CertiK:n johtaja Lau pitää tekoälyä kokonaisuudessaan myönteisenä kehityksenä riskeistä huolimatta

CertiK:n Kaijern Lau: Tekoäly vaikuttaa myönteisesti Web3-turvallisuuteen, mutta on myös ”kaksiteräinen miekka”

Lohkoketjujen tietoturvan ja auditoinnin maailma muuttuu nopeasti, sillä haavoittuvuuksia ja niiden hyödyntämismahdollisuuksia löydetään nyt paljon nopeammin, kun tekoäly (AI) on otettu mukaan haavoittuvuuksien löytämisprosesseihin.

Yleiset huolet tekoälyn kasvavan roolin riskeistä näissä toiminnoissa ovat lisääntyneet Hugging Face -tapauksen myötä, jossa tekoälyalusta joutui hakkeroinnin kohteeksi. Kyseessä oli ensimmäinen tunkeutuminen, joka oli ”alusta loppuun asti autonomisen tekoälyagenttijärjestelmän ohjaama”.

Tapaus, jonka syyksi myöhemmin todettiin OpenAI-mallin karkaaminen testausympäristöstään, vahvisti, että agenttivetoiset kyberturvallisuussodat ovat todellisuutta ja että organisaatioiden on varauduttava näihin riskeihin nyt, ei vasta huomenna.

Huoli on levinnyt myös Web3-ekosysteemiin, jossa tietoturva on luonteeltaan enemmän passiivista kuin aktiivista ja jota hallitaan tuotantovaiheissa suunnitelluilla auditoinneilla ja tietoturvatoimenpiteillä, joita ei useinkaan voida päivittää reaaliajassa ennen uusien sopimusten käyttöönottoa.

Bitcoin.com Newsin eksklusiivisessa haastattelussa CertiK:n tekninen johtaja Kaijern Lau tarkasteli tekoälyn roolia sekä näissä hyökkäyksissä että koodin auditointiprosessissa niiden ehkäisemiseksi.

Lau korostaa, että tekoäly voi olla hyödyllinen työkalu haavoittuvuuksien tunnistamiseen ja alustan mahdollisten hyökkäysvektoreiden tutkimiseen. Siitä huolimatta ihmisen osallistuminen on edelleen välttämätöntä ”varmistamaan, että tekoäly on analysoinut koodin perusteellisesti, ja tarkistamaan, että raportoidut haavoittuvuudet ovat aitoja eivätkä vääriä positiivisia”.

Lau totesi, että tuoreet tutkimukset, jotka käsittelevät laitteistolompakoiden hyökkäyskohteita, havainnollistavat tekoälyn rajoituksia ja ihmisen osallistumisen merkitystä. ”Tekoäly voi auttaa tunnistamaan malleja ja nopeuttamaan analysointia, mutta kokeneita tutkijoita tarvitaan edelleen tulosten vahvistamiseen ja niiden todellisten vaikutusten arviointiin”, hän totesi.

Hugging Face -tapaus oli yksittäinen, ei todiste ”roistomaisista agenteista”

Lau korosti, että Hugging Face -tapaus ilmeni tietyssä arviointitilanteessa ja että tällaisen poikkeustilanteen esiintyminen ei tarkoita, että tekoälymalleja ei voida hallita.

Siitä huolimatta hän huomautti, että hyökkäys toi esiin tekoälyagenttien nykyiset kyvyt: ne pystyvät yhä paremmin suorittamaan monimutkaisia kyberturvallisuustoimia, mukaan lukien sellaisten heikkouksien tunnistamisen ja yhdistämisen, jotka erikseen tarkasteltuna vaikuttavat hallittavilta – kuten altistunut palvelu, virheellinen konfiguraatio, liialliset käyttöoikeudet tai vaarantuneet tunnistetiedot – ja muuntamaan ne koordinoiduksi hyökkäysreitiksi koneen nopeudella.

