شرکت‌های رمزارز به هوش مصنوعی آنتروپیک برای یافتن نقص‌های امنیتی روی می‌آورند

شرکت‌های رمزارز از جمله توسعه‌دهنده اتریوم، نتهرمایند و کیف پول بیت‌کوین، زئوس، برای دسترسی به اسکنر امنیتی جدید آنتروپیک درخواست داده‌اند که از کلود میتوس برای شناسایی آسیب‌پذیری‌های نرم‌افزاری قبل از اینکه مهاجمان از آن‌ها سوءاستفاده کنند، استفاده می‌کند.

• توسعه‌دهنده اتریوم، نتهرمایند و کیف پول بیت‌کوین، زئوس، درخواست دسترسی به خدمات اسکن امنیتی رایگان آنتروپیک را داده‌اند.
• آنتروپیک می‌گوید که اسکنر آن از کلود میتوس استفاده می‌کند و گزارش‌های آسیب‌پذیری خودکار را بدون بررسی انسانی ارسال می‌کند.
• نتهرمایند درخواست اسکن مخزن را داده است، در حالی که زئوس خواستار بررسی‌هایی در مورد پرداخت‌ها، کلیدهای خصوصی و اتصالات لایتنینگ شده است.
• آنتروپیک گزارش می‌دهد که ۲۹,۰۰۰ آسیب‌پذیری کاندیدا را شناسایی کرده است که تنها حدود ۶,۰۰۰ مورد از آن‌ها به‌طور دستی در داخل بررسی شده‌اند.

آنتروپیک اسکنر OSS رایگان را در تاریخ ۸ اکتبر راه‌اندازی کرد و به پروژه‌های متن‌باز واجد شرایط اجازه می‌دهد تا گزارش‌های خودکار شناسایی نقاط ضعف امنیتی ممکن را دریافت کنند. درخواست‌های ارسال شده در تاریخ ۹ اکتبر نشان‌دهنده علاقه روزافزون توسعه‌دهندگان رمزارز به استفاده از ابزارهای پیشرفته هوش مصنوعی برای بررسی کدی است که تراکنش‌ها، کلیدهای خصوصی و زیرساخت بلاک‌چین را مدیریت می‌کند.

این برنامه پس از ابتکار پروژه گلس‌وینگ آنتروپیک راه‌اندازی شده است که به سازمان‌های منتخب دسترسی به مدل‌های قدرتمند هوش مصنوعی برای تحقیقات امنیت سایبری را فراهم می‌کند. برخلاف فرآیند افشای موجود، این سرویس یافته‌ها را بدون انتظار برای تأیید انسانی ارسال می‌کند.

توسعه‌دهندگان رمزارز درخواست دسترسی به اسکن‌های امنیتی کلود میتوس را دارند

توسعه‌دهنده کلاینت اتریوم، نتهرمایند، یکی از اولین پروژه‌های بلاک‌چینی بود که به دنبال ثبت‌نام بود و درخواست کشش گیت‌هاب #۳۸ را در روز جمعه ارسال کرد. این درخواست خواستار اسکن امنیتی در مخزن خود است، جایی که توسعه‌دهندگان نرم‌افزاری را که برای تعامل با شبکه اتریوم استفاده می‌شود، نگهداری می‌کنند.

نتهرمایند یک کلاینت اجرایی اتریوم توسعه می‌دهد، نرم‌افزاری که تراکنش‌های بلاک‌چین را پردازش کرده و از عملیات شبکه پشتیبانی می‌کند. درخواست آن به تیم دسترسی به گزارش‌های تولید شده توسط هوش مصنوعی را می‌دهد که نقاط ضعف احتمالی در کد آن را شناسایی می‌کند، مشروط بر اینکه آنتروپیک درخواست را تأیید کند.

کیف پول بیت‌کوین و لایتنینگ زئوس یک درخواست جداگانه ارسال کرده و خواستار بررسی‌هایی در مورد برنامه موبایل و اجزایی هستند که پرداخت‌ها، کلیدهای خصوصی و اتصالات لایتنینگ را مدیریت می‌کنند. این کیف پول خودنگهداری به کاربران اجازه می‌دهد تا بیت‌کوین را مدیریت کنند در حالی که کنترل وجوه خود را حفظ می‌کنند.

VirtEngine، یک بازار محاسبات ابری غیرمتمرکز که با استفاده از Cosmos SDK ساخته شده است، از طریق یک ارسال دیگر گیت‌هاب درخواست ثبت‌نام کرده است. این پروژه زیرساختی برای خدمات محاسبات غیرمتمرکز توسعه می‌دهد و نرم‌افزار آن یک کاندیدای دیگر برای اسکنر است.

