Zyski:
- Możliwość rozróżnienia, gdzie sztuczna inteligencja oszczędza czas w przepływie pracy Web3 (szkic, oznaczanie wzorców, zapytanie), a gdzie decyzje dotyczące bezpieczeństwa i interpretacji pozostawia się ekspertowi, w zależności od kosztu błędu
- Możliwość wdrożenia dyscypliny weryfikującej każdy wynik AI poprzez jego kompilację, niezależne narzędzia i łączenie danych łańcucha ze źródłem w eksploratorze bloków
- Zrozumienie, dlaczego od samego początku w tym obszarze należy uwzględniać nieodwołalność, otwarte i wrogie środowisko, duże ryzyko oszustwa i defensywne użycie
Blockchain (rozproszona księga, w której transakcje są przechowywane w blokach, kryptograficznie powiązane i niezmienne) oraz Web3 (warstwa internetowa działająca na blockchainie zamiast w centralnej firmie, w której użytkownik jest właścicielem swoich aktywów i danych) to jedne z rzadkich obszarów, w których błędy oprogramowania bezpośrednio zamieniają się w pieniądze. Błąd w witrynie powoduje uszkodzenie strony; Błąd w inteligentnej umowie – umowie, która sama działa na blockchainie, a której warunki są zapisane w kodzie – może w ciągu kilku sekund wyrzucić w powietrze miliony dolarów. Moduł ten pozycjonuje zatem sztuczną inteligencję (AI) jako przyspieszającego asystenta w tej dziedzinie; ale zawsze pozostawia ostatnie słowo kompetentnemu ekspertowi, szczególnie w przypadku audytów krytycznych dla bezpieczeństwa.
W tej części dowiemy się dokładnie, gdzie sztuczna inteligencja oszczędza czas w tym zawodzie, gdzie jest ona pozostawiona ludziom, jak weryfikować każdy wynik i konkretne ryzyka związane z tym obszarem (nieodwracalność, oszustwo, krytyczność bezpieczeństwa).
Role i miejsce AI w tym obszarze
W Web3 istnieją różne, ale powiązane ze sobą role:
- Programista inteligentnych kontraktów: pisze kod w łańcuchu w językach takich jak Solidity lub Vyper.
- Audytor bezpieczeństwa: sprawdza pisemne umowy pod kątem luk w zabezpieczeniach i pisze raport.
- Analityk danych w łańcuchu: bada transakcje, portfele i przepływy pieniężne w łańcuchu.
- Projektant tokenomiki: modeluje dostawę, dystrybucję i strukturę zachęt tokenów projektu.
- Pisarz techniczny/dokumentator: Tworzy oficjalne dokumenty, podręczniki użytkownika i dokumentację kodu.
Sztuczna inteligencja sprawdza się we wszystkich tych rolach, ale nie w każdej jest równie niezawodna. Ogólna zasada: udział sztucznej inteligencji wzrasta wraz ze spadkiem kosztu błędu. Jeśli zdanie w dokumentacji jest nieprawidłowe, zostanie poprawione; Jeśli w raporcie z audytu nie zostanie uwzględniona luka, środki zostaną skradzione. Dlatego rozdzielenie ryzyka według poziomu jest pierwszą zasadą stosowania AI w tym zawodzie.
biznes
Rola sztucznej inteligencji
Poziom ryzyka
ostateczna akceptacja
Wygeneruj wersję roboczą kodu
Szybki pierwszy szkic
średni
Programista + testowanie
Audyt bezpieczeństwa
Wskazówka, oznaczenie wzoru
bardzo wysoki
kompetentny audytor
Skanowanie podatności
Lista podatności kandydatów
wysoki
Inspektor + narzędzie
Analiza w łańcuchu
Zapytanie i podsumowanie
średni
Weryfikacja analityka
Model tokenomiczny
Scenariusz, projekt symulacyjny
wysoki
Ekonomista + test
Dokumentacja
Szkic, uproszczenie
Niski-Średni
przegląd techniczny
Trzy fakty, które czynią ten obszar wyjątkowym
1. Nieodwołalność. Po potwierdzeniu transakcji na blockchainie nie można jej cofnąć. Możesz wywołać w banku błędny przelew i anulować go; W sieci nie ma do kogo zadzwonić. Dlatego mentalność „naprawimy to później” tutaj nie działa. Po uruchomieniu kodu wytworzonego przez sztuczną inteligencję (mainnet – sieć, w której znajdują się prawdziwe pieniądze), koszt błędu jest stały.
