Faida:
- Uwezo wa kutambua mifumo ya kawaida ya kuathirika kama vile kuingia tena, udhibiti wa ufikiaji, upotoshaji wa ora na uendeshaji wa mbele na kuzichanganua kwa zana ya uchambuzi tuli + akili bandia + ya binadamu.
- Uwezo wa kutofautisha kati ya nguvu za AI katika kuelezea pato la zana na kuweka kipaumbele chanya na udhaifu wa uwongo katika MEV na mantiki ya biashara.
- Elewa kwamba 'skana safi' si cheti cha usalama, kwamba skanning ni safu moja tu ya udhibiti
Tuliona nidhamu ya jumla ya ukaguzi katika kitengo kilichopita. Katika kitengo hiki, tunaangazia mada ya kiufundi zaidi: kuchanganua uwezekano wa kuathiriwa - utafutaji wa kimfumo wa mifumo inayojulikana ya kuathiriwa katika msimbo. Hapa tutatumia AI, pamoja na zana za uchanganuzi tuli, kama msaidizi anayechanganua na kuelezea mifumo inayojulikana ya uwezekano wa kuathiriwa. Kusudi: kujua udhaifu wa kawaida kwa undani na kutofautisha mahali ambapo AI inategemewa na ambapo haitoshi katika kuzichanganua.
Utambazaji tuli na unaobadilika
Skanning ni ya aina mbili. Uchambuzi tuli - kuchunguza msimbo bila kuiendesha: Zana kama vile Slither na Mythril huchanganua msimbo wa mkataba na mifumo inayojulikana. Uchanganuzi wa nguvu/kiishara (kuendesha msimbo kwa ingizo tofauti au kuichunguza kihisabati): kusumbua (kupiga mabomu kwa ingizo la nasibu) na utekelezaji wa kiishara (kuchunguza njia zote zinazowezekana) huangukia katika kundi hili.
AI haibadilishi zana hizi, inazikamilisha: wakati gari linatoa onyo, AI inaelezea onyo kwa lugha rahisi; AI inaweza kukumbusha wakati chombo kinakosa muundo; Lakini AI pekee haiwezi kuthibitisha ni kiasi gani inachanganua. Mtiririko sahihi wa kazi: chombo + AI + binadamu.
Kidokezo: Ipe AI matokeo ya zana tuli ya uchanganuzi (k.m. ripoti ya Slither) na uulize "eleza kila arifa kwa lugha rahisi, ni hatari zipi halisi na zipi zinaweza kuwa chanya za uwongo?" uliza. AI ni muhimu sana katika kufanya pato la zana ghafi kueleweka na kupewa kipaumbele kwa wanadamu.
Mifumo ya kawaida ya kuathirika
1. Kurudi tena. Ikiwa kipengele cha kukokotoa kitaita mkataba wa nje bila kusasisha hali yake, mkataba unaoitwa unaweza kurudi nyuma, kuanzisha utendakazi sawa tena na kuondoa hazina mara nyingi. Suluhisho: utaratibu wa kuangalia-madhara-maingiliano na ulinzi wa kuingia tena.
2. Ukosefu wa udhibiti wa upatikanaji. Kazi muhimu (kuondoa, kujiondoa, kuboresha) inawekwa wazi kwa bahati mbaya. Ni moja ya makosa ya kawaida na ya gharama kubwa.
3. Udanganyifu wa Oracle. Utegemezi wa upofu wa mkataba kwenye chanzo cha bei ya nje ( chumba cha kulala ). Mshambulizi hudhibiti bei papo hapo na hudanganya itifaki. Suluhisho: bei ya wastani ya wakati (TAP), vyanzo vingi.
4. Nambari kamili kufurika/kuporomoka. Nambari inapozidi kiwango cha juu kinachoruhusiwa na kurudi mwanzo. Mshikamano wa Kisasa hushika zaidi kiotomatiki, lakini hatari inabaki katika msimbo wa kiwango cha chini (mkusanyiko).
5. Mbio za mbele. Shughuli huonekana kwenye bwawa la umma (mempool) kabla ya kuthibitishwa; Mshambulizi anaweza kuona muamala wako na kuingiza muamala wake mwenyewe mbele yake. MEV (Thamani ya Juu Inayoweza Kuchimbwa - thamani iliyotolewa kutoka kwa mpangilio wa muamala) ni jina la jumla la somo hili.