این درخواست‌ها همچنان درخواست‌های مشارکت هستند و تأیید نمی‌کنند که پروژه‌ها ممیزی‌های امنیتی را تکمیل کرده‌اند. آنتروپیک درخواست‌ها را به‌طور جداگانه ارزیابی می‌کند و اهمیت آن‌ها را برای زیرساخت، آسیب‌پذیری در برابر حملات از راه دور و تعداد سیستم‌های دیگری که به نرم‌افزار آن‌ها وابسته‌اند، در نظر می‌گیرد.

دیگر درخواست‌دهندگان شامل توسعه‌دهندگان دستیارهای هوش مصنوعی، ابزارهای امنیتی، زیرساخت‌های یادگیری ماشین و سیستم‌های ذخیره‌سازی ابری هستند. آنتروپیک زمان‌بندی ثابتی برای تأیید پروژه‌های رمزارز یا ارائه اولین گزارش‌های آن‌ها اعلام نکرده است.

آنتروپیک می‌گوید که اسکنر هوش مصنوعی هزاران نقص امنیتی را پیدا کرده است

آنتروپیک OSS Scanner را پس از کشف اینکه مدل‌های هوش مصنوعی آن می‌توانند نقص‌های نرم‌افزاری بالقوه را سریع‌تر از آنچه که محققان می‌توانند به‌طور دستی بررسی کنند، شناسایی کنند، توسعه داد.

در شش ماه گذشته، این شرکت گفت که مدل‌های آن بیش از ۲۹,۰۰۰ آسیب‌پذیری کاندیدا را در پروژه‌های متن‌باز پرکاربرد شناسایی کرده‌اند. محققان تقریباً ۶,۰۰۰ یافته را به‌طور دستی بررسی کرده‌اند و یک عقب‌ماندگی بزرگ در انتظار ارزیابی باقی مانده است.

در پاسخ، آنتروپیک یک سیستم خودکار معرفی کرد که گزارش‌ها را مستقیماً به نگهدارندگان شرکت‌کننده ارسال می‌کند. این شرکت گفت که این سرویس از قوی‌ترین مدل‌های خود، از جمله کلود میتوس، برای تولید یافته‌ها و پیشنهاد اصلاحات استفاده خواهد کرد.

"این گزارش‌ها توسط قوی‌ترین مدل‌های ما (از جمله کلود میتوس) تولید خواهد شد،" آنتروپیک در اعلامیه خود گفت.

برخلاف حسابرسی‌های امنیتی متعارف که شامل بررسی دستی قبل از افشا می‌شود، اسکنر OSS گزارش‌هایی را بدون تأیید انسانی تولید می‌کند. آنتروپیک تأیید کرد که برخی از یافته‌ها ممکن است نادرست باشند، از جمله ارزیابی‌های شدت نادرست یا آسیب‌پذیری‌هایی که به طراحی امنیتی یک پروژه مربوط نمی‌شوند.

در طول آزمایش‌های اولیه، تست‌کنندگان نفوذ خارجی 97 یافته با شدت بالا و بحرانی را در 48 پروژه بررسی کردند. آنتروپیک گزارش داد که 85 یافته، تقریباً 88٪، با استانداردهای آن برای افشای هماهنگ آسیب‌پذیری مطابقت داشتند.

از میان 12 یافته باقی‌مانده، 11 مورد مشکلات واقعی بودند که گزارش‌های موجود یا آسیب‌پذیری‌های شناخته‌شده را تکرار می‌کردند. یکی نامعتبر بود.

این شرکت گفت که اسکنر آن مثال‌های قابل تکرار از ضعف‌های شناسایی‌شده، توضیحات کد تحت تأثیر و وصله‌های پیشنهادی در صورت موجود بودن را ارائه می‌دهد. توسعه‌دهندگان ارزهای دیجیتال شرکت‌کننده باید خودشان این یافته‌ها را بررسی کنند قبل از اینکه تصمیم بگیرند آیا تغییرات لازم است یا خیر.

آنتروپیک روند افشای آسیب‌پذیری بررسی‌شده توسط انسان را برای پروژه‌هایی که قادر به مدیریت حجم زیادی از گزارش‌های خودکار نیستند، ادامه خواهد داد.

