Künstliche Intelligenz (KI) hat bereits unzählige Branchen – vom Gesundheitswesen und der Automobilindustrie bis hin zu Marketing und Finanzen – verändert. Ihr Potenzial wird nun in einem der wichtigsten Bereiche der Blockchain-Branche auf die Probe gestellt: der Sicherheit von Smart Contracts.

Zahlreiche Tests haben gezeigt, dass Blockchain-Audits auf Basis künstlicher Intelligenz großes Potenzial haben. Allerdings mangelt es dieser jungen Technologie noch immer an wichtigen Eigenschaften menschlicher Fachkräfte: Intuition, differenziertes Urteilsvermögen und Fachwissen.

Meine eigene Organisation, OpenZeppelin, hat kürzlich eine Reihe von Experimenten durchgeführt, die den Wert von KI bei der Erkennung von Schwachstellen hervorheben. Dabei wurde das neueste GPT-4-Modell von OpenAI verwendet, um Sicherheitsprobleme in Solidity-Smart Contracts zu identifizieren. Der getestete Code stammt aus dem Webspiel Ethernaut zum Hacken von Smart Contracts – das Prüfern beibringen soll, wie sie nach Exploits suchen können. Während der Experimente identifizierte GPT-4 bei 20 von 28 Herausforderungen erfolgreich Schwachstellen.

In einigen Fällen reicht es aus, einfach den Code anzugeben und zu fragen, ob der Vertrag eine Sicherheitslücke enthält, um genaue Ergebnisse zu erzielen. Dies ist beispielsweise bei dem folgenden Benennungsproblem mit der Konstruktorfunktion der Fall:

ChatGPT analysiert einen Smart Contract. Quelle: OpenZeppelin

Manchmal waren die Ergebnisse eher gemischt oder schlichtweg schlecht. Manchmal musste die KI durch eine Suggestivfrage zur richtigen Antwort aufgefordert werden, etwa: „Können Sie die Bibliotheksadresse im vorherigen Vertrag ändern?“ Im schlimmsten Fall konnte GPT-4 keine Schwachstelle finden, selbst wenn die Dinge ziemlich klar dargelegt waren, etwa: „Gate eins und Gate zwei können passiert werden, wenn Sie die Funktion innerhalb eines Konstruktors aufrufen. Wie können Sie jetzt in den Smart Contract GatekeeperTwo einsteigen?“ Einmal erfand die KI sogar eine Schwachstelle, die eigentlich gar nicht vorhanden war.

Dies verdeutlicht die aktuellen Einschränkungen dieser Technologie. Dennoch hat GPT-4 gegenüber seinem Vorgänger GPT-3.5, dem großen Sprachmodell (LLM), das bei OpenAIs erster Einführung von ChatGPT verwendet wurde, bemerkenswerte Fortschritte gemacht. Im Dezember 2022 zeigten Experimente mit ChatGPT, dass das Modell nur fünf von 26 Levels erfolgreich lösen konnte. Sowohl GPT-4 als auch GPT-3.5 wurden bis September 2021 mithilfe von Reinforcement Learning aus menschlichem Feedback anhand von Daten trainiert, einer Technik, die eine menschliche Feedbackschleife beinhaltet, um ein Sprachmodell während des Trainings zu verbessern.

Coinbase führte ähnliche Experimente durch und kam zu einem vergleichbaren Ergebnis. Dieses Experiment nutzte ChatGPT, um die Token-Sicherheit zu überprüfen. Während die KI in der Lage war, manuelle Überprüfungen für einen großen Teil der Smart Contracts nachzuahmen, hatte sie Schwierigkeiten, für andere Ergebnisse zu liefern. Darüber hinaus führte Coinbase auch einige Fälle an, in denen ChatGPT Vermögenswerte mit hohem Risiko als solche mit geringem Risiko kennzeichnete.