Tämä osoittaa myös, kuinka investoiminen tekoälyyn turvallisuustarkoituksissa on tulossa normiksi yrityksille, joilla on koodipohjaisia tuotteita, kuten Web3- ja lohkoketjualalla.

”Tekoäly parantaa sekä hyökkääjien että puolustajien kykyjä. Siksi lohkoketjuyritysten tulisi investoida enemmän tekoälypohjaiseen tietoturvaan suojellakseen koodiaan ja infrastruktuuriaan. Olemme siirtymässä aikakauteen, jossa keskeinen kysymys ei ole enää se, käytetäänkö tekoälyä, vaan se, kuinka paljon tekoälyresursseja (tai tokeneita) organisaatiot investoivat järjestelmiensä puolustamiseen verrattuna resursseihin, joita hyökkääjät investoivat yhä kehittyneempien hyökkäysten käynnistämiseen”, asiantuntija totesi.

Tekoäly ja lohkoketjuturvallisuus: missä mennään

Vaikka Lau on varma siitä, että tekoäly ja lohkoketjuturvallisuus kietoutuvat väistämättä toisiinsa, hän myöntää, että on vielä liian aikaista, jotta haavoittuvuuksien havaitseminen ja turvallinen ohjelmistokehitys voitaisiin hoitaa ilman ihmisen puuttumista asiaan.

CertiK pitää jopa puolustavia agentteja ja niiden työkaluja osana hyökkäyspintaa, sillä niitä voidaan tutkia nopean injektoinnin, haitallisten työkalujen syötteiden, liiallisten käyttöoikeuksien, tietovuotojen tai vaarallisten automaattisten korjaustoimenpiteiden varalta. Itse asiassa yritys on kehittänyt työkalun, AI Skill Scannerin, joka auttaa tunnistamaan tekoälytaitoihin liittyvät riskit ennen niiden käyttöönottoa, mikä lisää tekoälyagenttien valvontaa.

Lau paljasti, että CertiK jatkaa mittavia investointeja kehittääkseen edistynyttä tekoälypohjaista tietoturvaa. ”Omat kehittäjämme ja tietoturvatutkijamme työskentelevät ympäri vuorokauden edistääkseen tekoälypohjaista lohkoketjutietoturvaa”, hän vahvisti.

CertiK on kehittänyt myös AI Auditor -työkalun, joka suorittaa lohkoketjuprojektien automaattisen analyysin ja tunnistaa yleisiä tietoturvariskejä. ”Tämä monimallinen ja moniagenttinen lähestymistapa parantaa sekä tietoturva-arviointien tarkkuutta että luotettavuutta”, sanoi Lau kuvatessaan, kuinka yritys kehittää puolustuskykyjään tekoälyä hyödyntäviä toimijoita vastaan.

Tekoälyn tasapainoilua: mihin tästä eteenpäin

Vaikka tekoäly madaltaa hyökkäyskynnystä – sillä uhkatekijät hyödyntävät jo agentteja haavoittuvuuksien löytämiseen ja älykkäiden sopimusten skannaamiseen – Lau vakuuttaa, että tekoälyn käytöllä puolustustarkoituksiin on todellisia etuja.

”Tekoäly parantaa merkittävästi uhkien havaitsemisen tehokkuutta ja laajuutta. CertiK on parantanut formaalin verifioinnin tehokkuutta integroimalla tekoälyn omaan CertiK Prover -moottoriinsa”, Lau täsmensi.

CertiK:n panos alalle, Lau sanoi, ulottuu haavoittuvuuksien havaitsemisen ulkopuolelle ja tähtää siihen, että puolustavat turvatoimet pysyvät näiden nousevien tekoälyuhkien edellä kouluttamalla ja hyödyntämällä myös omia tekoälymallejaan asiakkaidensa turvaamiseksi.

”Kaiken kaikkiaan tekoäly on Web3-turvallisuudelle selvästi positiivinen voima, mutta se on kiistatta kaksiteräinen miekka, joka vaatii jatkuvaa tasapainoilua”, Lau totesi lopuksi.