Компания Anthropic запустила опциональный сервис OSS Scanner, который может оказаться для криптовалютной индустрии важнее многих анонсов в области искусственного интеллекта. Он атакует давнюю проблему отрасли: поиск опасного кода до того, как его найдет злоумышленник. Сервис дает подходящим open-source-проектам бесплатное периодическое сканирование с использованием самых сильных моделей Anthropic, включая Claude Mythos. Для экосистемы, построенной на публичных репозиториях, необратимых транзакциях и компонуемом программном обеспечении, превращение поиска уязвимостей в непрерывный процесс может изменить базовый уровень безопасности.
Цифры объясняют интерес. По данным Anthropic, ее модели улучшили обнаружение уязвимостей на бенчмарке CyberGym с менее чем 20% в начале прошлого года до более чем 85% в этом году. За шесть месяцев системы выявили более 29 000 потенциальных уязвимостей, тогда как люди вручную смогли проверить лишь около 6 000. Узким местом становится не способность ИИ находить ошибки, а скорость их проверки и исправления командами. Среди ранних заявителей — проекты Nethermind и ZEUS, где уязвимости могут затрагивать клиенты исполнения, кошельки и потоки транзакций.
При этом Anthropic подчеркивает, что отчеты OSS Scanner генерируются моделями и не проверяются людьми перед доставкой. В одном валидационном упражнении 85 из 97 критических или высоких находок соответствовали стандарту раскрытия, однако сопровождающие проектов сообщали о завышенной серьезности оценок и неверном понимании моделей угроз. Поэтому зрелая безопасность остается многоуровневой: формальная верификация, ручные аудиты, фаззинг, инвариантное тестирование, баг-баунти и непрерывный мониторинг закрывают разные режимы отказов. Пример многоуровневого подхода вокруг Aave V4 показывает, почему такое дублирование важно.
Параллельно криптограф из Стэнфорда Дэн Бонех заявил, что лучший способ укрепить криптографию — попытки ее взломать. Его позицию распространил венчурный фонд a16z crypto, подчеркнув роль ИИ в построении доверия к криптографическим системам. Это перекликается с дискуссией о том, станет ли машинный аудит обычной инфраструктурой разработки. Один и тот же инструмент может помогать и защитникам, и атакующим, поэтому ценность OSS Scanner будет измеряться не количеством отчетов, а тем, насколько быстрее разработчики сокращают интервал между созданием ошибки, ее обнаружением и устранением.