6. Kunyimwa Huduma (DoS). Kitanzi kinakuwa ghali sana na hufanya kazi kutotumika, au utegemezi wa anwani unafungwa.
7. Kuboresha hatari. Mgongano wa hifadhi na matumizi mabaya ya mamlaka katika mikataba inayoweza kuboreshwa.
kuathirika
uaminifu wa kuchanganua AI
Kwa nini
kurejea tena
juu
Inajulikana, muundo wazi
udhibiti wa ufikiaji
juu
Mold inaweza kuchunguzwa
Operesheni kamili
juu
udhibiti wa kawaida
Udanganyifu wa Oracle
kati
Inahitaji muktadha
Mbio za mbele/MEV
Kati-Chini
itifaki maalum
kosa la mantiki ya biashara
chini
Ya kweli, ya muktadha
Mwongozo dhaifu / Mwongozo thabiti
Agizo dhaifu:
Je, kuna mwanya katika msimbo huu?
Agizo lenye nguvu:
Jukumu lako: msaidizi wa uchunguzi wa usalama. Changanua mkataba hapa chini ili upate mifumo ifuatayo inayojulikana na "hatarini/hapana/hakuna uhakika" kwa kila moja: kuingia tena, udhibiti wa ufikiaji, utendakazi kamili, utegemezi wa sauti, uendeshaji wa mbele, DoS, kuboresha usalama. Unganisha kila uamuzi kwa mstari husika na ueleze kwa nini kuna hatari. Hizi ni dhahania AMBAZO ITATHIBITISHWA kwa zana ya uchambuzi tuli na mkaguzi. Kumbuka kuwa kunaweza kuwa na chanya za uwongo.
Violezo vinne vinavyoweza kunakiliwa
1) Maelezo ya pato la zana:
Ifuatayo ni ripoti ya zana ya uchambuzi tuli (Slither). Eleza kila tahadhari kwa lugha rahisi: inamaanisha nini, ni hatari halisi au uwezekano wa chanya ya uwongo, ni nini kinapaswa kuwa kipaumbele chake? Usifanye uamuzi thabiti; Weka kipaumbele kwa uthibitisho wa mkaguzi.
2) Uchunguzi unaolenga tena:
Pata vipengele vyote vinavyopiga simu za nje katika mkataba huu. Chunguza ikiwa agizo la ukaguzi-madhara-mwingiliano linafuatwa kwa kila moja yao na kama kuna mlinzi wa kuingia tena. Onyesha hatari kwa mstari. Weka alama ikiwa huna uhakika; Inazalisha msimbo wa matumizi.
3) Ramani ya udhibiti wa ufikiaji:
Orodhesha kazi zote za nje/za umma katika mkataba huu na ubainishe "nani anaweza kupiga simu" (kila mtu/mmiliki/jukumu) kwa kila moja. Tekeleza utendakazi muhimu (ondoa, chapisha, usasishe) na uweke alama kwenye zile zilizo na udhibiti dhaifu wa ufikiaji. Iwasilishe na meza.
4) Uondoaji mzuri wa uwongo:
Fikiria kwa nini onyo hili la skanisho linaweza lisiwe hatari HALISI (chanya ya uwongo): ni muktadha gani au hali ya msimbo gani ingebatilisha onyo hili? Lakini usiseme "hakuna shida kabisa"; Orodhesha pointi zinazohitaji uthibitisho.
Kesi tatu ndogo (kwa nambari)
Kesi ya 1 - Gari + AI iliongeza ufanisi mara mbili. Timu moja iliendesha Slither kwenye mradi wa kandarasi 12 na kupokea maonyo 140. Mara tu tulipokuwa na AI kuelezea na kuweka kipaumbele kwa arifa, ikawa kwamba arifa 95 kati ya 140 zilikuwa chanya za uwongo; Timu ililenga wagombea halisi 45. Muda wa matibabu ulipungua kutoka siku 2 hadi masaa 5. Somo: AI ina nguvu katika kuleta matokeo ya gari kwa binadamu.
