كشف باحث أمني يستخدم نموذج Claude Opus 4.8 من Anthropic عن ثغرة حرجة في مجمع الخصوصية Orchard الخاص بـ Zcash في غضون أيام قليلة، كاشفًا عن نقطة ضعف ظلت قائمة لأربع سنوات من المراجعة من قبل أبرز خبراء التشفير عديمي المعرفة (zero-knowledge cryptographers).
أدى الكشف عن هذه الثغرة إلى انخفاض قيمة ZEC بنسبة 38% تقريبًا يوم الخميس، وأثار قلقًا أوسع في صناعة العملات المشفرة بشأن تزايد براعة نماذج الذكاء الاصطناعي الرائدة في العثور على الثغرات الأمنية مقارنة بمعظم البشر.
قال بن جورتزل، المؤسس والرئيس التنفيذي لشركة SingularityNET، لـ Decrypt: "الأهمية ليست في أن الذكاء الاصطناعي يمكنه إيجاد الأخطاء حقًا، بل في أن نوع الأخطاء التي يمكنه إيجادها قد تغير الآن".
وأضاف أن النماذج الرائدة، بدلاً من مجرد الإشارة إلى أخطاء البرمجة الواضحة، أصبحت قادرة بشكل متزايد على فهم ما إذا كان البرنامج يتصرف بالطريقة التي قصدها مصمموه أم لا.
في مايو، اكتشف تايلور هورنبي، باحث أمني وظفته Shielded Labs، ثغرة حرجة في دائرة Orchard الخاصة بـ Zcash بمساعدة Claude Opus 4.8 من Anthropic. كانت هذه الثغرة، المختبئة في سطرين من التعليمات البرمجية، ناتجة عن فحص بدا وكأنه يتحقق من مدخلات المعاملات ولكنه في الواقع لم يكن يفرض القواعد المقصودة، مما قد يسمح للمهاجم بإنشاء عملات ZEC مزورة داخل المجمع المحمي دون اكتشاف. قام هورنبي ببناء استغلال عملي للتحقق من الثغرة قبل الإبلاغ عنها للمطورين. وقد تم نشر إصلاح طارئ في 1 يونيو.
ومما زاد من حالة الذعر التي أصابت Zcash وسوق العملات المشفرة الأوسع يومي الخميس والجمعة هو حقيقة أن الثغرة ظلت غير مكتشفة لأكثر من أربع سنوات.
بالنسبة لجورتزل، يكتسب هذا الاكتشاف أهمية ليس فقط لأن الذكاء الاصطناعي عثر على ثغرة أمنية، بل لأنه يشير أيضًا إلى نموذج جديد لأبحاث الأمن.
قال: "أعتقد أن هذا مؤشر مبكر لتحول سيكون من الصعب المبالغة في تقديره". "نموذج البحث الأمني الذي يعتمد على عدد قليل من المتخصصين البشريين المرموقين الذين يقومون بعمليات تدقيق بطيئة، يدوية، وعميقة الخبرة لن يختفي، لكنه لن يكون اللعبة كلها بعد الآن."
صرح جورتزل أن ثغرة Orchard تنتمي إلى فئة من الأخطاء المنطقية الدقيقة التي تستطيع نماذج الذكاء الاصطناعي الرائدة اكتشافها بشكل متزايد، بما في ذلك أخطاء العقود الذكية، وفشل التحكم في الوصول، والمواقف التي يتصرف فيها البرنامج بشكل مختلف عما قصده مصمموه. وأضاف أنه مع تحسن هذه القدرات، تتجه أبحاث الأمن نحو نموذج يشرف فيه المتخصصون البشريون على مراجعة مستمرة مدفوعة بالذكاء الاصطناعي يمكنها تحليل قواعد التعليمات البرمجية بشكل أوسع بكثير من عمليات التدقيق التقليدية.
قد يقدم رد فعل Zcash نفسه لمحة عن هذا المستقبل، حسب قول جورتزل.
قال جورتزل: "أظن أن تعيين Shielded Labs لباحث خصيصًا لاكتشاف الثغرات على مستوى البروتوكول باستخدام نموذج رائد قبل أن يتمكن طرف خبيث من ذلك، هو النموذج، وليس الاستثناء". "المراجعة الاستباقية المدعومة بالذكاء الاصطناعي والمصممة لتكون معادية (adversarial-by-design) تصبح أمرًا أساسيًا، والبروتوكولات التي لا تتبناها ستكون بشكل متزايد هي التي ستتعلم عن نقاط ضعفها من المهاجم بدلاً من مصدر صديق."
