Direktur CertiK, Lau, Mengemukakan Bahwa AI Memiliki Dampak Positif Secara Keseluruhan Meskipun Ada Risiko

Kaijern Lau dari CertiK: AI Akan Berdampak Positif bagi Keamanan Web3, Namun Juga Menjadi 'Pedang Bermata Dua'

Dunia keamanan dan audit blockchain berubah dengan cepat karena eksploitasi dan kerentanan kini dimanfaatkan dan ditemukan jauh lebih cepat berkat keterlibatan kecerdasan buatan (AI) dalam proses penemuan kerentanan.

Kekhawatiran umum mengenai risiko meningkatnya peran AI dalam aktivitas-aktivitas ini semakin meningkat setelah insiden Hugging Face, di mana sebuah platform AI mengalami peretasan, yang merupakan intrusi pertama yang “didorong, dari awal hingga akhir, oleh sistem agen AI otonom.”

Peristiwa tersebut, yang kemudian disalahkan pada model OpenAI yang lolos dari lingkungan pengujiannya, menegaskan bahwa perang siber yang didorong oleh agen telah menjadi kenyataan dan bahwa lembaga-lembaga perlu bersiap menghadapi risiko ini sekarang, bukan besok.

Kekhawatiran ini juga telah merambah ke ekosistem Web3, di mana keamanan lebih bersifat pasif daripada aktif, dikelola melalui audit dan pertimbangan keamanan yang dirancang selama fase produksi, dan seringkali tidak dapat diperbarui secara real-time sebelum kontrak baru diterapkan.

Dalam wawancara eksklusif dengan Bitcoin.com News, Kaijern Lau, Direktur Senior Teknik di CertiK, mengkaji peran AI baik dalam serangan-serangan ini maupun dalam proses audit kode untuk mencegahnya.

Lau menekankan bahwa AI dapat menjadi alat yang berguna untuk mengidentifikasi kerentanan dan menganalisis vektor serangan potensial pada suatu platform. Meskipun demikian, keterlibatan manusia sebagai perantara tetap diperlukan “untuk memastikan bahwa AI telah menganalisis kode secara menyeluruh dan untuk memverifikasi bahwa kerentanan yang dilaporkan benar-benar ada, bukan sekadar false positive.”

Lau menyatakan bahwa penelitian terbaru mengenai permukaan serangan dompet perangkat keras menggambarkan keterbatasan AI dan pentingnya keterlibatan manusia. "AI dapat membantu mengungkap pola dan mempercepat analisis, tetapi peneliti berpengalaman tetap dibutuhkan untuk memvalidasi temuan dan menilai dampak sebenarnya," katanya.

Insiden Hugging Face Merupakan Kasus Terisolasi, Bukan Bukti Adanya "Agen Nakal"

Lau menekankan bahwa insiden Hugging Face terjadi dalam konteks evaluasi tertentu dan bahwa kejadian darurat semacam itu tidak berarti model AI tidak dapat dikendalikan.

Meski demikian, ia menyoroti bahwa serangan tersebut menyoroti kemampuan agen AI saat ini, yang semakin mampu melaksanakan operasi keamanan siber yang kompleks, termasuk mengidentifikasi dan menggabungkan kelemahan-kelemahan yang tampaknya dapat dikelola secara terpisah—seperti layanan yang terpapar, konfigurasi yang salah, izin yang berlebihan, atau kredensial yang diretas—dan mengubahnya menjadi jalur serangan terkoordinasi dengan kecepatan mesin.

Akibatnya, hal ini juga menunjukkan bagaimana investasi dalam AI untuk tujuan keamanan semakin menjadi hal yang lazim bagi perusahaan dengan produk berbasis kode, seperti industri Web3 dan blockchain.

"AI akan membuat baik penyerang maupun pihak yang bertahan menjadi lebih mumpuni. Itulah mengapa perusahaan blockchain harus lebih banyak berinvestasi dalam keamanan berbasis AI untuk melindungi kode dan infrastruktur mereka. Kita sedang memasuki era di mana pertanyaan utamanya bukan lagi apakah akan menggunakan AI, melainkan seberapa banyak sumber daya AI (atau token) yang diinvestasikan organisasi untuk mempertahankan sistem mereka dibandingkan dengan sumber daya yang diinvestasikan penyerang untuk melancarkan serangan yang semakin canggih," kata sang ahli.

Keamanan AI dan Blockchain: Di Mana Kita Berada

Meskipun Lau yakin bahwa keamanan AI dan blockchain pada akhirnya akan saling terkait, ia mengakui bahwa masih terlalu dini untuk menyelesaikan tugas-tugas penemuan kerentanan dan pengembangan perangkat lunak yang aman tanpa campur tangan manusia.

CertiK bahkan menganggap agen pertahanan dan alat-alatnya sebagai bagian dari permukaan serangan, karena dapat diuji untuk injeksi prompt, masukan alat berbahaya, izin berlebihan, kebocoran data, atau perbaikan otomatis yang tidak aman. Faktanya, perusahaan ini telah merancang sebuah alat, yaitu AI Skill Scanner, untuk membantu mengidentifikasi risiko dalam keterampilan AI sebelum penerapan, sehingga meningkatkan kontrol yang dilakukan terhadap agen AI.

Lau mengungkapkan bahwa CertiK akan terus berinvestasi besar-besaran untuk membangun keamanan canggih yang didukung AI. "Pengembang dan peneliti keamanan internal kami bekerja tanpa henti untuk memajukan keamanan blockchain berbasis AI," tegasnya.

CertiK juga telah mengembangkan AI Auditor, sebuah alat yang melakukan analisis otomatis terhadap proyek-proyek blockchain, mengidentifikasi risiko keamanan yang umum. "Pendekatan multi-model dan multi-agen ini meningkatkan akurasi dan keandalan penilaian keamanan," kata Lau, menjelaskan bagaimana perusahaan tersebut mengembangkan kemampuan pertahanannya terhadap pelaku yang didukung AI.

Keseimbangan AI: Langkah Selanjutnya

Meskipun AI menurunkan hambatan untuk melakukan serangan—karena pelaku ancaman sudah memanfaatkan agen untuk menemukan celah dan memindai kontrak pintar guna mencari kerentanan—Lau menegaskan bahwa ada keuntungan nyata dalam menggunakan AI untuk tujuan pertahanan.

"AI secara dramatis meningkatkan efisiensi dan cakupan deteksi ancaman kami. CertiK telah meningkatkan efisiensi verifikasi formal dengan mengintegrasikan AI ke dalam mesin CertiK Prover miliknya," jelas Lau.

Kontribusi CertiK di bidang ini, kata Lau, melampaui sekadar mendeteksi kerentanan dan bertujuan memastikan bahwa langkah-langkah keamanan defensif tetap selangkah lebih maju dari ancaman AI yang muncul ini, dengan juga melatih dan menerapkan model AI-nya untuk melindungi pelanggannya.

"Secara keseluruhan, AI akan menjadi kekuatan positif bagi keamanan Web3, namun tak dapat dipungkiri bahwa ini adalah pedang bermata dua yang membutuhkan keseimbangan yang terus-menerus," tutup Lau.