Anthropic AI-agentid paljastavad nutikate lepingute turvaaugud

Anthropic’i Frontier Red Team arendas tehisintellekti agente, kellel on võime automaatselt avastada eksploite, muutes detsentraliseeritud finantside turvalisuse maastikku. Viimase aasta jooksul õppisid need agendid forkima plokiahelaid, koostama eksploite skripte ja Docker-konteinerites likviidsusvarusid tühjendama, simuleerides reaalse maailma DeFi rünnakuid ilma finantsriskita.

1. detsembril avaldas meeskond tulemused, mis demonstreerivad autonoomset taastamist 19-st 34-st on-chain eksploidist, mis toimusid pärast 2025. aasta märtsi. Kasutades mudeleid nagu Claude Opus 4.5, Sonnet 4.5 ja GPT-5, saavutasid agendid simuleeritud kasumit 4,6 miljonit dollarit, lähtuvalt lepingu loogikast ja korrates ebaõnnestunud katseid.

Kuluefektiivsus on muljetavaldav: GPT-5 kasutamine 2 849 hiljutise ERC-20 lepingu puhul BNB Chainil maksis umbes 3 476 dollarit (ligikaudu 1,22 dollarit lepingu kohta), avastades kaks uut nullpäevaste haavatavuste väärtusega 3 694 dollarit. Kõrge väärtusega lepingute sihtimine võiks kulusid veelgi vähendada eelfiltreerimise teel TVL-i, kasutuselevõtu kuupäeva ja auditiajalooga, viies eksploodi majanduse elujõulisemasse suunda.

Anthropic’i võrdlus 2020–2025 perioodilt 405 reaalse eksploidi kohta nägi 207 toimivaid kontseptsioonitõendeid, mis simuleeris 550 miljoni dollari suuruseid varastatud vahendeid. Eksploiti automatiseerimine vähendab sõltuvust inimaudititest, pakkudes kontseptsioonieksploite vähem kui tunni jooksul—silmapaistvalt ületab traditsioonilised igakuised audititsüklid.

Defensiivsed vastumeetmed tuginevad AI integratsioonile: pidev agentide-põhine fuzzing CI/CD-pipeline'ides, kiirendatud plaastritsüklid pausivalikutega ja ajalukud, ning agressiivne eeljuurtestimine. Kuna eksploite võimekus kahekordistub iga 1,3 kuu tagant, peavad kaitsjad järele jõudma sellele tempole, et vähendada süsteemset riski.

See automatiseeritud relvade võitlus laieneb DeFi-st kaugemale: sama tehnika kehtib API lõpp-punktide, infrastruktuuri konfiguratsioonide ja pilveturvalisuse kohta. Kriitiline küsimus ei ole, kas agendid loovad eksploiteid—nad teevad seda juba—, vaid kas kaitsjad suudavad esmalt rakendada võrdseid võimekusi.