CertiK-i direktor Lau peab tehisintellekti riskidest hoolimata üldiselt positiivseks

CertiK-i Kaijern Lau: tehisintellekt mõjub Web3-turvalisusele positiivselt, kuid on samas ka „kahe teraga mõõk“

Blockchaini turvalisuse ja auditeerimise maailm muutub kiiresti, kuna ekspluate ja haavatavusi kasutatakse ära ja avastatakse nüüd palju kiiremini tänu tehisintellekti (AI) kaasamisele haavatavuste avastamise protsessidesse.

Üldised mured seoses tehisintellekti kasvava rolliga nendes tegevustes on suurenenud Hugging Face’i intsidendi tõttu, kus tehisintellekti platvormi rünnati – see oli esimene sissetung, mida „algusest lõpuni juhtis autonoomne tehisintellekti agentide süsteem“.

See juhtum, mille eest süüdistati hiljem OpenAI mudelit, mis pääses välja oma testimiskeskkonnast, kinnitas, et agendipõhine küberjulgeolekusõda on reaalsus ning et institutsioonid peavad olema valmis nendele riskidele vastu astuma juba praegu, mitte alles homme.

Mure on jõudnud ka Web3 ökosüsteemi, kus turvalisus on pigem passiivne kui aktiivne ning seda hallatakse tootmisfaasides kavandatud auditite ja turvalisuskaalutluste abil, mida sageli ei ole võimalik reaalajas uuendada enne uute lepingute kasutuselevõttu.

Eksklusiivses intervjuus Bitcoin.com Newsiga analüüsis CertiK-i inseneriosakonna vanemdirektor Kaijern Lau tehisintellekti rolli nii nendes rünnakutes kui ka koodi auditeerimise protsessis nende ennetamiseks.

Lau rõhutab, et tehisintellekt võib olla kasulik vahend haavatavuste tuvastamiseks ja potentsiaalsete rünnakuvektorite uurimiseks platvormil. Siiski on inimese sekkumine endiselt vajalik, „et tagada, et tehisintellekt on koodi põhjalikult analüüsinud, ning veenduda, et kõik teatatud haavatavused on tõelised, mitte valehäired.“

Lau märkis, et hiljutised uuringud, mis käsitlevad riistvarakoti rünnakupindu, illustreerivad tehisintellekti piiranguid ja inimese kaasatuse olulisust. „Tehisintellekt võib aidata mustreid esile tuua ja analüüsi kiirendada, kuid tulemuste valideerimiseks ja nende tegeliku mõju hindamiseks on endiselt vaja kogenud uurijaid,“ hindas ta.

Hugging Face’i intsident oli erandlik, mitte tõend „petturite“ olemasolust

Lau rõhutas, et Hugging Face’i intsident tekkis spetsiifilises hindamiskeskkonnas ning et sellise ootamatu olukorra esinemine ei tähenda, et tehisintellekti mudeleid ei ole võimalik kontrollida.

Sellest hoolimata tõi ta esile, et rünnak tõi esile tehisintellekti agentide praegused võimed, mis suudavad üha enam teostada keerukaid küberturvalisuse operatsioone, sealhulgas tuvastada ja kombineerida nõrkusi, mis eraldi võetuna tunduvad hallatavad – nagu avatud teenus, vale konfiguratsioon, liigsed õigused või ohustatud autentimisandmed –, ning muuta need masina kiirusel koordineeritud rünnakuteeks.

Seega näitab see ka seda, kuidas investeerimine tehisintellekti turvalisuse eesmärgil on muutumas normiks ettevõtete jaoks, kes pakuvad koodipõhiseid tooteid, nagu Web3 ja plokiahela tööstus.

„Tehisintellekt muudab nii ründajad kui ka kaitsjad võimekamaks. Seetõttu peaksid plokiahelaettevõtted investeerima rohkem tehisintellekti põhinevasse turvalisusse, et kaitsta oma koodi ja infrastruktuuri. Me astume ajastusse, kus võtmeküsimuseks ei ole enam see, kas tehisintellekti kasutada, vaid kui palju tehisintellekti ressursse (või tokeneid) organisatsioonid investeerivad oma süsteemide kaitsmisse võrreldes ressurssidega, mida ründajad investeerivad üha keerukamate rünnakute käivitamisse,“ kinnitas ekspert.

Tehisintellekt ja plokiahela turvalisus: kus me praegu oleme

Kuigi Lau on kindel, et tehisintellekti ja plokiahela turvalisus põimuvad paratamatult omavahel, tunnistab ta, et on veel liiga vara, et haavatavuste avastamine ja turvalise tarkvara arendamine saaksid toimuda ilma inimese sekkumiseta.

CertiK peab isegi kaitsvaid agente ja nende tööriistu osaks rünnakupinnast, kuna neid saab kontrollida kiire süstimise, pahatahtlike tööriistade sisestuste, liigsete õiguste, andmelekke või ebaturvalise automatiseeritud parandamise suhtes. Tegelikult on ettevõte loonud tööriista nimega AI Skill Scanner, mis aitab tuvastada riske tehisintellekti oskustes enne nende kasutuselevõttu, suurendades seeläbi tehisintellekti agentide üle teostatavat kontrolli.

Lau paljastas, et CertiK jätkab märkimisväärseid investeeringuid, et luua täiustatud tehisintellekti-põhine turvalisus. „Meie ettevõttesisene arendajad ja turbeuurijad töötavad ööpäevaringselt, et edendada tehisintellekti abil juhitavat plokiahela turvalisust,“ kinnitas ta.

CertiK on välja töötanud ka AI Auditor – tööriista, mis teostab plokiahela projektide automaatset analüüsi, tuvastades levinud turvariske. „See mitmemudeliline ja mitme agendi lähenemisviis parandab nii turvaanalüüside täpsust kui ka usaldusväärsust,“ ütles Lau, kirjeldades, kuidas ettevõte arendab oma kaitsvõimet AI-abiga tegutsevate ründajate vastu.

Tehisintellekti tasakaalustamine: kuhu edasi

Kuigi tehisintellekt vähendab rünnakute takistusi – kuna ründajad kasutavad juba agente, et leida ärakasutamisvõimalusi ja otsida nutilepingutest nõrkusi –, kinnitab Lau, et tehisintellekti kasutamisel kaitsemeetmetena on reaalsed eelised.

„Tehisintellekt suurendab märkimisväärselt meie ohu tuvastamise tõhusust ja ulatust. CertiK on parandanud formaalse verifitseerimise tõhusust, integreerides tehisintellekti oma patenteeritud CertiK Prover-mootorisse,“ täpsustas Lau.

Lau sõnul ulatub CertiK panus sellesse valdkonda kaugemale kui lihtsalt haavatavuste avastamine ning selle eesmärk on tagada, et kaitsemeetmed püsiksid tekkivate tehisintellekti ohtude ees sammu võrra ees, koolitades ja kasutades oma tehisintellekti mudeleid klientide turvalisuse tagamiseks.

„Kokkuvõttes on tehisintellekt Web3-turvalisuse jaoks positiivne jõud, kuid see on vaieldamatult kahe teraga mõõk, mis nõuab pidevat tasakaalu otsimist,“ järeldas Lau.