Lợi nhuận:
- Hiểu được bản chất quan trọng về bảo mật của blockchain và lý do tại sao trí tuệ nhân tạo không thể phát hiện ra lỗi ban đầu, đưa ra sự đảm bảo sai lầm, lỗi thời và không chịu trách nhiệm.
- Khả năng ngăn chặn một lỗi duy nhất rò rỉ vào hệ thống trực tiếp bằng xác minh theo lớp đặt cổng xác minh của con người ở mọi giai đoạn
- Phê duyệt cuối cùng quan trọng về bảo mật thuộc về chuyên gia có thẩm quyền và khả năng áp dụng các nguyên tắc về trách nhiệm của con người, mục đích quốc phòng, tính bảo mật, minh bạch và trung thực.
Đây là đơn vị quan trọng nhất của mô-đun này. Cho đến nay, chúng ta đã thấy AI đang tăng tốc mọi thứ từ việc viết hợp đồng thông minh đến phân tích trên chuỗi, từ token đến phát hiện gian lận như thế nào. Trong phần này, chúng ta lùi lại và xem xét trọng tâm của vấn đề: tại sao kết quả đầu ra AI không thể thay thế sự phê duyệt của chuyên gia có thẩm quyền trong công việc quan trọng về an toàn. Và với tư cách là một chuyên gia, đâu là khuôn khổ để sử dụng AI một cách có trách nhiệm? Kỹ thuật chuỗi khối là một lĩnh vực quan trọng về bảo mật, nơi các sai sót sẽ chuyển thành tiền một cách trực tiếp và không thể sửa chữa được; Đơn vị này giải quyết các yêu cầu của thực tế đó.
"Bảo mật quan trọng" nghĩa là gì và tại sao nó lại khác?
Một lĩnh vực là quan trọng về mặt an toàn nếu hậu quả của một lỗi là nghiêm trọng và không thể khắc phục được: thiệt mạng trong kỹ thuật cầu đường, sơ suất trong y tế, tổn thất ngay lập tức và vĩnh viễn hàng triệu đô la trong blockchain. Tiêu chuẩn được chấp nhận trong các lĩnh vực này hoàn toàn khác với phần mềm thông thường:
- “Nó có thể hoạt động” là chưa đủ; phải được chứng minh.
- "Chúng tôi sẽ sửa nó sau" không hợp lệ; Sự không thể đảo ngược không tha thứ.
- Sự phê duyệt cuối cùng thuộc về một chuyên gia có thẩm quyền, người chịu trách nhiệm pháp lý và chuyên môn.
AI là trợ lý; không thể nhận trách nhiệm, không thể chịu trách nhiệm và không thể đứng đằng sau kết quả. Nếu báo cáo kiểm toán bỏ sót một lỗ hổng nào đó thì trách nhiệm thuộc về chuyên gia đã phê duyệt chứ không phải AI. “AI đã nói như vậy” không phải là lời biện hộ cho kỹ thuật.
Tại sao AI không thể thay thế chuyên gia: 4 lý do chính
1. AI không thể nhìn thấy lỗi gốc và lỗi ngữ cảnh. AI nhận dạng các mẫu trong dữ liệu đào tạo. Một lỗ hổng mới, lỗi logic kinh doanh theo giao thức cụ thể hoặc sự tương tác đặc biệt của các thành phần là điểm mù của AI. Các cuộc tấn công Web3 tốn kém nhất đều xuất phát từ những lỗ hổng độc đáo này.
2. AI đưa ra sự đảm bảo sai lầm. AI có thể nói một cách trôi chảy và tự tin “mã này có vẻ an toàn” — trong khi vẫn sai. "Ảo giác về sự an toàn" này là kết quả nguy hiểm nhất trong khu vực quan trọng về an toàn; vì nó tạo ra cảm giác an toàn giả tạo.
3. AI đã lỗi thời. Kiến thức của AI dừng lại ở ngày giới hạn giáo dục. Các cuộc tấn công mới nhất, các phiên bản thư viện mới nhất, các phương pháp thực hành tốt nhất mới nhất đều vượt quá tầm nhìn của nó. An ninh là một cuộc đua luôn thay đổi; Thông tin của ngày hôm qua có thể không đủ cho ngày hôm nay.
4. AI không thể chịu trách nhiệm. Đây có lẽ là lý do cơ bản nhất. Phê duyệt kỹ thuật không chỉ là một cam kết về mặt kỹ thuật mà còn là một cam kết về mặt pháp lý và đạo đức. Một cỗ máy không thể thực hiện được cam kết này.
Thận trọng: Trong đầu ra quan trọng về bảo mật, câu hỏi là "AI đã nói gì?" mà là “Ai là người có thẩm quyền xác minh, xác nhận và đứng đằng sau kết quả này?” nên như vậy. Không có sự chấp thuận nào của người không phải chuyên gia—không phải bởi AI hay công cụ—có thể được coi là sự đảm bảo.
