖੋਜ ਆਡੀਟਰ ਦੁਆਰਾ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ, ਕੋਈ ਨਵੀਂ ਖੋਜ ਨਾ ਬਣਾਓ।
4) Fix verification:
ਹੇਠਾਂ ਇੱਕ ਕਮਜ਼ੋਰੀ ਅਤੇ ਡਿਵੈਲਪਰ ਦੁਆਰਾ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਫਿਕਸ ਹੈ। ਜਾਂਚ ਕਰੋ ਕਿ ਕੀ ਫਿਕਸ ਅਸਲ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਨੂੰ ਬੰਦ ਕਰਦਾ ਹੈ; ਨਿਸ਼ਾਨ ਲਗਾਓ ਕਿ ਕੀ ਇਹ ਇੱਕ ਨਵਾਂ ਮਾੜਾ ਪ੍ਰਭਾਵ ਜਾਂ ਕਮਜ਼ੋਰੀ ਬਣਾਉਂਦਾ ਹੈ। ਯਕੀਨੀ ਤੌਰ 'ਤੇ "ਬੰਦ" ਨਾ ਕਹੋ; "ਟੈਸਟ ਦੁਆਰਾ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ" ਨਾਲ ਸਮਾਪਤ ਕਰੋ।
ਤਿੰਨ ਛੋਟੇ ਕੇਸ (ਸੰਖਿਆ ਵਿੱਚ)
ਕੇਸ 1 — AI ਨੇ ਸ਼੍ਰੇਣੀ ਨੂੰ ਹੌਪਿੰਗ ਤੋਂ ਰੋਕਿਆ। ਇੱਕ ਆਡੀਟਰ 400-ਲਾਈਨ ਦੇ ਇਕਰਾਰਨਾਮੇ 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨ ਅਤੇ ਓਰੇਕਲ ਸ਼੍ਰੇਣੀ ਨੂੰ ਛੱਡਣ ਵਾਲਾ ਸੀ। ਏਆਈ ਦੇ ਸ਼੍ਰੇਣੀ ਸਕੈਨ ਨੇ ਇੱਕ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਹੈ ਕਿ "ਕੀਮਤ ਡੇਟਾ ਇੱਕ ਸਿੰਗਲ ਸਰੋਤ ਤੋਂ ਹੈ, ਹੇਰਾਫੇਰੀ ਲਈ ਖੁੱਲ੍ਹਾ ਹੈ"। ਆਡੀਟਰ ਨੇ ਇਸਦੀ ਜਾਂਚ ਕੀਤੀ ਅਤੇ ਪਾਇਆ ਕਿ ਇਹ ਅਸਲ ਵਿੱਚ ਇੱਕ ਮੱਧਮ ਜੋਖਮ ਸੀ। ਪਾਠ: AI ਕਵਰੇਜ ਅਨੁਸ਼ਾਸਨ ਨੂੰ ਕਾਇਮ ਰੱਖਦਾ ਹੈ।
ਕੇਸ 2 - ਝੂਠਾ "ਸੁਰੱਖਿਅਤ" ਭਰੋਸਾ। ਇੱਕ ਹੋਰ ਟੀਮ ਨੇ AI ਨੂੰ ਪੁੱਛਿਆ, "ਕੀ ਇਹ ਸੁਰੱਖਿਅਤ ਹੈ?" ਉਸਨੇ ਪੁੱਛਿਆ; “ਇੱਥੇ ਕੋਈ ਮਹੱਤਵਪੂਰਨ ਸਮੱਸਿਆ ਨਹੀਂ ਜਾਪਦੀ,” ਏਆਈ ਨੇ ਕਿਹਾ। ਚਾਲਕ ਦਲ ਦਾ ਨਿਰੀਖਣ ਹਲਕਾ ਸੀ. ਫਿਰ ਸੁਤੰਤਰ ਆਡੀਟਰ ਨੇ ਇੱਕ ਵਪਾਰਕ-ਤਰਕ ਨੁਕਸ ਲੱਭਿਆ: ਇੱਕ ਗਣਨਾ ਜੋ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਸਹੀ ਸੀ ਪਰ ਜਿਸ ਦੇ ਪ੍ਰੋਤਸਾਹਨ ਸ਼ੋਸ਼ਣਯੋਗ ਸਨ। ਸਬਕ: AI ਕਾਰੋਬਾਰੀ ਤਰਕ ਗਲਤੀ ਨੂੰ ਖੁੰਝਾਉਂਦਾ ਹੈ; ਉਸਨੂੰ "ਸੁਰੱਖਿਅਤ" ਕਹਿਣ ਲਈ ਭਰੋਸਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ।
