مدققو Cardano يدعون إلى مراجعات مستمرة مع بقاء مكافآت Intersect دون تمويل
قال متخصصو الأمن في مائدة مستديرة لـ Cardano Foundation إن مراجعات التطبيقات يجب أن تمتد إلى ما بعد العقود الذكية لتشمل أنظمة التوقيع واعتمادات البرمجيات والإجراءات التشغيلية. وقال عضو Intersect Security Council Samuel Leathers إن تقارير الثغرات لا تزال قيد المراجعة، لكن دورة التمويل الحالية لا تتضمن أموالاً متاحة لمدفوعات برنامج مكافآت الثغرات.
By SongMarketCap
جمعت مناقشة يوم 28 سبتمبر كلاً من Philip DiSarro من Midgard Labs و Santiago من TxPipe و Aleksandr من Tweag و Ben Hart من MLabs و Leathers. وبإدارة Denicio Bute من Cardano Foundation، تناولت كيف يغيّر الذكاء الاصطناعي كلاً من اكتشاف الثغرات والعمل المطلوب للدفاع عن تطبيقات Cardano.
الذكاء الاصطناعي يثير انقساماً بين خبراء أمن Cardano
بدأ Bute بسؤال عما إذا كانت الثغرات الأخيرة في نظام Cardano البيئي قد انطوت على مهاجمين مدعومين بالذكاء الاصطناعي. ورأى DiSarro أن النماذج الحالية تمنح المهاجمين المتمرسين أدوات قوية لفحص الشيفرة والسعي وراء استغلالات معقدة. وبرأيه تحتاج فرق التطوير إلى اختبار بروتوكولاتها مراراً مع تحسن تلك الأدوات.
عارض Hart الفكرة القائلة إن الذكاء الاصطناعي قادر بالفعل على أداء عمل مهاجم أو مدقق خبير بمفرده. ففي عمليات تدقيق استخدم فيها الذكاء الاصطناعي ظل البشر يحددون أكثر المشكلات أهمية. فقد أدرك إنسان نقطة الضعف في مواصفات منتج ووضع طريقة لاختبارها حتى عندما ساعد نموذج في إنتاج شيفرة الاختبار.
وصف Leathers حداً عملياً نابعاً من تقارير الثغرات لدى Intersect. فقد ارتفع عدد الإرساليات بشكل حاد، لكن كثيراً منها لا يثبت مشكلة أمنية حقيقية. وقال إن أقوى التقارير ما زالت عموماً تأتي من باحثين ذوي خبرة ذات صلة. ولم تقدّم اللجنة أدلة خاصة بحالات بعينها تثبت استخدام الذكاء الاصطناعي في ثغرات Cardano التي نوقشت خلال الجلسة.
كما رفض المتحدثون الافتراض القائل إن نموذج UTxO الممتد في Cardano يجعل تطبيقاته صعبة التحليل على أدوات الذكاء الاصطناعي لأن تلك الأدوات أكثر ألفة مع شيفرة EVM. وأشار Leathers إلى الوثائق المتاحة لـ Cardano و Plutus. فمعمارية Cardano تمنع بعض فئات هجمات العقود الذكية، لكن التطبيق قد يظل يضم عيوباً في منطقه الداخلي أو في الأنظمة المحيطة به.
عمليات تدقيق Cardano تمتد إلى ما بعد العقود الذكية
انتقلت المناقشة من شيفرة العقد إلى المسار الكامل الذي يتعامل من خلاله التطبيق مع أموال المستخدمين. يمكن للخوادم ومكتبات البرمجيات واتصالات المحافظ وأجهزة التوقيع والمفاتيح الإدارية أن تؤثر جميعها في مآل المعاملة. ولا يستطيع متحقق آمن على السلسلة حماية المستخدمين من كل فشل في تلك المكونات.
