OpenAIは「王炸」製品GPT-4を発表しましたが、スマートコントラクトの脆弱性を完全に検出できるのでしょうか？

著者：Beosin

北京時間 3 月 15 日の深夜、人工知能スタートアップの OpenAI が最新世代の人工知能言語モデル GPT-4 を正式に発表しました。

OpenAI はその日の声明で、GPT-4 の誕生は、OpenAI が深層学習を拡大する上での最新のマイルストーンであると述べました。

進化した GPT-4 は、私たちにどのような驚きをもたらしてくれるのでしょうか？

進化した GPT-4 は、どれほど「炸」なのか？

OpenAI の公式紹介によると、GPT-4 は超大規模なマルチモーダルモデルであり、つまり、その入力はテキスト（上限 2.5 万字）だけでなく、画像も可能です。

その AI 能力の恐ろしさはどこにあるのでしょうか？例えば、以下の写真を見てください。

あなたはそれに、下の図の中の手袋が落ちたらどうなるか尋ねます。

それは答えます：「それは木の板の上に落ち、ボールは弾き飛ばされるでしょう。（この論理能力、想像できますか）」

さらに、紙にウェブサイトの草案を簡単に描くだけで、彼はそのウェブサイトを認識できます。

写真を撮って GPT-4 にアップロードすると、すぐにウェブサイトの HTML コードを生成します！

見ての通り、GPT-4 は GPT-3.5 よりも信頼性が高く、創造性があり、より微細な指示を処理できます。

さらに、ChatGPT-4 は内容の正確性や論理能力においても前世代よりも大幅に向上しており、統一弁護士試験（Uniform Bar Exam）では、GPT-4 の成績は他の受験者の 90% を超え、GPT-3.5 の成績は 10% の受験者を超えるだけでした。GPT-4 は SAT Math で 700 点を獲得し、GPT-3.5 の成績は 590 点で、110 点向上しました。他の標準化試験でも、GPT-4 の成績は GPT-3.5 よりも優れています。

公式デモでは、GPT-4 はほぼ 1-2 秒で手描きのウェブサイト画像を認識し、要求に基づいてリアルタイムでウェブページコードを生成し、手描き版とほぼ同じウェブサイトを作成しました。

普通の画像だけでなく、GPT-4 はより複雑な画像情報も処理でき、表、試験問題のスクリーンショット、論文のスクリーンショット、漫画などを含み、専門的な論文に基づいて論文の要約や要点を直接提供することができます。

これほど強力だと、あなたも失業の危機を感じているのではないでしょうか！。

GPT-4 は論文を解釈できます 出典：OpenAI 公式サイト

ChatGPT4 でスマートコントラクトを監査するとどうなるか？

昨年 12 月に ChatGPT に関する研究記事を発表し、スマートコントラクトを監査するとどうなるかを見てみました。関連記事： 全ネットで話題の「最強 AI」ChatGPT、スマートコントラクトの脆弱性を検出できるのか？

3 月 15 日、Coinbase の主管 Conor Grogan はソーシャルメディアに投稿し、彼は ChatGPT-4 にリアルタイムのイーサリアムスマートコントラクトを挿入したところ、AI は瞬時にセキュリティの脆弱性を見つけ、さらにはそれらの脆弱性を利用して攻撃する方法を示しました。

Conor Grogan は、そのコントラクトが 2018 年にハッカーによって脆弱性を利用されて攻撃されたことを確認し、さらに Euler のスマートコントラクトも試みたが、コントラクトが長すぎて ChatGPT-4 では処理できなかったと述べました。Conor Grogan は、AI が最終的にスマートコントラクトをより安全で、構築しやすくするだろうと認めています。

また、グループの友人は、ChatGPT が数日前の Euler Finance の約 2 億ドルの盗難事件の脆弱性を監査できるようだと述べています。関連イベントの読み物：Euler Finance の 2 億ドル盗難事件の経緯を振り返り、この事件が私たちにどのような教訓を与えたか？

しかし、本当にそんなに簡単なのでしょうか？

画像出典：ネット

実際、初期の GPT モデルと同様に、GPT-4 には一定の限界が存在します。

OpenAI の公式によれば、完全に信頼できるわけではなく、推論エラーが発生する可能性があるとのことです。「GPT-4 は、ほとんどのデータが切断された後（2021 年 9 月）に起こった出来事についての理解が欠けており、そこから経験を学ぶことができません……時には単純な推論エラーが発生し、ユーザーの明らかな虚偽の主張を信じ込むことがあり、時には人間のように難問に失敗することがあります。例えば、生成されたコードにセキュリティの脆弱性を導入することがあります。」

これに基づき、OpenAI は、ユーザーが言語モデルを使用する際には特に注意が必要であり、人間によるレビュー、追加のコンテキストを補助するか、高リスクの状況での使用を完全に避けることが最善であると警告しています。