این راه‌اندازی پس از چندین حادثه امنیتی صورت می‌گیرد که در آن شرکت‌های بلاک‌چین حملاتی را با ابزارهای خودکار یا کمک‌های مشکوک به هوش مصنوعی گزارش کردند.

در ماه اوت، ارائه‌دهنده مبادلات بیت‌کوین، بولتز، پس از ماه‌ها حملات با کمک هوش مصنوعی، عملیات خود را متوقف کرد. این شرکت گفت که مهاجمان ضعف‌ها را سریع‌تر از آنچه که توسعه‌دهندگان آن می‌توانستند بررسی و تعمیر کنند، شناسایی می‌کردند.

بولتز خدمات مبادله خود را در تاریخ 3 اوت متوقف کرد پس از اینکه چندین آسیب‌پذیری محدود را گزارش کرد. به گفته تیم، طراحی خودنگهداری آن مانع از افشای وجوه مشتریان شد، اگرچه این شرکت ضررهای عملیاتی را متحمل شد.

این اختلال بر خدماتی که به زیرساخت بولتز وابسته بودند، از جمله ZEUS تأثیر گذاشت. کیف پول پس از تعطیلی، قابلیت مبادله را به طور موقت غیرفعال کرد، در حالی که یک حادثه سایبری جداگانه ZEUS باعث شد تیم برخی از زیرساخت‌ها را برای بررسی از دسترس خارج کند.

یک ابتکار امنیتی دیگر، تیم قرمز بیت‌کوین، گزارش داد که در حدود 30 ساعت بررسی کد با کمک هوش مصنوعی در ماه اوت، 4,962 آسیب‌پذیری بالقوه را در 390 پروژه مرتبط با بیت‌کوین شناسایی کرده است.

بررسی امنیت بیت‌کوین 720 یافته را به عنوان شدت بالا یا بحرانی طبقه‌بندی کرد، اگرچه مسائل گزارش‌شده نیاز به تأیید قبل از اینکه به عنوان آسیب‌پذیری‌های تأییدشده تلقی شوند، داشتند.

برنامه قبلی آنتروپیک به نام پروژه گلس‌وینگ، شرکت‌های معتبر صنعت را جذب کرده است. در ماه اوت، شرکت مادر کراکن، پی‌وارد، به برنامه امنیتی کلود میتوس پیوست تا سیستم‌های خود را برای ضعف‌های نرم‌افزاری بررسی کند.

این شرکت گفت که قصد دارد محیط‌های خود را اسکن کند و یافته‌های تأییدشده‌ای که بر پروژه‌های منبع باز شخص ثالث تأثیر می‌گذارد را با نگهدارندگان آن‌ها به اشتراک بگذارد.

اسکنر OSS بخشی از مأموریت سایبری آنتروپیک است که در تاریخ 8 اکتبر برای حمایت از امنیت نرم‌افزار و حفاظت از زیرساخت‌های حیاتی اعلام شد.

در کنار خدمات اسکن، آنتروپیک برنامه دفاع از زیرساخت‌های حیاتی را معرفی کرد که مدل‌های هوش مصنوعی، حمایت مهندسی و تحقیقات تهدید را به سازمان‌هایی که از شبکه‌های برق، شبکه‌های حمل و نقل و سیستم‌های صنعتی محافظت می‌کنند، ارائه می‌دهد.

این ابتکار شامل همکاری با CrowdStrike، Accenture، Deloitte، Palo Alto Networks و چندین شرکت دیگر در زمینه امنیت سایبری و فناوری است.

برای توسعه‌دهندگان منبع باز، آنتروپیک اسکن‌های امنیتی منظم را به صورت رایگان برای پروژه‌های تأییدشده ارائه می‌دهد. نگهدارندگان می‌توانند از طریق مخزن GitHub اسکنر OSS با استفاده از الگوی ثبت‌نام منتشر شده درخواست دهند.

تصمیمات صلاحیت به این موضوع توجه خواهند کرد که آیا پروژه "تأثیر بحرانی بر زیرساخت و امنیت کاربر" دارد یا خیر، به همراه توانایی تیم برای بررسی و رسیدگی به آسیب‌پذیری‌های گزارش‌شده.

آنتروپیک اعلام نکرده است که در نهایت چند پروژه ارز دیجیتال را قبول خواهد کرد. نگهدارندگان تأییدشده گزارش‌های تولیدشده توسط مدل را از طریق این سرویس دریافت خواهند کرد، در حالی که این شرکت به ارائه افشاگری‌های بررسی‌شده توسط انسان از طریق روند امنیتی موجود خود ادامه می‌دهد.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.