Direktor podjetja CertiK, Lau, kljub tveganjem zagovarja umetno inteligenco kot neto pozitivno

Kaijern Lau iz podjetja CertiK: AI bo imela pozitiven vpliv na varnost Web3, vendar bo tudi »dvorezni meč«

Svet varnosti in revizije blockchaina se hitro spreminja, saj se izkoriščanja in ranljivosti zdaj odkrivajo in izkoriščajo veliko hitreje zaradi vključitve umetne inteligence (AI) v procese odkrivanja ranljivosti.

Splošne skrbi glede tveganj, povezanih z vse večjo vlogo umetne inteligence pri teh dejavnostih, so se okrepile po incidentu z Hugging Face, kjer je bila platforma umetne inteligence žrtev hekerskega napada – to je bil prvi vdor, ki ga je »od začetka do konca izvedel avtonomen sistem agentov umetne inteligence«.

Incident, za katerega so kasneje krivili model OpenAI, ki je pobegnil iz testnega okolja, je potrdil, da je kibernetska vojna, ki jo vodijo agenti, realnost in da se morajo institucije na ta tveganja pripraviti že danes, ne šele jutri.

Zaskrbljenost je dosegla tudi ekosistem Web3, kjer je varnost bolj pasivna kot aktivna, saj jo upravljajo revizije in varnostni ukrepi, zasnovani v fazah razvoja, ki jih pogosto ni mogoče posodobiti v realnem času pred uvedbo novih pogodb.

V ekskluzivnem intervjuju za Bitcoin.com News je Kaijern Lau, višji direktor za inženiring pri podjetju CertiK, preučil vlogo umetne inteligence tako pri teh napadih kot tudi pri procesu revidiranja kode za njihovo preprečevanje.

Lau poudarja, da je umetna inteligenca lahko koristno orodje za prepoznavanje ranljivosti in preučevanje potencialnih vektorjev napadov na platformi. Kljub temu je vključitev človeka vmes še vedno potrebna, »da se zagotovi, da je umetna inteligenca kodo temeljito analizirala, in da se preveri, ali so vse prijavljene ranljivosti resnične in ne lažni pozitivni rezultati«.

Lau je izjavil, da nedavne raziskave, ki obravnavajo površine za napade na strojne denarnice, ponazarjajo omejitve umetne inteligence in pomembnost človeškega vključevanja. »Umetna inteligenca lahko pomaga odkriti vzorce in pospeši analizo, vendar so za potrditev ugotovitev in oceno njihovega dejanskega vpliva še vedno potrebni izkušeni raziskovalci,« je ocenil.

Incident pri Hugging Face je osamljen primer, ni dokaz za »nepooblaščene agente«

Lau je poudaril, da se je incident pri Hugging Face zgodil v specifičnem ocenjevalnem okolju in da takšen izjemni primer ne pomeni, da so modeli umetne inteligence neobvladljivi.

Kljub temu je poudaril, da je napad izpostavil trenutne zmožnosti AI-agentov, ki so vse bolj sposobni izvajati zapletene operacije na področju kibernetske varnosti, vključno z identificiranjem in združevanjem šibkih točk, ki se posamično zdijo obvladljive – kot so izpostavljena storitev, napačna konfiguracija, prekomerna dovoljenja ali ogrožena avtentifikacijska podatka – ter njihovo preoblikovanje v usklajeno pot napada s hitrostjo računalnika.

Posledično to kaže tudi, kako vlaganje v umetno inteligenco za varnostne namene postaja norma za podjetja s produkti, ki temeljijo na kodi, kot sta industrija Web3 in blockchain.

»Umetna inteligenca bo povečala zmogljivosti tako napadalcev kot tudi branilcev. Zato bi morala podjetja na področju blockchaina več vlagati v varnost, ki temelji na umetni inteligenci, da bi zaščitila svojo kodo in infrastrukturo. Vstopamo v obdobje, v katerem ključno vprašanje ni več, ali naj se umetna inteligenca uporablja, ampak koliko virov umetne inteligence (ali žetonov) organizacije vlagajo v zaščito svojih sistemov v primerjavi z viri, ki jih napadalci vlagajo v izvajanje vedno bolj sofisticiranih napadov,“ je izjavil strokovnjak.

Umetna inteligenca in varnost blockchaina: kje smo

Čeprav je Lau prepričan, da se bosta umetna inteligenca in varnost blockchaina neizogibno prepletli, priznava, da je še prezgodaj, da bi se naloge odkrivanja ranljivosti in varnega razvoja programske opreme izvajale brez človeškega posredovanja.

CertiK celo obravnava obrambne agente in njihova orodja kot del površine napada, saj jih je mogoče preizkusiti glede takojšnjega vbrizga kode, zlonamernih vnosov orodij, prekomernih dovoljenj, uhajanja podatkov ali nevarnih avtomatiziranih popravkov. Pravzaprav je podjetje razvilo orodje AI Skill Scanner, ki pomaga prepoznati tveganja v AI-spretnostih pred njihovo uvedbo, s čimer se poveča nadzor nad AI-agenti.

Lau je razkril, da bo CertiK še naprej močno vlagal v razvoj napredne varnosti, ki temelji na umetni inteligenci. »Naši notranji razvijalci in varnostni raziskovalci delajo 24 ur na dan, da bi izboljšali varnost blockchaina, ki temelji na umetni inteligenci,« je potrdil.

CertiK je razvil tudi AI Auditor, orodje, ki izvaja avtomatsko analizo projektov na podlagi tehnologije blockchain in prepoznava pogosta varnostna tveganja. »Ta večmodelni pristop z več agenci izboljšuje tako natančnost kot zanesljivost varnostnih ocen,« je dejal Lau in opisal, kako podjetje razvija svoje obrambne zmogljivosti proti akterjem, ki jih podpira umetna inteligenca.

Uravnoteženje umetne inteligence: kam naprej

Čeprav umetna inteligenca znižuje ovire za napade – saj akterji, ki predstavljajo grožnjo, že izkoriščajo agente za odkrivanje ranljivosti in pregledovanje pametnih pogodb –, Lau zagotavlja, da uporaba umetne inteligence v obrambne namene prinaša resnične prednosti.

»Umetna inteligenca dramatično poveča učinkovitost in obseg našega odkrivanja groženj. CertiK je izboljšal učinkovitost formalnega preverjanja z vključitvijo umetne inteligence v svoj lastniški motor CertiK Prover,« je pojasnil Lau.

Prispevek podjetja CertiK na tem področju, je dejal Lau, presega zgolj odkrivanje ranljivosti in si prizadeva zagotoviti, da obrambni varnostni ukrepi ostanejo korak pred temi nastajajočimi grožnjami umetne inteligence, in sicer tudi z usposabljanjem in uporabo lastnih modelov umetne inteligence za zaščito svojih strank.

»Na splošno bo umetna inteligenca imela neto pozitiven vpliv na varnost Web3, vendar je nedvomno dvorezni meč, ki zahteva nenehno iskanje ravnovesja,« je zaključil Lau.