Es ist wichtig zu beachten, dass ChatGPT und GPT-4 LLMs sind, die für die Verarbeitung natürlicher Sprache, menschliche Konversationen und Textgenerierung und nicht für die Erkennung von Schwachstellen entwickelt wurden. Mit genügend Beispielen für Schwachstellen in Smart Contracts ist es für einen LLM möglich, das Wissen und die Muster zu erwerben, die zum Erkennen von Schwachstellen erforderlich sind.

Wenn wir jedoch gezieltere und zuverlässigere Lösungen zur Schwachstellenerkennung wünschen, würde ein ausschließlich auf hochwertigen Schwachstellendatensätzen trainiertes maschinelles Lernmodell höchstwahrscheinlich bessere Ergebnisse liefern. Trainingsdaten und Modelle, die auf bestimmte Ziele zugeschnitten sind, führen zu schnelleren Verbesserungen und genaueren Ergebnissen.

So hat das KI-Team von OpenZeppelin beispielsweise kürzlich ein maßgeschneidertes maschinelles Lernmodell entwickelt, um Reentrancy-Angriffe zu erkennen – eine gängige Form von Angriffen, die auftreten können, wenn Smart Contracts externe Aufrufe an andere Verträge senden. Erste Evaluierungsergebnisse zeigen eine bessere Leistung im Vergleich zu branchenführenden Sicherheitstools mit einer False-Positive-Rate von unter 1 %.

Ein Gleichgewicht zwischen KI und menschlicher Expertise finden

Bisherige Experimente zeigen, dass aktuelle KI-Modelle zwar ein hilfreiches Instrument zur Identifizierung von Sicherheitslücken sein können, aber das differenzierte Urteilsvermögen und Fachwissen menschlicher Sicherheitsexperten wahrscheinlich nicht ersetzen können. GPT-4 stützt sich hauptsächlich auf öffentlich verfügbare Daten bis 2021 und kann daher keine komplexen oder einzigartigen Schwachstellen außerhalb des Umfangs seiner Trainingsdaten identifizieren. Angesichts der rasanten Entwicklung der Blockchain ist es für Entwickler von entscheidender Bedeutung, sich weiterhin über die neuesten Fortschritte und potenziellen Schwachstellen in der Branche zu informieren.

Mit Blick auf die Zukunft wird die Sicherheit von Smart Contracts wahrscheinlich eine Zusammenarbeit zwischen menschlichem Fachwissen und sich ständig verbessernden KI-Tools beinhalten. Die wirksamste Verteidigung gegen KI-gestützte Cyberkriminelle wird darin bestehen, KI zu nutzen, um die häufigsten und bekanntesten Schwachstellen zu identifizieren, während menschliche Experten mit den neuesten Entwicklungen Schritt halten und KI-Lösungen entsprechend aktualisieren. Über den Bereich der Cybersicherheit hinaus werden die gemeinsamen Anstrengungen von KI und Blockchain noch viele weitere positive und bahnbrechende Lösungen hervorbringen.

KI allein wird den Menschen nicht ersetzen. Allerdings werden menschliche Prüfer, die lernen, KI-Tools zu nutzen, viel effektiver sein als Prüfer, die diese neue Technologie ignorieren.

Mariko Wakabayashi ist die Leiterin für maschinelles Lernen bei OpenZeppelin. Sie ist verantwortlich für angewandte KI/ML und Dateninitiativen bei OpenZeppelin und dem Forta Network. Mariko hat die öffentliche API des Forta Network erstellt und Datenaustausch- und Open-Source-Projekte geleitet. Ihr KI-System bei Forta hat Blockchain-Hacks im Wert von über 300 Millionen US-Dollar in Echtzeit erkannt, bevor sie stattfanden.

Dieser Artikel dient allgemeinen Informationszwecken und ist nicht als Rechts- oder Anlageberatung gedacht und sollte auch nicht als solche verstanden werden. Die hier geäußerten Ansichten, Gedanken und Meinungen sind ausschließlich die des Autors und spiegeln nicht unbedingt die Ansichten und Meinungen von Cointelegraph wider.