[閒聊] AI代理找到價值460萬合約漏洞

看板DigiCurrency (數位貨幣)作者ripple0129 (perry)時間2小時前 (2025/12/03 23:11)推噓1(1推 0噓 3→)

留言4則, 2人參與討論串1/1

https://red.anthropic.com/2025/smart-contracts/ 以下ChatGPT總結成中文以下是我幫你整理的《Anthropic》在 2025 年發表的文章背景 — 為何研究智能合約（Smart Contracts）漏洞 ‧ Anthropic 所屬的研究計畫 MATS（與 Anthropic Fellows 合作）建立了一個名為 SCO NE-bench 的基準測試集。這個 benchmark 收錄了 405 個在 2020–2025 年間曾被真實攻擊、出現漏洞並被利用的智能合約。 ‧ 智能合約（部署在區塊鏈上的程式）因為其公開、可被自動化執行的特性 — 一旦有漏洞、就可能被惡意攻擊者自動化“盜資”。因此，它們是評估 AI 在「程式漏洞發現 + 利用」這類網絡安全任務中「經濟損害潛力」的一個理想對象。實驗設計 Anthropic／MATS 對多個先進 AI 模型（包括 Claude Opus 4.5、Claude Sonnet 4.5、GPT -5 等）進行測試，流程包括： ‧ 在 sandbox（模擬區塊鏈）環境中「fork（複製）」真實合約所在區塊鏈的某個區塊，確保環境與真實部署時一致。 ‧ 給 AI agent 任務：分析合約、識別潛在漏洞、並嘗試生成「可運作 exploit 腳本」，如果成功執行，模擬「盜取」合約中的資金 — 然後再將這些資金轉換成美元，以衡量「可能被盜金額」。 ‧ 他們將「成功 exploit 的合約數量／與之對應的美元價值」作為衡量指標。這比起單純「找到漏洞」更有意義 — 因為真正的攻擊者關心的是「能拿到多少錢」。主要結果 ‧ 在整個 405 合約 benchmark 測試中，所有測試模型共成功生成可運作 exploit（即 turnkey exploit）達到 207 個合約，也就是約 51.1%。這些 exploit 在模擬中總計「潛在可盜資金價值」達 US$550.1 百萬。 ‧ 考慮到資料污染（即模型可能已經「看過」某些合約的資料／漏洞），研究者進一步只測試那些在模型「知識截止日」（March 2025）之後被 exploit 的合約（共 34 個）。在這部分中，Claude Opus 4.5、Sonnet 4.5、GPT-5 三個模型合計對其中 19 個合約生成了 e xploit（成功率約 55.8%），模擬盜資總額約 US$4.6 百萬。 ‧ 更令人關注的是：在額外測試的一組 2,849 個最近部署、且到目前為止「沒有已知漏洞記錄」的新合約上，AI agent（Sonnet 4.5 和 GPT-5）也找到了兩個新的 zero-day（未知漏洞），並生成了有效 exploit，在模擬中拿大約 US$3,694。這證明 AI 不只是「重現舊漏洞」，也可能發現新漏洞。含義與風險 ‧ 這項研究顯示，當前最先進的 AI agent 已經具備自動化發現並利用智能合約漏洞、從而造成經濟損失的能力 — 而且從模擬結果推算，潛在經濟影響非常巨大。 ‧ 雖然該研究中的 exploit 都是在 sandbox／模擬環境執行，並沒有對「真實鏈上資金」造成損失。Anthropic 強調，他們這樣做是為了「量化 AI 的經濟危害潛力」，並非為了實際攻擊。 ‧ 但這也意味著：如果這些技術被惡意使用者掌握，在真實區塊鏈上進行攻擊，可能導致比過去更多、更大規模、更自動化的資金損失。尤其是對於 DeFi、代幣發行／交易平台、智能合約密集使用者而言，風險陡然上升。建議／防禦方向根據文章／研究者／業界評論 — 未來對防禦、合約部署／審計的建議包括： ‧ 開發者在部署智能合約之前，應該使用類似 SCONE-bench 的「AI-driven 模擬／審計工具」進行壓力測試，以檢查是否有容易被利用的漏洞。文章表明這其實是一個「可行」選項。 ‧ 區塊鏈／DeFi 生態系統的安全團隊、審計公司、平台運營者，需要警惕 AI 技術被惡意濫用：既要加強合約審計，也可能需要考慮「部署前自動化風險掃描 + 定期回顧合約漏洞」。 ‧ 更寬廣層面來說：這項研究是一個警鐘 — AI 的網絡攻擊潛力已經不只是理論，在某些領域（如智能合約 + 區塊鏈），已經進入「技術成熟、具備經濟破壞力」的階段。需要政策制定者、技術社群、產業界都對此有所認識與準備。個人心得：隨著AI越來越強大鎖倉型DeFi的風險越來越高自主運作的AI可以做到漏洞一發佈就速度去零日攻擊智能合約我自己本身已經沒有玩DeFi 主要是前幾年的rug pull事件層出不窮而隨著AI變強大攤開原始碼的智能合約就越發脆弱了後續不知道DeFi會如何但想要鎖倉賺利息的要好好風險管理了 ---- Sent from BePTT on my iPhone 16 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 42.189.250.11 (馬來西亞) ※ 文章網址: https://www.ptt.cc/bbs/DigiCurrency/M.1764774699.A.F82.html