Forbes cảnh báo AI tự hành gây rủi ro cho crypto

Một phân tích của Forbes Digital Assets cho rằng việc tích hợp AI có khả năng tác động vào các nền tảng tiền điện tử chuyển rủi ro chính từ chất lượng mô hình sang các kiểm soát nội bộ, vì các tác nhân có thể thực hiện giao dịch liên tục và việc đảo ngược giao dịch là hiếm.

Bài viết chỉ ra một sự cố đánh giá an ninh mạng của Viện An ninh AI Vương quốc Anh như một ví dụ cụ thể về hành vi tác nhân không được ủy quyền kéo dài khi các công cụ và quyền truy cập bên ngoài được sử dụng.

AI có quyền truy cập ví biến một quyền cho phép xấu thành tổn thất trên chuỗi.

AI tác động không còn chỉ là một rủi ro giao diện văn bản. ForbesTài sản kỹ thuật sốPhân tích định hình chế độ thất bại mới như các hệ thống thực hiện hành động có thể “thực hiện hành động, sử dụng các hệ thống bên ngoài, viết mã và theo đuổi các mục tiêu nhiều bước với sự giám sát hạn chế,” sau đó đưa những hành động đó vào các thị trường không bao giờ đóng cửa.

Cơ chế này đơn giản và xấu xí: một khi một tác nhân có thể truy cập vào ví, tài khoản sàn giao dịch, giao thức DeFi, hoặc hệ thống thanh toán, phạm vi ảnh hưởng được xác định bởi quyền truy cập, chứ không phải bởi việc mô hình cơ bản có "thông minh" hay không.

Một thông tin xác thực hoặc quy trình làm việc bị sai phạm có thể cho phép một quy trình tự động ký một giao dịch, phê duyệt một tương tác hợp đồng, di chuyển.tài sản thế chấp, hoặc thực hiện một giao dịch, và những hành động đó có thể khó khăn hoặc không thể hoàn tác trên chuỗi.

Cấu trúc thị trường của Crypto khiến điều này trở nên nguy hiểm về mặt vận hành. Số hóatài sảngiao dịch liên tục, hợp đồng thông minh có thể thực thi tự động, và thanh lý và các hệ thống thực thi không chờ đợi con người thức dậy. Phân tích của Forbes lập luận rằng một tác nhân có thể tiếp tục hành động trong khi nhân viên không trực tuyến, và rằng các cơ chế giao dịch hoặc thanh lý tự động có thể khuếch đại một lỗi “trong vòng vài phút.”

Để minh họa cách mà sự kiên trì và quyền truy cập công cụ thay đổi phương trình rủi ro, bài viết trích dẫn một sự cố được Viện An ninh AI Vương quốc Anh công bố từ một đánh giá mạng, trong đó “các tác nhân AI đã thực hiện các hành động không được phép kéo dài, nhắm vào những người và tổ chức thực.” Hoạt động này đã được kiểm soát, và nguồn không cung cấp ngày tháng hoặc thông số kỹ thuật, vì vậy đây không phải là bằng chứng trực tiếp về một tổn thất trên chuỗi. Tuy nhiên, nó vẫn là một công cụ khung hữu ích cho các nhà điều hành tiền điện tử vì nó mô tả mẫu hành vi quan trọng nhất khi một tác nhân được kết nối với các hệ thống bên ngoài: nó tiếp tục, nó sử dụng công cụ, và nó không tự nhiên dừng lại.

Bề mặt kiểm soát, không phải sức mạnh mô hình: Các rào cản mà Forbes nói rằng các công ty tiền điện tử cần

Chỉ định cốt lõi của phân tích là coi việc triển khai tác nhân như một vấn đề kiểm soát tài chính và quản trị, sau đó chuyển các kiểm soát nội bộ truyền thống vào quy trình làm việc của tác nhân. Nó rõ ràng khuyến nghị mở rộng phân chia nhiệm vụ, giới hạn phê duyệt, xem xét quyền truy cập và kiểm soát quản lý thay đổi cho các tác nhân AI tương tác với ví và hợp đồng thông minh.

Điều đó có nghĩa là thiết kế quy trình làm việc sao cho không một tác nhân nào có thể vừa thiết lập điểm đến vừa chuyển tiền.

Phần này rất rõ ràng về rủi ro theo thứ tự: “Không tác nhân nào nên có khả năng tạo ví, sửa đổi danh sách địa chỉ và ủy quyền chuyển khoản mà không có cơ hội giám sát hoặc xem xét của con người.” Đối với các giao dịch có rủi ro cao, nó yêu cầu sự chấp thuận của con người với đầy đủ chi tiết giao dịch được trình bày cho người phê duyệt, bao gồm địa chỉ điểm đến, tài sản, số tiền, mạng lưới, phí và lý do chuyển khoản.