وفقًا لشون رين، الرئيس التنفيذي لشركة Sahara AI وأستاذ علوم الحاسوب في جامعة جنوب كاليفورنيا، فإن التقدم في الذكاء الاصطناعي يعيد أيضًا تشكيل التوازن بين المهاجمين والمدافعين، حيث يمكن للنماذج الرائدة اختبار استراتيجيات الهجوم بسرعة، والتعلم من النتائج، والكشف عن نقاط الضعف.
قال رين لـ Decrypt: "من أجل بناء دفاع أفضل، علينا استخدام نماذج الذكاء الاصطناعي الرائدة هذه كمهاجمين محتملين لاختبار هذه الأنظمة تحت الضغط".
قال رين إن شبكات البلوك تشين معرضة بشكل خاص لأن شفرتها مفتوحة المصدر يمكن تحليلها مباشرة بواسطة نماذج الذكاء الاصطناعي الرائدة، والتي يمكنها اختبار استراتيجيات الهجوم وتحديد الثغرات الأمنية بشكل أسرع من مراجعات الأمان التقليدية.
قال: "إذا فكرت في مختبرات النماذج الرائدة مثل OpenAI وAnthropic وGoogle DeepMind، فإن لديهم وصولاً مبكرًا إلى أقوى النماذج غير المنشورة ويمكنهم إجراء العديد من التجارب على أنظمة الشبكة العامة مثل البلوك تشين، لذلك لديهم القوة في متناول اليد”. وأضاف: “إذا كان لدى شخص ذي نوايا خبيثة وصول إلى تلك القدرات، يمكنهم شن هجمات وخلق ثغرات أمنية.”
قد تُغلق هذه النافذة بشكل أسرع مما يتوقعه الكثيرون، ووفقًا لداني جينكينز، الرئيس التنفيذي والمؤسس المشارك لشركة الأمن السيبراني ThreatLocker، فإن اكتشاف الثغرات بمساعدة الذكاء الاصطناعي يتحسن بوتيرة أسرع مما تستطيع العديد من المؤسسات تأمين البرامج التي تعتمد عليها بالفعل.
قال جينكينز لـ Decrypt: "لدينا هذه الفجوة الهائلة التي ستستغرق سنوات وسنوات لتجاوزها". "كل هذه البرامج ستحتوي على جميع هذه الثغرات الأمنية، ولن يكون لدينا إصلاحات أو تحديثات لها لفترة طويلة، وسيتمكن الناس من العثور على تلك الثغرات بسرعة كبيرة."
قال جينكينز إن الذكاء الاصطناعي لا يغير جوهريًا أبحاث الثغرات بقدر ما يسرعها بشكل كبير. المهام التي كانت تتطلب في السابق من باحثي الأمن مراجعة التعليمات البرمجية وهندسة البرامج العكسية يدويًا يمكن الآن إجراؤها في ثوانٍ بواسطة النماذج الحديثة.
قال: "قبل الذكاء الاصطناعي، كانت تهديدات الأمن السيبراني وعمليات الاستغلال تتزايد كل عام". "بعد الذكاء الاصطناعي، أصبح الأمر أسرع، وأعتقد أنه أصبح أسرع لسببين. الأول هو أنه يمكنك الآن استخدام الذكاء الاصطناعي للمساعدة في العثور على الثغرات الأمنية وعمليات الاستغلال، وقد تزايد عدد الأشخاص الذين لديهم القدرة على القيام بذلك بشكل كبير. لم تعد بحاجة لأن تكون مجرد "مخترق مبتدئ" (script kiddie) الآن."
على الرغم من هذه المخاطر، جادل جورتزل بأن العملات المشفرة قد تكون في وضع أفضل من الصناعات الأخرى للتكيف، لأن شفرتها مفتوحة المصدر، ومجتمعاتها تركز بشدة على الأمن.
قال: "العملات المشفرة تقف الأقرب إلى الباب، لكنها أيضًا الجزء من الغرفة الذي يمكنه رؤية الباب وهو قادم."
