เกณฑ์มาตรฐานใหม่เผย ตัวแทน AI สามารถโจมตีช่องโหว่สัญญาอัจฉริยะส่วนใหญ่ได้ด้วยตนเอง
ในยุคที่เทคโนโลยีบล็อกเชนเติบโตอย่างรวดเร็ว สัญญาอัจฉริยะ (Smart Contracts) ได้กลายเป็นหัวใจสำคัญของแอปพลิเคชันกระจายอำนาจ (Decentralized Applications หรือ dApps) บนเครือข่ายอย่าง Ethereum อย่างไรก็ตาม ช่องโหว่ในสัญญาอัจฉริยะเหล่านี้ก่อให้เกิดความสูญเสียทางการเงินมหาศาล โดยมูลค่าความเสียหายสะสมเกินกว่า 10 พันล้านดอลลาร์สหรัฐฯ ตั้งแต่ปี 2561 เป็นต้นมา การตรวจสอบสัญญาอัจฉริยะในปัจจุบันยังคงพึ่งพาการตรวจสอบด้วยตนเองจากผู้เชี่ยวชาญ ซึ่งมีต้นทุนสูงและใช้เวลานาน นักวิจัยจาก OpenAI, Microsoft และสถาบันอื่นๆ จึงได้พัฒนาเกณฑ์มาตรฐานใหม่ชื่อ “Smart Contract Vulnerability Exploitation Benchmark” เพื่อทดสอบความสามารถของตัวแทนปัญญาประดิษฐ์ (AI Agents) ในการค้นหาและโจมตีช่องโหว่เหล่านี้โดยอัตโนมัติ
เกณฑ์มาตรฐานดังกล่าวประกอบด้วยสัญญาอัจฉริยะที่เป็นช่องโหว่จริง 20 ฉบับ ซึ่งรวบรวมมาจากการแข่งขันด้านความปลอดภัยบล็อกเชนชั้นนำ เช่น Paradigm CTF, Sherlock และ Code4rena สัญญาเหล่านี้ครอบคลุมช่องโหว่หลากหลายประเภท เช่น Reentrancy (การเรียกซ้ำ), Integer Overflow/Underflow (การล้น/ขาดของจำนวนเต็ม), Access Control (การควบคุมสิทธิ์เข้าถึง) และ Logic Errors (ข้อผิดพลาดทางตรรกะ) แต่ละสัญญามีระดับความยากแตกต่างกัน โดยบางฉบับต้องการการวิเคราะห์โค้ดที่ซับซ้อนและการสร้าง Transaction Exploit ที่แม่นยำ
ในการทดสอบ นักวิจัยได้จัดเตรียมสภาพแวดล้อมที่สมจริงให้กับตัวแทน AI โดยมอบเครื่องมือสนับสนุน เช่น เครื่องมือเรียกใช้งานสัญญาอัจฉริยะบน Fork ของเครือข่าย Ethereum ทดสอบ (Testnet Fork), เครื่องมือค้นหาเว็บ, เครื่องมือเรียกใช้งานโค้ด และฐานข้อมูลช่องโหว่ที่รู้จักกันดีอย่าง SWC Registry ตัวแทน AI ต้องทำงานด้วยตนเอง ตั้งแต่การอ่านโค้ดสัญญา วิเคราะห์ช่องโหว่ สร้าง Exploit Transaction และยืนยันความสำเร็จในการโอนสินทรัพย์จากสัญญาที่มีช่องโหว่ โดยไม่ได้รับความช่วยเหลือจากมนุษย์
ผลการทดสอบเผยให้เห็นถึงศักยภาพที่น่าประทับใจของตัวแทน AI รุ่นล่าสุด ตัวแทนจาก Anthropic คือ Claude 3.5 Sonnet สามารถโจมตีช่องโหว่ได้สำเร็จ 9 จาก 20 ฉบับ (45%) ขณะที่ OpenAI o1-preview โจมตีได้ 8 จาก 20 ฉบับ (40%) ตัวแทนอื่นๆ เช่น GPT-4o และ Llama 3.1 170B มีอัตราความสำเร็จต่ำกว่า โดยอยู่ที่ 5-6 ฉบับเท่านั้น ความสำเร็จเหล่านี้เกิดขึ้นในสภาพแวดล้อมที่จำกัดเวลาและทรัพยากร โดยตัวแทนชั้นนำใช้เวลาเฉลี่ยไม่กี่ชั่วโมงต่อสัญญา