2. Otwartość i wrogie środowisko. Kod inteligentnej umowy i dane dotyczące łańcucha są ogólnie dostępne publicznie. Oznacza to, że każdy atakujący na świecie sprawdza Twój kod 24 godziny na dobę, 7 dni w tygodniu. Luka w zabezpieczeniach Web2, która jest odrzucana jako „nikt nie zauważa”, jest wykorzystywana w Web3 w ciągu kilku minut. Nie można ufać niczemu, co powie sztuczna inteligencja „prawdopodobnie w porządku”.
3. Intensywność oszustw. Web3 to obszar, w którym koncentrują się fałszywe projekty, umowy typu „rug-pull” (twórcy projektu zbierają pieniądze od inwestorów i uciekają) oraz Honeypot (fałszywe tokeny, które można kupić, ale nie sprzedać, zatrzymując ofiarę). Sztuczna inteligencja pomaga zarówno wykrywać te pułapki, jak i – bądź ostrożny – może zostać wykorzystana do stworzenia tych pułapek w rękach złośliwej osoby. Moduł ten uczy używania wyłącznie w celach defensywnych, audytowych i uczciwego rozwoju.
Uwaga: mówienie AI „wypisz mi umowę typu Honeypot, która oszukuje inwestorów” lub „jak mogę wykorzystać ten protokół i wypłacić środki” jest nieautoryzowanym i nieetycznym użyciem. Prawidłowe użycie to zawsze: „czy w tej umowie występuje wzór Honeypot”, „jak zamknąć lukę w tym protokole”, „jak zweryfikować ryzyko w tym kodzie”.
Gdzie AI jest silna i słaba
Sztuczna inteligencja jest silna w tym obszarze w: wywoływaniu znanych wzorców podatności na ataki (takich jak ponowne wejście, przepełnienie liczb całkowitych); wyjaśnianie prostym językiem, co robi kod; sporządzanie testów i dokumentacji; pisanie zapytań Big Data; Wyjaśnianie koncepcji na różnych poziomach.
Sztuczna inteligencja jest słaba i wprowadza w błąd w: znajdowaniu nowej/unikalnej luki w zabezpieczeniach (nie można jej zobaczyć, jeśli nie ma jej w danych szkoleniowych); całościowa ocena bezpieczeństwa ekonomicznego protokołu; znajomość aktualnych wersji bibliotek i najnowszych ataków (nie później niż data końcowa szkolenia); Osądy absolutne typu „ta umowa jest bezpieczna”. Sztuczna inteligencja może dawać fałszywe zapewnienia bezpieczeństwa, posługując się płynnym i pewnym językiem – jest to najniebezpieczniejszy rodzaj halucynacji w tej dziedzinie.
Dyscyplina weryfikująca każdy wynik
W tym zawodzie wyniki sztucznej inteligencji nigdy nie są wykorzystywane „tak jak są”. Każde wyjście przechodzi przez trzy filtry:
- Kompiluj i testuj: kod? Niech zostanie skompilowany, przetestowany i jeśli to możliwe, uruchomiony w sieci testowej (testnet - sieć próbna, która nie jest prawdziwymi pieniędzmi).
- Niezależny pojazd i człowiek: roszczenie bezpieczeństwa? Sprawdź krzyżowo za pomocą narzędzia do analizy statycznej (takiego jak Slither) i ludzkiego oka.
- Link do źródła: Dane łańcucha? Każda liczba podsumowana przez sztuczną inteligencję jest potwierdzana w rzeczywistym eksploratorze bloków (stronie wyświetlającej dane łańcucha, takiej jak Etherscan).
Wskazówka: Zawsze mów AI „zaznacz, gdzie nie jesteś pewien i napisz, dlaczego nie jesteś pewien”. O wiele bezpieczniej jest poprosić sztuczną inteligencję o przyznanie się do niepewności, niż pozwolić jej po cichu ją sfabrykować.
trzy mini etui
Przypadek 1 — Projekt nabrał rozmachu i kontroli. Jeden zespół przygotował pierwszy projekt umowy o stakowanie z AI w ciągu 2 godzin; Zwykle trwało to około 1 dnia. Jednak w wersji roboczej sztucznej inteligencji istniała luka umożliwiająca ponowne wejście – wielokrotne wycofywanie środków poprzez ponowne wywołanie funkcji przed jej zakończeniem. Audytor to zauważył i skorygował. Lekcja: sztuczna inteligencja przyspiesza przeciąg, ale ludzie zapewniają bezpieczeństwo.
Przypadek 2 — Fałszywy adres w analizie sieciowej. Analityk powiedział AI, aby „podsumowała 10 ostatnich transakcji tego portfela”. Sztuczna inteligencja podała płynne podsumowanie, ale w środku znajdował się skrót transakcji i wymyślony adres – halucynacja. Kiedy analityk potwierdził to na Etherscan, zobaczył, że to nieprawda. Lekcja: nie każdy skrót danych łańcucha jest raportowany, dopóki nie zostanie zweryfikowany w eksploratorze bloków.