ਕੇਸ 3 - ਰਿਪੋਰਟ ਦਾ ਖਰੜਾ ਤਿਆਰ ਕਰਨ ਵਿੱਚ 3 ਘੰਟੇ ਬਚੇ। ਆਡੀਟਰ 8 ਖੋਜਾਂ ਦੀ ਰਿਪੋਰਟ ਕਰਨ ਲਈ ਅੱਧਾ ਦਿਨ ਬਿਤਾਉਂਦਾ ਸੀ। ਇੱਕ ਵਾਰ ਜਦੋਂ ਮੈਂ AI ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਖੋਜਾਂ ਦਿੱਤੀਆਂ ਅਤੇ ਅਧਿਕਾਰਤ ਡਰਾਫਟ ਛਾਪਿਆ, ਤਾਂ ਸਮਾਂ ~3 ਘੰਟੇ ਘਟ ਗਿਆ; ਆਡੀਟਰ ਨੇ ਡੂੰਘਾਈ ਲਈ ਸਮਾਂ ਦਿੱਤਾ. ਸਬਕ: AI ਰਿਪੋਰਟਿੰਗ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਅਤੇ ਕੁਸ਼ਲ ਹੈ ਕਿਉਂਕਿ ਖੋਜਾਂ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਮਨੁੱਖੀ ਤੌਰ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਗਿਆ ਹੈ।
ਕਾਰੋਬਾਰੀ ਤਰਕ ਦੀ ਕਮਜ਼ੋਰੀ: ਏਆਈ ਦਾ ਅੰਨ੍ਹਾ ਸਥਾਨ
ਸਭ ਤੋਂ ਮਹਿੰਗੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਅਕਸਰ ਕੋਡ ਵਿੱਚ ਤਕਨੀਕੀ ਗਲਤੀ ਤੋਂ ਨਹੀਂ ਆਉਂਦੀਆਂ, ਪਰ ਵਪਾਰਕ ਤਰਕ ਦੀ ਸ਼ੋਸ਼ਣ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ: ਇੱਕ ਇਨਾਮ ਖਾਤੇ ਦਾ ਗੋਲਾਕਾਰ ਸ਼ੋਸ਼ਣ, ਇੱਕ ਵੋਟ ਦਾ ਫਲੈਸ਼ ਲੋਨ ਹਾਈਜੈਕ ਕਰਨਾ, ਇੱਕ ਕੀਮਤ ਵਿੱਚ ਤੁਰੰਤ ਹੇਰਾਫੇਰੀ। ਇਹ ਉਹ ਕੇਸ ਹਨ ਜਿੱਥੇ ਕੋਡ "ਸਹੀ ਢੰਗ ਨਾਲ" ਕੰਮ ਕਰਦਾ ਹੈ ਪਰ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਆਰਥਿਕ ਤੌਰ 'ਤੇ ਧੋਖਾ ਦਿੱਤਾ ਜਾ ਸਕਦਾ ਹੈ। AI ਦੀਆਂ ਅਜਿਹੀਆਂ ਗਲਤੀਆਂ ਨੂੰ ਖੁੰਝਣ ਦੀ ਸੰਭਾਵਨਾ ਹੈ-ਖਾਸ ਤੌਰ 'ਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਗਲਤੀਆਂ। Therefore, business logic review is the most human-intensive area of the auditor and the least reliant on AI.
