Поза межами галасу: ChatGPT і аудит смарт-контрактів

Поза межами галасу: ChatGPT і аудит смарт-контрактів

Мітка часу: 3 квітня 2023 р., 5:43
Поза межами галасу: ChatGPT і аудит смарт-контрактів PlatoBlockchain Data Intelligence. Вертикальний пошук. Ai.

Час читання: 5 протокол

Вивчення ефективності chatGPT в аудиті смарт-контрактів

Це було 30 листопада 2022 року, коли ChatGPT було запущено. Це не зайняло багато часу, щоб захопити світ штурмом. Незалежно від того, якими соціальними мережами ви користуєтеся, у chatGPT є дописи, меми, інформативні статті та багато іншого. Мало того, про chatGPT говорили головні медіа. Немає задніх думок, коли я кажу, що всі говорили про chatGPT і його потужність.

У цьому блозі давайте обговоримо, як chatGPT використовується або може використовуватися в аудиті смарт-контрактів або кібербезпеці Web3. Давайте спочатку почнемо з того, що таке chatGPT.

Що таке ChatGPT?

ChatGPT це інтерактивний чат-бот, який приймає підказки та повертає відповіді на основі своїх навчених даних. Він має надзвичайну здатність спілкуватися в розмовному діалозі та давати відповіді, які можуть здатися напрочуд людськими.

Окрім цього, однією з речей, які роблять його розумнішим, є його унікальна здатність продовжувати навчатися на введених користувачем даних; це реалізовано на рівні навчання з підкріпленням із зворотним зв’язком людини (RLHF), що допомагає повертати відповіді, які задовольняють людей. 

Дані навчання

Кожна модель штучного інтелекту — це не що інше, як навчена машина, яка дає відповіді на основі свого навчання та висновків із навчальних даних. Навчальні дані можуть бути будь-якими, від відео до тексту, який передається в модель, яка дізнається про ці дані, і коли ця модель пропонується цій моделі, на основі її навчання з навчальних даних вона дає відповіді. 

ChatGPT навчався на даних, зібраних з Інтернету, включно з такими джерелами, як обговорення Reddit, щоб допомогти ChatGPT навчитися діалогу та досягти людського стилю відповіді. chatGPT також навчений людському відгуку. Ця техніка називається Reinforcement Learning with Human Feedback, щоб штучний інтелект дізнавався, чого люди очікують, коли ставлять запитання.

ChatGPT може знайти вразливості

Задовго після його випуску люди почали експериментувати з можливостями chatGPT у різних випадках використання та сценаріях. Цей експеримент також проводився щодо безпеки смарт-контрактів.

І chatGPT точно не підвів нас. Однак у нього все ще є можливості для вдосконалення, але він виявився корисним і суттєвою допомогою для аудиторів і людей, які мають справу зі смарт-контрактами. Коли мова заходить про добре відомі хаки та деякі хаки, які існують у системі вже досить довго, це дуже корисно для їх виявлення.

Ось деякі з поширених уразливостей, які chatGPT виявляє з певною точністю: -

  1. Атака орендної плати: Це поширена вразливість, через яку зловмисник може неодноразово викликати функцію в межах смарт-контракту до завершення попереднього виконання, що призводить до неочікуваної або зловмисної поведінки.
  1. Переповнення/переповнення цілих чисел: Розумні контракти часто покладаються на цілочисельні обчислення, і якщо ці обчислення не перевірено належним чином, вони можуть призвести до неочікуваної або неправильної поведінки.
  1. Неперевірені повертаються значення: Контракт може неправильно обробляти неочікувані значення, що повертаються від зовнішніх викликів, що може призвести до потенційної вразливості та завдати шкоди.
  1. Незахищені функції: Контракт може не мати належного контролю доступу, що призводить до неавторизованого доступу до конфіденційних функцій. Що може призвести до великих втрат.

Існують деякі інші вразливості та проблеми, які chatGPT може виявити в смарт-контрактах, і ви точно будете здивовані, побачивши їх. Проте під час наших тестів ми виявили, що ви часто отримуєте помилкові сигнали тривоги, і існує величезна ймовірність того, що деякі ключові помилки будуть упущені.

Чи може chatGPT знайти всі вразливості?

Незважаючи на те, що chatGPT є корисним інструментом і проривом штучного інтелекту для мас, він все ще далекий від досконалості, і його не можна залишати для повної безпеки смарт-контрактів.

Наш тест виявив, що chatGPT подає помилкову тривогу для a атака повторного входу, який вже був охороняний і перевірений. Окрім цього, було ще кілька помилкових тривог, і, що найважливіше, критична помилка, яку виявила наша команда, була повністю проігнорована chatGPT. Давайте обговоримо деякі речі, які chatGPT, ймовірно, пропустить.

  1. Специфічна логіка проекту:- Основою проекту є його логіка та те, як речі взаємопов’язані, але chatGPT, схоже, цього пропускає. Під час тестування було виявлено, що chatGPT часто не міг знайти критичну помилку, яка була логічною. Через складність інфраструктури, що лежить в основі протоколу, chatGPT пропускає критичні вразливості, які виникають через взаємозв’язок контрактів для виконання логічної вимоги проекту.
  1. Неточні математичні розрахунки та статистичні моделі:- Коли справа доходить до проектів, незалежно від того, чи це ігровий проект, проект DeFi чи будь-який інший, це здебільшого передбачає математичні розрахунки та співвідношення. ChatGPT часто не перевіряє та не контролює ці формули, і потенційні помилки пропускаються.
  1. Порушення в планованому проектуванні та впровадженні:- Багато разів реалізація розробниками не така правильна, як мала б бути, що призводить до проблем із безпекою. Це використовувалося в минулому і продовжує залишатися одним із важливих секторів, які можна покращити, і chatGPT також трохи неосвічений у цьому.

Висновок

Коли мова заходить про безпеку та аудит web3, інструменти штучного інтелекту допомагають, у цьому немає сумнівів, але питання в тому, чи цього достатньо? відповідь - велике «НІ». Як обговорювалося, деякі з важливих уразливостей можна легко пропустити, і існує величезна ймовірність помилкових тривог. Ці помилкові тривоги створюють помилкове відчуття, що chatGPT може виявити всі помилки та змусити користувача повірити в це, але реальність інша і може бути суворою, якщо ми будемо залежати лише від інструментів ШІ.

ШІ може стати дуже ефективним, але нам попереду довгий шлях. Найкращий спосіб покращити безпеку — це використовувати ШІ та ручне охоплення аспектів безпеки смарт-контрактів.

Що стосується безпека смарт-контрактів, немає заміни на аудити. Пройти аудит вкрай необхідно, а без аудиту ніколи не буде довіри між користувачами, оскільки звіти аудиту багато значать. Багато користувачів шукають звіт про аудит, перш ніж довіряти проектам. Однією з провідних фірм з надання аудиторських послуг є QuillAudits. Маючи понад 700 захищених проектів і багато інших, ми гарантуємо повну безпеку протоколів. Перегляньте наш веб-сайт зараз і пройдіть перевірку вашого проекту.

20 думки

Часова мітка:

Більше від Квілхаш