Xác minh theo lớp: ngăn chặn các lỗi đơn lẻ rò rỉ trực tiếp
Quy trình làm việc có trách nhiệm đặt cổng xác minh của con người ở mọi giai đoạn. Bạn không thể đi qua một cánh cửa mà không đi qua một cánh cửa khác:
Sân khấu
Đóng góp của AI
cổng xác minh con người
đánh vần
mã dự thảo
Xây dựng + kiểm tra + đánh giá
quét
Lỗ hổng ứng viên
Phân tích tĩnh + xác nhận của kiểm toán viên
Kiểm toán
Mẹo, dự thảo báo cáo
Chữ ký của kiểm toán viên có thẩm quyền
kiểm tra
bản thảo kịch bản
Testnet + làm mờ + mô phỏng
Phân phối
danh sách kiểm tra
Xác nhận nhiều chữ ký + thoát dần
Giám sát
dấu hiệu bất thường
kế hoạch ứng phó của con người
Cấu trúc phân lớp này ngăn không cho một lỗi AI nào rò rỉ vào mạng chính. Mỗi cánh cửa đều có một điều kiện vượt qua rõ ràng: bài kiểm tra có vượt qua không, người kiểm tra có ký tên không, mô phỏng có được thực hiện không?
Cách tiếp cận yếu/Cách tiếp cận mạnh mẽ
Cách tiếp cận yếu:
AI đã tạo mã, trông có vẻ sạch sẽ, hãy đưa nó lên mainnet.
Đây là công thức dẫn đến thảm họa ở một khu vực không thể thay đổi được.
Cách tiếp cận mạnh mẽ:
1. AI tạo ra bản nháp → chúng tôi đã biên soạn và thử nghiệm nó.2. Phân tích tĩnh + Quét AI → kiểm toán viên xác nhận.3. Kiểm tra an ninh độc lập → báo cáo đã ký.4. Testnet + làm mờ + mô phỏng → các tình huống đã xảy ra.5. Đa chữ ký, thoát khỏi mạng chính + giám sát. Tại mỗi cổng: không có tiến triển cho đến khi điều kiện chuyển tiếp được đáp ứng.
Bốn mẫu có thể sao chép
1) Kiểm soát cổng xác minh:
Tạo danh sách kiểm tra xác thực cho đầu ra quan trọng về mặt bảo mật này: nó sẽ được xác thực theo các bước độc lập nào (biên dịch, phân tích tĩnh, kiểm tra, thử nghiệm, mô phỏng)? Viết điều kiện chuyển tiếp cho mỗi bước. Nêu rõ rủi ro nào sẽ phát sinh nếu bỏ qua một bước.
2) Ghi nhãn mức độ tin cậy đầu ra AI:
Xem lại kết quả do AI tạo ra bên dưới và đánh dấu từng khẳng định: “đã xác minh/nên được xác minh/khu vực điểm yếu của AI”. Làm nổi bật những điểm đòi hỏi chuyên môn của con người, đặc biệt là những điểm liên quan đến logic kinh doanh và rủi ro đặc biệt.
3) Biên bản điều chuyển chuyên gia:
Để bàn giao kết quả đầu ra này cho chuyên gia có năng lực, hãy chuẩn bị một bản tóm tắt: AI đã làm gì, với những giả định nào, chưa chắc chắn ở đâu, chuyên gia cần xác nhận cụ thể ở đâu? Hãy nói rõ rằng trách nhiệm thuộc về chuyên gia.
4) Chuẩn bị ứng phó sự cố:
Tạo một phác thảo ứng phó khẩn cấp/sự cố cho giao thức này: những bước nào (cơ quan ngăn chặn, liên lạc, bảo vệ quỹ) sẽ cần thực hiện nếu một lỗ hổng bị khai thác ở một sinh vật? Đây là bản nháp; Nhóm và chuyên gia phải hiệu chỉnh.
Ba trường hợp nhỏ (theo số lượng)
Trường hợp 1 - Nhảy cửa gây tai họa. Do áp lực về thời gian, một nhóm đã bỏ qua cuộc kiểm toán độc lập và dựa vào các thử nghiệm của chính AI + và đi vào mạng chính. 11 ngày sau ~ 4 triệu USD được loại bỏ khỏi lỗ hổng logic nghiệp vụ. Một cổng kiểm tra có thể sẽ bắt được điều này. Bài học: không vượt qua cửa trong khu vực quan trọng về an ninh.
Trường hợp 2 - Đã lưu xác thực theo lớp. Một nhóm khác vận hành từng cổng: bản thiết kế AI → phân tích tĩnh → kiểm toán → mạng thử nghiệm → mô phỏng. Trong giai đoạn kiểm tra, rủi ro tái xuất hiện, rủi ro tiên tri đã được phát hiện trong quá trình mô phỏng. Cả hai đều đóng cửa trước mainnet. Bài học: các lớp ngăn chặn các lỗi đơn lẻ lọt vào.