قال Hart إن الشيفرة المولدة بالذكاء الاصطناعي جعلت المواصفات أكثر أهمية. فإذا لم يستطع فريق التطوير وصف ما ينبغي لمنتجه أن يسمح به ويمنعه بدقة، فلن يكون لدى المدقق معيار موثوق لمراجعة التنفيذ عليه. وأضاف Santiago أن على الفرق تحديد نموذج التهديد لديها والبت في مدى المرونة أو قابلية الترقية التي تريدها، لأن تلك الاختيارات قد تضيف سبيلاً إضافياً لتغيير النظام.
هذا العمل يمنح الاختبارات والتحقق الشكلي غاية ملموسة، وهي التحقق مما إذا كان التطبيق يحافظ على قواعده المعلنة. وجادل DiSarro بأن على الفرق المضي أبعد بمحاولة شن هجمات محكومة على بروتوكولاتها الخاصة. كما يجب أن تواكب المراجعات أي تغييرات جوهرية في الشيفرة والبنية التحتية والإجراءات التشغيلية، بدلاً من الاعتماد إلى ما لا نهاية على تدقيق أُنجز قبل الإطلاق.
وصفت شركات التدقيق الذكاء الاصطناعي بوصفه جزءاً من تلك العملية. فبوسع النماذج البحث عن الأنماط ومقارنة الشيفرة بالمواصفات واقتراح مسارات هجوم محتملة. وقال Santiago إن فريقه يتحقق من النتائج المؤتمتة عبر مراجعة بشرية؛ كما ناقشت اللجنة استخدام أكثر من نموذج لأن الأدوات المختلفة قد تكشف قضايا مختلفة. وما زالت الإيجابيات الكاذبة تستهلك وقت المراجعة، فيما تؤثر حساسية الشيفرة ومتطلبات الحوسبة في قرار استخدام نموذج مستضاف أو مشغّل محلياً.
برنامج مكافآت الثغرات لدى Intersect يواجه فجوة تمويل
أشار Leathers بعد ذلك إلى مشكلة منفصلة تخص الإفصاح المنسّق عن الثغرات. وقال إن تمويل مكافآت الثغرات لم يُقَر في دورة الخزانة الحالية. ولا يزال بإمكان الباحثين تقديم تقارير، ويواصل Intersect Security Council مراجعتها، لكنه لا يستطيع حالياً دفع مكافآت جديدة عبر مسار التمويل ذاك. وأضاف أن المجلس يعمل مع Intersect على بدائل وأن سحباً من الخزانة يوافق عليه المجتمع قد يوفّر التمويل.
أطلقت Intersect برنامج مكافآت الثغرات لديها في عام 2025 للبنية التحتية والأدوات التي تديرها أو ترعاها. وتقع العقود الذكية ضمن نطاقه فقط عند تضمينها صراحة. وقد تعلقت ملاحظات Leathers بذلك البرنامج؛ بينما تدير Cardano Foundation ترتيب مكافآت منفصلاً.
كما أن زيادة حجم التقارير المولدة بالذكاء الاصطناعي ترفع تكلفة مراجعة الإرساليات. ودعا Leathers إلى فرز أكثر صرامة كي تنال الثغرات القابلة لإعادة الإنتاج الاهتمام فيما تُصنَّف النتائج الخاطئة ومسائل الصيانة الاعتيادية تصنيفاً مناسباً. وحثّ DiSarro على نحو منفصل بروتوكولات DeFi والجسور الفردية على إرساء مكافآتها وإجراءات التعامل مع الحوادث قبل وقوع استغلال.
تركت المائدة المستديرة لدى Intersect سؤال حوكمة محدداً. فقناة الإفصاح لديها ما زالت مفتوحة وما زال Intersect Security Council يقيّم التقارير. وأضحى تمويل مكافآت الباحثين يعتمد الآن على ترتيب جديد أو قرار من الخزانة. وسيحدد ذلك القرار ما إذا كان الاكتشاف الصالح ضمن برنامج Intersect يمكن أن يقود مجدداً إلى الدفع الذي صُمِّم البرنامج لتقديمه.