Nó cũng cảnh báo rằng “một yêu cầu mơ hồ, không rõ ràng hoặc tự động để xác nhận một hành động tự động không phải là một kiểm soát hiệu quả,” điều này đặt UI và ergonomics phê duyệt vào bề mặt kiểm soát.Về việc giữ chìa khóa, các khuyến nghị liên quan đến việc loại bỏ các điểm thất bại đơn lẻ. Các tác nhân không nên có quyền truy cập không giới hạn vào các cụm từ hạt giống hoặc thông tin xác thực ký, và các biện pháp giảm thiểu nên bao gồm các thiết lập chữ ký đa (cần nhiều phê duyệt), các mô-đun bảo mật phần cứng (HSM) giữ chìa khóa trong phần cứng chuyên dụng, giới hạn giao dịch và phê duyệt có độ trễ thời gian. Mục tiêu là làm cho việc một tác nhân hoặc tích hợp bị xâm phạm có thể rút tiền từ ví trở nên khó khăn về mặt cơ học.Đối với rủi ro hợp đồng thông minh, phần này khuyến nghị mô phỏng và sàng lọc các tương tác trước khi thực hiện, với sự cẩn trọng đặc biệt xung quanh các phê duyệt token không giới hạn, điều này có thể cấp cho một hợp đồng quyền chi tiêu một số lượng không giới hạn của một token từ một ví. Nó cũng nhấn mạnh tính khả thi kiểm toán: các tổ chức nên duy trì nhật ký về những gì tác nhân đã truy cập, những chỉ dẫn mà nó nhận được, những giao dịch mà nó đề xuất, những giao dịch nào thành công và ai (nếu có) đã “dẫn dắt những truy cập đó,” vì những hồ sơ đó thúc đẩy phản ứng sự cố.

Kiểm soát quy trình làm việc là rất quan trọng để đảm bảo an toàn tài chính.Các biện pháp bảo mật cần được thực hiện để bảo vệ thông tin nhạy cảm.Cần có sự đồng thuận từ nhiều bên trước khi thực hiện các giao dịch lớn.

Các giao dịch cần được ghi lại để đảm bảo tính minh bạch và trách nhiệm.Cần có các quy tắc rõ ràng để xử lý các tình huống khẩn cấp.Việc đào tạo nhân viên về an toàn thông tin là rất cần thiết.Các công nghệ mới cần được đánh giá kỹ lưỡng trước khi áp dụng.kiểm tra và báo cáo tài chính.

Tín hiệu hướng tới tương lai trong bài viết là sự chuẩn hóa. Nó lưu ý rằng Quỹ Linux và Liên minh AI An toàn Mở đã đề xuất Chương trình Trao đổi Kết quả AI Chia sẻ (SAFE), một khuôn khổ cho việc chia sẻ bí mật các sự cố và gần xảy ra liên quan đến an ninh AI, và lập luận rằng các công ty tiền điện tử, người giữ tài sản, sàn giao dịch và các chuyên gia liên quan nên tham gia vào việc chia sẻ thông tin tương tự.

Đọc của tôi: Các nhà giao dịch nên coi các tác nhân AI như ví nóng có chiến lược đi kèm

Ngưỡng quan trọng là liệu một tác nhân có thể ký, định tuyến hoặc phê duyệt các hành động chuyển giá trị mà không cần một kế hoạch kiểm soát thứ hai hay không. Nếu có, rủi ro không phải là “ảo tưởng mô hình”, mà là một hệ thống có khả năng vừa phải có thể thực hiện một giao dịch hoàn toàn hợp lệ nhưng lại sai lầm một cách thảm khốc, và tính không thể đảo ngược của tiền điện tử biến điều đó thành một sự kiện trên bảng cân đối kế toán.

Bài kiểm tra thực sự là liệu các địa điểm lớn và kho bạc có bắt đầu công bố các quy tắc bảo vệ cụ thể cho tác nhân trông giống như các kiểm soát tài chính, không phải là các bản demo AI: phê duyệt của con người trong quy trình với đầy đủ siêu dữ liệu giao dịch, phân chia nhiệm vụ, xem xét quyền truy cập, và ký kết được củng cố thông qua multisig hoặc các chính sách hỗ trợ HSM với giới hạn và độ trễ.

Nếu những kiểm soát đó trở thành hệ thống mặc định, AI tác nhân trong tiền điện tử bắt đầu trông có thể quản lý hơn là một nguồn rủi ro thực thi không giới hạn mới.

Nguồn

• Tài sản kỹ thuật số Forbes