ਸੰਕੇਤ: AI ਨੂੰ ਪੁੱਛੋ "ਇਸ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਆਰਥਿਕ ਪ੍ਰੋਤਸਾਹਨ ਦਾ ਸ਼ੋਸ਼ਣ ਕਿਵੇਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ?" ਅਤੇ ਸ਼ੁਰੂਆਤੀ ਬਿੰਦੂ ਦੇ ਤੌਰ 'ਤੇ ਆਉਣ ਵਾਲੇ ਦ੍ਰਿਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ — ਪਰ ਯਾਦ ਰੱਖੋ ਕਿ ਤੁਹਾਨੂੰ ਅਤੇ ਤੁਹਾਡੀ ਟੀਮ ਨੂੰ ਅਸਲ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।
ਆਮ ਗਲਤੀਆਂ
- AI ਨੂੰ ਪੁੱਛੋ "ਕੀ ਇਹ ਸੁਰੱਖਿਅਤ ਹੈ?" ਪੁੱਛਣਾ ਅਤੇ ਤੁਹਾਡੀ ਹਾਂ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ। ਪੂਰਨ ਨਿਰਣੇ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ।
- ਸਮੀਖਿਆ ਨੂੰ ਰੋਕਣਾ ਜਦੋਂ AI ਕਹਿੰਦਾ ਹੈ "ਮੈਨੂੰ ਇਹ ਨਹੀਂ ਮਿਲਿਆ"। ਗੈਰਹਾਜ਼ਰੀ ਸਬੂਤ ਨਹੀਂ ਹੈ।
- AI ਨੂੰ ਕਾਰੋਬਾਰੀ ਤਰਕ ਸਮੀਖਿਆ ਸੌਂਪਣਾ। ਇਹ ਉਸਦਾ ਸਭ ਤੋਂ ਵੱਡਾ ਅੰਨ੍ਹਾ ਸਥਾਨ ਹੈ।
- ਸੁਤੰਤਰ ਟੂਲ (ਸਲਿਥਰ ਆਦਿ) ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ। ਇਕੱਲਾ AI ਕਾਫੀ ਨਹੀਂ ਹੈ।
- Putting the finding made up by the AI into the report without verifying it. ਭਰਮ ਦਾ ਖ਼ਤਰਾ।
- AI 'ਤੇ ਨਿਯੰਤਰਣ ਦੀ ਜ਼ਿੰਮੇਵਾਰੀ ਪਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਿਹਾ ਹੈ। ਜ਼ਿੰਮੇਵਾਰੀ ਮਾਹਰ ਦੀ ਹੈ.
ਸੰਖੇਪ ਵਿੱਚ
- ਆਡਿਟ ਸੁਰੱਖਿਆ-ਨਾਜ਼ੁਕ ਹੈ; AI ਆਡੀਟਰ ਦੇ ਦਾਇਰੇ ਦਾ ਵਿਸਤਾਰ ਕਰਦਾ ਹੈ ਪਰ ਇਸਨੂੰ ਬਦਲਦਾ ਨਹੀਂ ਹੈ।
- AI ਅਸਲ ਕਮਜ਼ੋਰੀ ਅਤੇ ਵਪਾਰਕ ਤਰਕ ਬੱਗ ਨੂੰ ਖੁੰਝਾਉਂਦਾ ਹੈ; "ਸੁਰੱਖਿਅਤ" ਕਹਿਣਾ ਭਰੋਸਾ ਨਹੀਂ ਹੈ।