Kesi ya 2 - AI iliteka nyara MEV. Katika mkataba wa DEX (ubadilishanaji uliogatuliwa), AI ilipata mifumo ya kawaida kuwa safi lakini haikuweza kutambua uwezekano wa kuathiriwa; kwa sababu hii ilikuwa maalum kwa mpangilio wa shughuli za itifaki. Mkaguzi wa kibinadamu na uigaji umenaswa. Somo: Hatari maalum za Itifaki kama MEV/mbele-mbele ni eneo dhaifu la AI.
Kesi ya 3 - Epuka kupoteza muda kwa chanya ya uwongo. Timu iliepushwa na uandishi upya usio wa lazima wakati AI ilipoeleza kuwa onyo la kujisajili tena kwa hakika lilikuwa chanya ya uwongo (utendaji ulikuwa tayari umelindwa). Lakini timu bado ilithibitisha kwa jaribio moja. Somo: AI inaweka kipaumbele; Uthibitishaji huja tena na majaribio.
Mipaka ya skanning
Uchanganuzi hupata mifumo inayojulikana. Chombo wala AI haijahakikishiwa kugundua udhaifu mpya, wa kipekee au mahususi wa itifaki. Kwa hiyo, uchunguzi ni sehemu ya ukaguzi; si yeye mwenyewe. Wazo kwamba "skani ni safi, kwa hivyo inamaanisha iko salama" ni moja wapo ya maoni potofu hatari katika uwanja huu. Dredging huchukua matunda ya chini ya kunyongwa; Kwa hatari za kina na za kipekee, utaalamu wa kibinadamu, majaribio, fuzzing na ukaguzi rasmi ni muhimu.
Tahadhari: Ripoti "safi" ya zana ya kuchanganua au AI sio cheti cha usalama. Kuiwasilisha kwa njia hiyo - haswa kwa wawekezaji - ni kupotosha na sio sawa.
Makosa ya kawaida
- Kubadilisha uchunguzi kwa ukaguzi. Kuchanganua ni safu moja, sio nzima.
- Kutumia AI bila zana. Uchambuzi tuli + AI + kazi ya binadamu pamoja.
- Kuondoa chanya za uwongo bila uthibitisho. Kila skrini inajaribiwa/imethibitishwa na binadamu.
- Kukwepa hatari maalum za itifaki (MEV) kwa kutegemea AI. Eneo dhaifu la AI.
- Kufikiri "safi scan" = "salama". Haiwezi kupata haijulikani.
- Inazalisha msimbo wa matumizi. Maelezo ya hatari ya utetezi pekee ndiyo halali.
Kwa muhtasari
- Uchanganuzi wa mazingira magumu hutafuta mifumo inayojulikana ya kuathiriwa na gari + AI + binadamu.
- AI ina nguvu katika kuelezea na kuweka kipaumbele cha matokeo ya zana ya uchambuzi.
- Inaaminika katika mifumo iliyo wazi kama vile kuingia tena na udhibiti wa ufikiaji; Dhaifu katika MEV na mantiki ya biashara.
- Hata kuondoa chanya za uwongo kunahitaji uthibitisho.
- "Scan safi" sio cheti cha usalama; Sio mbadala wa usimamizi.
Jukumu la maombi
Tekeleza zana tuli ya uchanganuzi kwenye sampuli ya mkataba (ikiwezekana) au pata ripoti ya Slither iliyo tayari kufanywa. Tumia "maelezo ya pato la zana" kwa AI. Tathmini kama AI: (1) inafafanua maonyo kwa usahihi, (2) inaleta maana katika kutofautisha kati ya chanya zisizo za kweli, na (3) inakosa hatari maalum ya itifaki. Jaza safu wima za "gari lililopatikana / AI iliyofafanuliwa / iliyothibitishwa na binadamu" kwenye jedwali.
orodha ya ukaguzi
- [ ] Niliweka hatch kama safu ya udhibiti.
- [ ] Nilitumia zana ya uchambuzi tuli + AI + binadamu pamoja.
- [ ] Nilitafuta kategoria kwa kategoria kwa ruwaza zinazojulikana.
- [ ] Niliondoa chanya za uwongo kwa uthibitisho.
- [ ] Nilitegemea wanadamu katika maeneo dhaifu kama vile MEV/mantiki ya biashara.
- [ ] Sikutoa "fagia safi" kama hakikisho.
- [ ] Nilifanya kazi kwa madhumuni ya ulinzi tu; Sikuunda ushujaa.