Trường hợp 3 - “Ảo giác an toàn.” Một nhà phát triển đã hỏi AI về mã; AI cho biết: “Dường như không có bất kỳ vấn đề bảo mật nghiêm trọng nào”. Dù sao thì nhóm cũng đã gửi nó đi kiểm tra và có hai phát hiện cấp cao. Nếu chúng ta tin tưởng vào AI thì cả hai đều có thể tồn tại. Bài học: Sự thể hiện sự tự tin của AI không phải là sự xác nhận.
Nguyên tắc sử dụng có trách nhiệm
Chúng ta có thể rút gọn bản chất của mô-đun này thành sáu nguyên tắc:
- Trách nhiệm của con người: Phê duyệt cuối cùng quan trọng về an toàn thuộc về chuyên gia có thẩm quyền; AI không thể chịu trách nhiệm.
- Xác thực theo lớp: Cổng con người và điều kiện vượt qua ở mỗi giai đoạn.
- Sử dụng phòng thủ: Để bảo vệ và kiểm soát thông tin; Không để khai thác/bẫy.
- Bảo mật: Mã và dữ liệu của khách hàng không được cung cấp cho các công cụ mở mà không được phép.
- Tính minh bạch: Việc sử dụng AI được nêu trung thực trong báo cáo; Không có sự cường điệu hoặc đảm bảo sai lầm nào được đưa ra.
- Trung thực: Nhà đầu tư và người dùng không bị lừa dối; Rủi ro không bị che giấu, lời khuyên không bị che giấu.
Mẹo: Hãy tự hỏi bản thân một câu hỏi cho mỗi quyết định quan trọng về bảo mật: "Nếu điều này sai và số tiền bị mất, liệu con người có thẩm quyền xác minh có đứng ra hỗ trợ và chịu trách nhiệm không?" Nếu câu trả lời là “không, AI đã nói vậy”, thì quy trình này chưa hoàn tất.
Những lỗi thường gặp
- Vượt qua cổng kiểm toán độc lập. Đó là không thể tha thứ trong khu vực không thể thay đổi.
- Hiểu nhầm biểu hiện tin cậy của AI là sự xác nhận. “Ảo giác an toàn” là nguy hiểm nhất.
- Đang cố gắng đổ trách nhiệm lên AI. Trách nhiệm thuộc về chuyên gia đã ký.
- Giả sử tính kịp thời. AI không biết ngoài ngày giới hạn đào tạo.
- Rút ngắn cửa do áp lực thời gian. Nguồn của lỗi đắt nhất.
- Rời đi mà không có kế hoạch ứng phó sự cố. Khi rò rỉ xảy ra, người ta không được chuẩn bị.
Tóm lại
- Blockchain rất quan trọng về mặt bảo mật; Những sai lầm không thể sửa chữa được và biến trực tiếp thành tiền.
- AI không thể nhìn thấy lỗi ban đầu, đưa ra sự đảm bảo sai, lỗi thời và không thể chịu trách nhiệm.
- Đó là lý do tại sao sự phê duyệt quan trọng về an toàn cuối cùng luôn thuộc về chuyên gia có thẩm quyền.
- Xác minh theo lớp ngăn chặn một lỗi duy nhất rò rỉ vào môi trường sống bằng cách đặt cổng con người ở mỗi giai đoạn.
- Sử dụng có trách nhiệm: trách nhiệm của con người, mục đích phòng thủ, bảo mật, minh bạch và liêm chính.
Nhiệm vụ ứng dụng
Hãy tưởng tượng một dự án hợp đồng thông minh (hoặc lấy một ví dụ thực tế). Viết kế hoạch xác minh theo từng lớp cho toàn bộ hành trình từ ý tưởng đến mainnet: AI làm gì ở mỗi giai đoạn, cổng con người ở đó là gì, điều kiện chuyển tiếp là gì? Sau đó, thêm một kịch bản "áp lực thời gian": vượt qua cánh cửa nào nguy hiểm nhất và tại sao? Cũng bao gồm một phác thảo ứng phó sự cố.
danh sách kiểm tra
- [ ] Tôi chấp nhận rằng sự phê duyệt quan trọng về bảo mật cuối cùng thuộc về chuyên gia.
- [ ] Tôi đặt cổng xác minh con người ở mỗi giai đoạn.
- [ ] Tôi không coi biểu hiện tự tin của AI là sự xác nhận.
- [ ] Tôi đã không qua mặt kiểm toán độc lập.
- [ ] Tôi không coi trọng tính thời sự; Tôi đã xác nhận thông tin mới nhất với con người.
- [ ] Tôi không đổ trách nhiệm lên AI.
- [ ] Tôi đã chuẩn bị kế hoạch ứng phó sự cố.