Kripto’nun sonraki milyar dolarlık korsanı süper insani hızla hareket edebilir

Yine de, Anthropic sistemi kusursuz olmayacağını kabul ediyor ve bu yeteneğin değerli olduğu için kararlı, güçlü finansmanlı saldırganların denemeye devam etmesini bekliyor.

"Mythos düzeyindeki yeteneklerden kaynaklanan gelişme, özellikle siber saldırılardan finansal kazanç elde edebilecekler gibi birçok rakip için değerlidir ve bu nedenle, güvenlik önlemlerimizi aşmaya çalışmak için motive olmalarını bekliyoruz," diye belirtti firma paylaşımda.

"... kararlı bir düşmana karşı güvenilir bir kontrol değildir."

Ancak, bir hedefte zayıf bir nokta tespit etmek, yapay zekanın bir hacker’ın araç setine getirdiği en büyük yenilik değildir. Ana özellik, insanüstü hızdır ve yapay zeka modellerine getirilen kısıtlamalar bu hızın üstesinden gelmek için yeterince güçlü olmayabilir.

“Mevcut yapay zeka koruyucuları sürtüşmeyi artırıyor,” dedi donanım cüzdanı üreticisi Ledger’ın teknoloji sorumlusu Charles Guillemet, CoinDesk’e gönderdiği bir e-postada. “Kararlı bir rakibe karşı güvenilir bir kontrol değiller.”

Değişim, yapay zekanın yeni türde saldırılar icat etmesinden ziyade, bunları oluşturmanın ne kadar sürdüğüyle daha fazla ilgili, dedi. Bir akıl yürütme modeli, yazılım geliştirme sürecindeki adımlara atıfta bulunarak, “her taahhüdü fark edebilir, her yapılandırmayı arayabilir ve her yanlış yapılandırmayı makine hızında numaralandırabilir” dedi.

Kripto, yazılım hatasının neredeyse anında finansal kayba dönüşebilmesi nedeniyle olağanüstü şekilde risk altındadır.

Sosyal mühendislik

DeFi protokolleri, yılın ilk beş ayında hack olaylarında 840 milyon dolardan fazla kaybetti, DefiLlama verileri gösteriyor. Sadece Nisan ayı, merkezi olmayan finans endüstrisi için kayıtlardaki en kötü ay olarak 600 milyon dolardan fazla bir rakama tekabül etti.

Ancak, en büyük iki olay, AI’nin tasarlayabileceği türden basit akıllı sözleşme suiistimalleri değildi.

Birinde, Kuzey Kore bağlantılı bir grup, altı aylık bir sosyal mühendislik kampanyasının ardından yönetici erişimi kazanarak Drift Protocol’den yaklaşık 285 milyon dolar çekti. Diğerinde ise, saldırgan tek doğrulayıcı açığını kullanarak Kelp DAO’dan yaklaşık 292 milyon dolar aktarılmasına yol açtı.

Başka bir örnek Salı günü yaşandı; merkeziyetsiz insan kimlik hizmeti Humanity Protocol, özel anahtar ihlali nedeniyle 30 milyon dolardan fazla kayıp yaşadı. CoinDesk, bir hackerın erişim sağladığını tespit etti bir çalışan dizüstü bilgisayarındaki altı özel anahtardan üçüne,

İşin aslı burada yatıyor. En belirgin akıllı sözleşme tetikleyicileri tam da Anthropic’in filtrelerinin yakalamak üzere tasarlandığı türden olsa da, en büyük kayıplar bir sözleşme hatasına ihtiyaç duymamıştır.

Ledger’in Guillemet’si, bu ihlallerin tanıdık zayıf noktalardan kaynaklandığını belirtti: sosyal mühendislik, hatalı imzalama süreçleri, açığa çıkan anahtarlar ve insan hatası.

Fable gibi bir model, bir saldırının ekonomisini değiştirmek için tamamlanmış bir istismarı teslim etmek zorunda değildir. Halka açık depoları okuyabilir, yazılımın eski sürümlerini karşılaştırabilir, denetim raporlarını özetleyebilir ve insanların gözden kaçırdığı küçük operasyonel hataları arayan ikna edici mesajlar taslak haline getirebilir.

"Bu açıklar sosyal mühendislik ve insan hatasına dayanmaya devam etmektedir. "

Böyle bir ortamda, bir savunmacı her kritik yolu, her bağımlılığı, her imzalama akışını ve her ayrıcalıklı hesabı güvence altına almak zorundadır. Çünkü yapay zeka keşif aşamasını hızlandırdığından, nihai imzalama adımı daha da önemli hale gelir. Özel anahtarlar, ele geçirilmiş bir dizüstünün erişemeyeceği bir yerde tutulmalı ve kullanıcılar, gerçekte onayladıklarını gösteren güvenilir bir ekranla donatılmalıdır.

"Buna ne derseniz deyin: bu istismarlar sosyal mühendislik ve insan hatasından kaynaklanmaya devam ediyor. Yapay zeka bu gerçeği yaratmadı. Onu görünür kıldı ve makine hızına çıkardı. Tek gerçek çıkış yolu, donanım tabanlı bir güven köküdür: özel anahtarların sertifikalı güvenli bir elemanda oluşturulması ve saklanması, güvenilir bir ekran ve Açık İmzalama ile," diye belirtti Guillemet.

Çift taraflı bir bıçak

Ancak aynı teknikler, kodun kendisini korumak için de işe yarıyor. Bir DeFi getiri protokolü olan Pendle, Anthropic'in modellerini Claude Opus'un ilk versiyonundan itibaren savunma amaçlı kullandığını söyledi. Ekip, kod tabanını haritalamak ve yeni dağıtılan sözleşmeler de dahil olmak üzere sözleşmelerini stres testinden geçirmek için yapay zekayı kullanıyor. Araçların hataları erken tespit ettiğini ve daha temiz kod yazmalarına yardımcı olduğunu belirtiyor.

Pendle’ın geliştiricileri Telegram üzerinden verdikleri bir röportajda, endişe edilmesi gereken şeyin akıllı sözleşmeler olmadığını belirtti. Bir akıllı sözleşme kısa olur ve yalnızca yaklaşık bir düzine giriş noktası bulunur. İyi denetçiler uzun zamandır bir sözleşmenin tamamının durumunu zihninde tutup her köşe durumunu test edebilmektedir.

"Akıllı sözleşmede denetlenecek gerçekten çok fazla kod satırı yok," dedi geliştirici ekip.

Bu da, bir sonraki büyük kripto saldırısının yeni görünmeyebileceği anlamına geliyor. Muhtemelen, DeFi'nın zaten bildiği aynı zehirli paket, kandırılmış geliştirici veya hatalı imzalama süreci olacaktır.

Muhtemelen yakın zamanda, ileride değil, gerçekleşecek.