ChatGPT VS Beosin VaaS、監査契約はどちらが強いのか？

Beosin の形式的検証の専門家は次のように述べました。「ChatGPT は契約の複雑なパターンを学習し、異なる次元から契約を理解し分類することができ、静的検出技術を強化する専門家のパターンを助け、検出可能な脆弱性の種類を増やし、漏れ報告率と誤報率を低下させることができます。また、属性に基づくテスト検証技術とドメイン属性ライブラリとの有効なリンクを支援し、契約の自動識別と属性挿入を通じて完全自動化のテスト検証を実現します。しかし、ChatGPT は日々進化する特定の分野の深層論理脆弱性を認識するのが難しく、このような脆弱性は通常プロジェクトの要件と密接に結びついており、ドメインセキュリティの専門家が裁定者として必要であり、常に要約してドメイン属性ライブラリを形成して契約の安全性を評価する必要があります。」

私たちも ChatGPT がすべての問題を解決できるわけではないことを発見しました。多くの脆弱性は依然として監査専門家による厳格な監査が必要であり、形式的検証ツール Beosin VaaS を使用しなければ問題を発見できません。

Beosin VaaS は、世界的にリーディングな「ワンクリック」スマートコントラクト形式的検証プラットフォームです。検出精度は 97% 以上で、リスクコードの位置を正確に特定し、修正提案を提供し、80 以上の一般的なセキュリティ脆弱性や機能論理欠陥を自動的に検出します。Beosin VaaS は、スマートコントラクト内の一般的な脆弱性やビジネスロジックエラーなどのセキュリティ問題を自動的に発見し、専門家の修正意見を提供します。また、EVM、WASM のすべてのパブリックチェーンのスマートコントラクトに対する数百種類の一般的なセキュリティ脆弱性やビジネスロジック欠陥の検出をサポートし、リスクコードの位置を正確に特定し、開発者がスマートコントラクトのセキュリティ能力を向上させるのを助けます。

形式的検証ツール Beosin VaaS：https://vaas.beosin.com/

例えば、私たちが 3 月 15 日に警告した Poolz Finance の Locked Deal コントラクトが攻撃された事件では、攻撃者は LockedDeal コントラクト内の脆弱性のある関数 CreateMassPools を呼び出し、パラメータ _StartAmount で整数オーバーフローの脆弱性を引き起こしました。この脆弱性は VaaS ツールで検出できることをテストしましたが、ChatGPT ではできませんでした。

同時に、k 値検証の深層論理問題も ChatGPT では検出できません。

Uniswap のような DEX の実際の交換転送操作は Pair の swap() 関数で実装されているため、攻撃者が Router コントラクトを越えて Pair コントラクトを直接呼び出して swap() 転送を行うのを防ぐために、Pair コントラクトの swap() 関数内で K 値検証を行う必要があります。つまり、swap の後、pair の K 値は依然として保存されなければなりません。K 値検証に関連するコードにセキュリティの脆弱性が存在する場合、攻撃者はごく少量のトークンで Pair 内の大部分のトークンを交換できる可能性があります。

コントラクトが K 値を検証しない cheapSwap 関数

私たちは K 値検証問題の研究を通じて、その問題の特徴をまとめ、VaaS ツールで使用するための一般的な属性を抽出しました。その後、ノード情報の分析を通じて、ETH と BSC 上の合計 14 万のアドレスのコントラクト情報を抽出しました。これらのアドレスコントラクトはすべて類似のビジネスコントラクトであり、K 値検証問題が存在する可能性があります。

形式的検証ツール VaaS を使用するだけでなく、Beosin の形式的検証専門家は、セキュリティ監査専門家が抽出したセキュリティ問題を厳格な数理論理で抽象化し、再利用可能なセキュリティ属性不変量として混合機械エンジンに渡し、自動検出、テスト、検証を行います。実践的に、これらの再利用可能なセキュリティ属性不変量は、スマートコントラクト内の新しい微妙な脆弱性を効果的に発見することができます。これらは ChatGPT のような AI では代替できない部分です。

しかし、アメリカの『ニューヨークタイムズ』ウェブサイトに 3 月 8 日に掲載された「ChatGPT の成功の幻想」という記事では、著者は次のように書いています。「今日、私たちが人工知能分野で達成したいわゆる革命的な進展は、確かに楽観的でありながらも懸念を抱かせます。楽観的なのは、知恵が私たちの問題解決の手段だからです；懸念されるのは、最も人気があり、最も流行している人工知能（機械学習）が、ウイルス株のように根本的な欠陥のある言語や知識の概念を私たちの技術に組み込むことを恐れているからです。これにより、私たちの科学的レベルが低下し、道徳基準が低下する可能性があります。」