Przypadek 3 — W tokenomice jeden scenariusz się nie powiódł. Projekt rozpoczął się od oparcia się na modelu, w którym sztuczna inteligencja stwierdziła, że „ta krzywa podaży jest zrównoważona”. W modelu założono jedynie pojedynczy scenariusz, w którym cena zawsze rośnie. Gdy rynek się załamał, zachęty upadły. Lekcja: potrzebujesz wielu testów warunków skrajnych, opartych na negatywnych scenariuszach i zweryfikowanych przez ludzi, a nie modelu sztucznej inteligencji opartego na jednym scenariuszu.
Etyka, prywatność i ramy prawne
Ponieważ obszar ten ma kluczowe znaczenie zarówno finansowe, jak i bezpieczeństwa, obciążenie etyczne jest duże:
- Zastosowanie obronne: Informacje o podatnościach służą wyłącznie do celów zamknięcia, monitorowania i obrony; Nie dla wyzysku.
- Poufność: wklejenie niepublikowanego (zamkniętego kodu źródłowego) poddanego audytowi kodu klienta do publicznie dostępnego narzędzia AI bez pozwolenia stanowi naruszenie umowy i ryzyko wycieku. Tajny kod wymaga narzędzi korporacyjnych/oddzielnych i zgody klienta.
- Nie jest to porada inwestycyjna: tokenomika lub analiza generowana przez sztuczną inteligencję nie jest poradą finansową; Stwierdzenie tego jest prawnym i etycznym obowiązkiem.
- Odpowiedzialność: W przypadku audytu krytycznego dla bezpieczeństwa ostateczne zatwierdzenie należy do kompetentnego eksperta, który bierze na siebie odpowiedzialność zawodową. „AI tak powiedziała” nie jest obroną.
Typowe błędy
- Ufanie sztucznej inteligencji, że powie „bezpieczne”. Sztuczna inteligencja nie może zagwarantować bezpieczeństwa; Daje jedynie wskazówki.
- Przesyłanie kodu do sieci głównej bez wypróbowywania go w sieci testowej. Nieodwracalność nie wybacza.
- Ufanie skrótowi bez sprawdzania danych łańcucha w eksploratorze bloków. Halucynacja generuje skrót/adres.
- Wklejenie kodu tajnego klienta do otwartego narzędzia. Wyciek i złamanie umowy.
- Opieranie się na modelu gospodarczym opartym na jednym scenariuszu. Negatywny scenariusz jest koniecznością.
- Nie rozdzielanie ryzyka według poziomu. Dokumentacji i audytu nie można traktować na tym samym poziomie zaufania.
Podsumowując
- W Web3 błędy bezpośrednio przekładają się na pieniądze; Sztuczna inteligencja jest asystentem akceleratora, a nie decydentem.
- Wkład sztucznej inteligencji wzrasta wraz ze spadkiem kosztu błędu; Ostatnie słowo w kontroli krytycznej dla bezpieczeństwa należy do eksperta.
- Nieodwołalność, otwartość/wrogie środowisko i intensywne oszustwa czynią tę dziedzinę wyjątkową.
- Każdy wynik AI jest kompilowany i weryfikowany za pomocą niezależnych narzędzi i łączenia ze źródłem.
- Używanie służy wyłącznie do celów obrony, uczciwego rozwoju i autoryzowanego egzekwowania prawa.
Zadanie aplikacji
Weźmy przykład inteligentnej umowy (albo tę, którą sam napisałeś, albo prostą umowę o otwartym kodzie źródłowym). Poproś sztuczną inteligencję, aby najpierw wyjaśniła prostym językiem, co robi kod, a następnie oznaczyła potencjalne ryzyko jako „hipotezę”. Następnie zweryfikuj każde twierdzenie poprzez: (1) jego kompilację, (2) narzędzie do analizy statycznej, (3) własną lekturę. Zanotuj w tabeli, ile twierdzeń sztucznej inteligencji zostało potwierdzonych, a ile okazało się fałszywych.
lista kontrolna
- [ ] Ustaliłem poziom ryzyka mojej pracy (dokumentacja czy audyt?).
- [ ] Poprosiłem sztuczną inteligencję o zaznaczenie swoich niepewności.
- [ ] Skompilowałem/przetestowałem wynik kodu.
- [ ] Sprawdziłem roszczenie dotyczące bezpieczeństwa z niezależnym pojazdem i człowiekiem.
- [ ] Sprawdziłem dane łańcucha w eksploratorze bloków.
- [ ] Nie wkleiłem tajnego kodu do otwartego narzędzia.
- [ ] Zaakceptowałem, że ostateczna akceptacja bezpieczeństwa należy do eksperta.