Yapay Zeka ve Makine Öğrenimi, Blockchain ve Kripto para birimi, Yeni Nesil Teknolojiler ve Güvenli Geliştirme
AI Tools, denetlenen koddan bile kripto özerk bir şekilde çalabilir
Rashmi Ramesh (Rashmiramesh_) •
1 Ağustos 2025
Sadece akıllı bir sözleşme adresi ile donanmış araştırmacılar, güvenlik açıklarını tarayabilen, sağlam blockchain programlama dilinde ve sifon fonlarında çalışma istismarları yazabilen otonom bir yapay zeka aracı geliştirdiler.
Bir zamanlar yetenekli saldırganlardan oluşan bir ekip, bir hırsız gibi düşünmek için ince ayarlanmış tek bir dil modeli ile birkaç dakika içinde yürütülebilir ve bazı durumlarda iyi değerlendirilmiş “güvenli” protokolleri bile yener.
Londra Üniversitesi Koleji ve Sydney Üniversitesi Akademisyenleri Bir ön yazılı kağıtta, büyük dil modellerinin nasıl çok adımlı, uçtan uca kripto saldırıları üretebileceğini açıklayın. A1 olarak adlandırılan ekibin ajanı sadece teorileşmekle kalmaz, zayıflıkları da tanımlar, gerçek istismar kodu yazar ve saldırıyı doğrulamak için çalıştırır.
Bilgi Güvenlik Medya Grubuna verdiği demeçte, “A1’in çıktısı sadece bir rapor değil,” dedi. “Gerçek yürütülebilir kodu içerir ve A1, iki kez kontrol etmek için kodu çalıştırır. Daha çok bir insan hacker gibi davranır-sadece spekülasyon kanıtı değil, aynı zamanda POC’nin somut doğrulamayı geçerse sadece bir sorun bildirir,” dedi Sydney Üniversitesi’ndeki Bilgisayar Bilimi öğretim görevlisi.
Akıllı sözleşmeler özellikle AI güdümlü istismarlara karşı savunmasızdır, çünkü blok zincirinde halka açık olarak erişilebilirler. Bir AI aracısı da dahil olmak üzere herkes, geri mühendislik olmadan kaynak kodunu veya bayt kodunu alabilir. Bu, LLM’lerin sözleşme mantığını analiz etmesini ve sömürülebilir kalıpları tanımlamasını kolaylaştırır. Akıllı sözleşmeler ayrıca, gelişmiş AI modellerinin adım adım akıl yürütme yetenekleriyle uyumlu olan öngörülebilir durum geçişleri ile net, kural tabanlı yürütme akışlarını da takip eder. A1 gibi LLM’ler, sanal havuzlu ortamlarda test işlemlerini dağıtarak olası saldırı yollarını simüle edebilir ve istismarları hızlı bir şekilde doğrulayabilir.
Akıllı sözleşmelerdeki istismarlar, genellikle fon transferleri veya işlem geri dönüşleri gibi görünür, gerçek zamanlı etkilere neden olur, AI ajanlarına saldırının işe yarayıp yaramadığı konusunda anında bir sinyal verir ve yaklaşımlarını özerk bir şekilde geliştirmelerine izin verir. Geleneksel sistemlerden yararlanmak genellikle karmaşık ortamlar, gizli arka uçlar veya AI modellerinin hala idare etmek için mücadele ettiği işletim sistemi davranışı ile etkileşim kurmayı içerir (bkz. Vibe hackleme henüz mümkün değil).
Araştırmacılar, A1’in, modelin bilgi kesiminden sonra meydana gelen olaylarla bağlantılı bazıları da dahil olmak üzere, eğitim setinin bir parçası olmayan sözleşmelerde güvenlik açıkları bulabileceğini söyledi. Ajan sadece bilinen kusurları yeniden canlandırmak değil, yenilerini keşfetmek ve kavram kanıtı istismarları sıfırdan üretmek.
Zhou, “O3-Pro gibi modellerin, eğitim kesim tarihinden sonra meydana gelen olaylarda güvenlik açıklarını keşfedebileceğini gösterdik.” Dedi. A1’in performansını “daha iyi olmasa da ortalama bir güvenlik mühendisi kadar iyi” olarak nitelendirdi.
Zhou, en şaşırtıcı içgörülerden biri, A1’in geleneksel bulantıların bulabileceğinin ötesine geçen çok aşamalı istismarlar üretmesiydi. A1, sabit kodlanmış kurallar olmadan birden fazla aktör ve yardımcı sözleşmeler kullanarak koordineli saldırıları planlayabildi. En az bir araştırma davasında, AI destekli bir istismar ajanı bir saldırı başlattı, bulgularını doğruladı ve iki dakikadan daha kısa bir sürede bir kripto hırsızlığı gerçekleştirdi.
Blockchain istihbarat firması TRM Labs, bulguların akıllı sözleşmelerde AI güdümlü istismarların ortaya koyduğu artan bir tehdidin altını çizdiğini söyledi. Küresel Politika Başkanı Ari Redbord, “AI, güvenlik açıklarının keşfini otomatikleştirebilir ve daha hedefli saldırılar yaratabilir, bu da onu siber suçluların elinde güçlü bir araç haline getirebilir.” Dedi.
Kağıt yazarları, A1’in genellikle denetçiler tarafından kullanılan araçları kaçınan güvenlik açıklarını keşfettiğini söyledi. LLM, sözleşmenin aşamalardaki mantığı ile neden olduğu ve kullanılabilir saldırgan kontrollü sözleşmeler gibi yardımcıları koordine ettiği için, yeni ve hedefe son derece özgü yollar oluşturabilir. Bunlar tam olarak otomatik taramalar ve hatta tecrübeli kod yorumcularından geçebilecek sorunlardır.
Zhou, merkezi olmayan finans projelerinin, saldırganların bu acenteleri çalıştırabileceği takdirde savunucuların da yapması gerektiğini varsayması gerektiğini söyledi. “Proje ekipleri, üçüncü tarafların sorunları bulmasını beklemek yerine kendi protokollerini sürekli olarak izlemek için A1 gibi araçları kullanmalıdır.” Dedi. “Üçüncü taraf takımlara güveniyorsanız, aslında iyi niyetle hareket edeceklerine ve güvenlik açısından çok garip bir varsayım olan% 10 ödül içinde kalacaklarına güveniyorsunuz.”
A1’in arkasındaki araştırma ekibi, çerçevelerinden sıfır gün açıklamaları yayınlamadı, ancak Ethereum güvenlik topluluğuyla sorumlu hafifletme stratejileri konusunda etkileşime geçiyor. Mimari şimdilik Ethereum’a göre uyarlandı, ancak Zhou diğer blockchain ekosistemlerine genişletilebileceğini söylüyor.
TRM’den Redbord, “AI, tamamen yenilerini icat etmek yerine mevcut teknikleri rafine ediyor ve hızlandırıyor.” Dedi. “Bu, kötü aktörlerin operasyonlarını otomatikleştirmesini ve ölçeklendirmesini kolaylaştırıyor ve bu önümüzdeki gerçek zorluk.”