- Findings are classified according to severity level; AI ਡਰਾਫਟ ਬਣਾਉਣ ਵਿੱਚ ਉਪਯੋਗੀ ਹੈ।
- ਕਾਊਂਟਰ-ਪਰਿਕਲਪਨਾ ਅਤੇ ਸ਼੍ਰੇਣੀ ਸਕ੍ਰੀਨਿੰਗ ਸ਼ਾਮਲ ਕਰਨ ਦੇ ਅਨੁਸ਼ਾਸਨ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਦੇ ਹਨ।
- ਅੰਤਮ ਪ੍ਰਵਾਨਗੀ ਅਤੇ ਪੇਸ਼ੇਵਰ ਜ਼ਿੰਮੇਵਾਰੀ ਹਮੇਸ਼ਾ ਸਮਰੱਥ ਆਡੀਟਰ ਦੇ ਨਾਲ ਹੁੰਦੀ ਹੈ।
ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਕੰਮ
ਇੱਕ ਨਮੂਨਾ ਇਕਰਾਰਨਾਮਾ ਲੱਭੋ ਜਿਸ ਵਿੱਚ ਇੱਕ ਜਾਣੀ-ਪਛਾਣੀ ਕਮਜ਼ੋਰੀ ਹੈ (ਵਿਦਿਅਕ ਉਦੇਸ਼ਾਂ ਲਈ, "ਕਮਜ਼ੋਰ ਕੰਟਰੈਕਟ" ਦੀਆਂ ਉਦਾਹਰਣਾਂ ਓਪਨ ਸੋਰਸ ਵਿੱਚ ਉਪਲਬਧ ਹਨ)। AI 'ਤੇ "ਸ਼੍ਰੇਣੀ ਆਧਾਰਿਤ ਸਕੈਨਿੰਗ" ਪ੍ਰੋਂਪਟ ਨੂੰ ਲਾਗੂ ਕਰੋ। ਨੋਟ ਕਰੋ ਕਿ ਕੀ AI: (1) ਨੇ ਅਸਲ ਕਮਜ਼ੋਰੀ ਲੱਭੀ ਹੈ, (2) ਮਨਘੜਤ/ਝੂਠੀਆਂ ਖੋਜਾਂ ਪੈਦਾ ਕੀਤੀਆਂ ਹਨ, (3) "ਸੁਰੱਖਿਅਤ" ਵਰਗੇ ਪੂਰਨ ਨਿਰਣੇ ਕੀਤੇ ਹਨ। Then compare it with a static analysis tool.
ਚੈੱਕਲਿਸਟ
- [ ] AI ਨੂੰ ਪੁੱਛੋ "ਕੀ ਇਹ ਸੁਰੱਖਿਅਤ ਹੈ?" ਇਸਦੀ ਬਜਾਏ, ਮੇਰੇ ਕੋਲ ਇੱਕ ਸ਼੍ਰੇਣੀ-ਅਧਾਰਿਤ ਸਕੈਨ ਸੀ.
- [ ] ਮੈਂ ਹਰੇਕ ਖੋਜ ਨੂੰ ਇੱਕ ਪਰਿਕਲਪਨਾ ਦੇ ਰੂਪ ਵਿੱਚ ਮੰਨਿਆ।
- [ ] ਮੈਂ ਆਪਣੇ ਆਪ/ਟੀਮ ਦੀ ਵਪਾਰਕ ਤਰਕ ਦੀ ਸਮੀਖਿਆ ਕੀਤੀ।
- [ ] ਮੈਂ ਇਸਨੂੰ ਇੱਕ ਸੁਤੰਤਰ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਹੈ।
- [ ] ਮੈਂ ਪੁਸ਼ਟੀ ਕੀਤੀ ਹੈ ਕਿ AI ਖੋਜਾਂ ਨੂੰ ਨਹੀਂ ਘੜਦਾ ਹੈ।
- [ ] ਮੈਂ ਖੋਜਾਂ ਨੂੰ ਗੰਭੀਰਤਾ ਦੇ ਪੱਧਰ ਦੇ ਅਨੁਸਾਰ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਹੈ।
- [ ] ਮੈਂ ਸਵੀਕਾਰ ਕੀਤਾ ਕਿ ਅੰਤਿਮ ਪ੍ਰਵਾਨਗੀ ਸਮਰੱਥ ਆਡੀਟਰ ਕੋਲ ਹੈ।