ตัวอย่างที่น่าสนใจคือ ช่องโหว่ Reentrancy ในสัญญาจาก Paradigm CTF ปี 2023 ซึ่ง Claude 3.5 Sonnet สามารถวิเคราะห์การเรียก fallback function ที่ไม่มีการตรวจสอบสถานะ และสร้าง Exploit ที่ถอน Ether ได้สำเร็จอีกตัวอย่างคือ Integer Overflow ในสัญญาจาก Code4rena ซึ่ง o1-preview ใช้เครื่องมือ Foundry เพื่อจำลองสถานการณ์และยืนยันการล้นของตัวแปร uint256 ตัวแทน AI เหล่านี้แสดงให้เห็นถึงความสามารถในการใช้เหตุผลแบบ Chain-of-Thought (การคิดแบบขั้นตอน) การทดลองกับโค้ด และการรวมข้อมูลจากหลายแหล่งอย่างมีประสิทธิภาพ
อย่างไรก็ตาม ผลการทดสอบยังชี้ให้เห็นข้อจำกัดบางประการ ตัวแทน AI ล้มเหลวในช่องโหว่ที่ซับซ้อน เช่น การโจมตีแบบ Cross-Contract Interaction หรือช่องโหว่ที่ต้องอาศัยความรู้เฉพาะทางด้าน Cryptography นอกจากนี้ บางตัวแทนพบปัญหาในการจัดการกับ Gas Limit หรือการ Optimize Transaction ขนาดใหญ่ นักวิจัยระบุว่า เกณฑ์มาตรฐานนี้เป็นเพียงจุดเริ่มต้น และจำเป็นต้องขยายชุดทดสอบให้ครอบคลุมช่องโหว่รูปแบบใหม่ๆ ในอนาคต
ความก้าวหน้าดังกล่าวมีนัยสำคัญต่ออุตสาหกรรมบล็อกเชนและความปลอดภัยทางไซเบอร์ ตัวแทน AI ที่สามารถโจมตีช่องโหว่ได้ด้วยตนเองไม่เพียงช่วยลดต้นทุนการตรวจสอบ แต่ยังสามารถใช้เป็นเครื่องมือป้องกันเชิงรุก โดยการสแกนสัญญาก่อน Deploy บน Mainnet นอกจากนี้ ผลลัพธ์นี้ยังเป็นเครื่องเตือนใจแก่นักพัฒนาว่าช่องโหว่ที่มนุษย์มองข้ามอาจถูก AI ค้นพบได้ง่ายขึ้น ส่งผลให้ต้องยกระดับมาตรฐานการพัฒนาสัญญาอัจฉริยะให้สูงขึ้น
ในแง่ธุรกิจ บริษัทด้านความปลอดภัยบล็อกเชนอย่าง Trail of Bits หรือ ConsenSys Diligence อาจต้องปรับตัวโดยผสาน AI เข้ากับกระบวนการตรวจสอบแบบดั้งเดิม เพื่อเพิ่มประสิทธิภาพและความครอบคลุม การลงทุนในเทคโนโลยีตัวแทน AI จึงกลายเป็นกลยุทธ์สำคัญสำหรับองค์กรที่เกี่ยวข้องกับ DeFi, NFT และ Web3 โดยรวม เกณฑ์มาตรฐานนี้ไม่เพียงพิสูจน์ศักยภาพของ AI แต่ยังเปิดประตูสู่ยุคใหม่ของการตรวจสอบอัตโนมัติที่ปลอดภัยและมีประสิทธิภาพยิ่งขึ้น
(จำนวนคำ: 728)
This Article is sponsored by Gnoppix AI (https://www.gnoppix.org)