OpenZeppelin tiết lộ lỗ hổng nghiêm trọng trong EVMbench của OpenAI: Ô nhiễm dữ liệu và phân loại sai

OpenZeppelin chuyên gia tiết lộ: Nguy cơ ô nhiễm dữ liệu và phân loại lỗi sai trong EVMbench

Như một chuyên gia lâu năm trong lĩnh vực an ninh blockchain, chúng ta cần phải nghiêm túc nhìn nhận chất lượng dữ liệu và độ chính xác của bất kỳ công cụ an ninh nào. Gần đây, tổ chức kiểm toán an ninh nổi tiếng OpenZeppelin đã phát hiện ra vấn đề ô nhiễm dữ liệu nghiêm trọng trong cơ sở dữ liệu EVMbench thuộc OpenAI, và đã cảnh báo về nhiều lỗi nghiêm trọng bị phân loại sai. Những phát hiện này đã gây ra một cú sốc lớn cho toàn bộ hệ sinh thái an ninh hợp đồng thông minh, đồng thời cũng một lần nữa đánh thức tôi về sự ngộ nhận trong việc quá tín vào kiểm toán an ninh tự động hóa.

Ngộ nhận 1: Bộ dữ liệu lỗ hổng tự động luôn đáng tin cậy, không cần xác minh thủ công

“Khi một bộ dữ liệu được phát hành bởi một tập đoàn lớn hoặc tổ chức công khai, điều đó có nghĩa là nội dung của nó đã được xác minh một cách đầy đủ và chính xác.”

Sự thật: Trường hợp EVMbench cho thấy, ô nhiễm dữ liệu và phân loại sai vẫn xảy ra thường xuyên, không có dữ liệu tự động nào hoàn toàn chính xác.

Phát hiện của OpenZeppelin chỉ ra rằng trong bộ dữ liệu của EVMbench có tình trạng rò rỉ dữ liệu huấn luyện, điều này có thể làm nghiêm trọng ảnh hưởng đến độ chính xác trong việc mô hình tự xác định lỗ hổng. Hơn nữa, ít nhất đã phát hiện ra bốn trường hợp bị phân loại sai là lỗ hổng nghiêm trọng, loại phân loại sai này có thể dễ dàng làm người sử dụng hiểu lầm về rủi ro, dẫn đến sai lầm trong quyết định an ninh.

Đối với nhà đầu tư và nhà phát triển blockchain, nhận thức được “điểm mù” của các công cụ tự động hóa và duy trì kiểm tra thủ công cẩn thận là yếu tố then chốt để bảo vệ an toàn.

Ngộ nhận 2: Công cụ kiểm toán an ninh do công ty AI lớn phát hành đều đáng tin cậy

“Các công ty công nghệ hàng đầu như OpenAI, công cụ EVMbench mà họ phát hành trong kiểm tra an ninh hợp đồng thông minh chắc chắn không có lỗ hổng.”

Sự thật: Nền tảng của các công ty hàng đầu không đồng nghĩa với việc đảm bảo an ninh hoàn hảo; công nghệ vẫn cần phải được xem xét và cải tiến sâu sắc.

Sự kiện này nhắc nhở chúng ta rằng, bất kể là tổ chức nghiên cứu AI danh tiếng toàn cầu hay bất kỳ công ty khởi nghiệp công nghệ nào, sản phẩm và dữ liệu họ phát hành không thể được tôn sùng mù quáng. Ngay cả khi sử dụng công nghệ máy học và dữ liệu lớn mới nhất, vẫn có thể xảy ra ô nhiễm dữ liệu, thiên lệch trong huấn luyện và nguy cơ phân loại sai, từ đó ảnh hưởng đến kết quả đánh giá an ninh.

Do đó, quy trình kiểm tra an ninh blockchain không thể hoàn toàn dựa vào một công cụ duy nhất; cần phải kết hợp nhiều phương pháp xác minh và can thiệp thủ công.

Ngộ nhận 3: Phân loại tự động lỗ hổng nghiêm trọng luôn chính xác, rủi ro có thể hoàn toàn tin cậy

“Những lỗ hổng được EVMbench đánh dấu là nghiêm trọng, người sử dụng có thể hoàn toàn coi là cần phải sửa chữa ngay lập tức.”

Sự thật: Những suy diễn sai lầm này không chỉ gây lãng phí nguồn lực, mà còn có thể dẫn đến những cái bẫy phản tác dụng.

OpenZeppelin đã phát hiện ít nhất bốn lỗ hổng nghiêm trọng bị phân loại sai, dẫn đến nhóm an ninh có thể nhầm lẫn xếp hạng ưu tiên cho những sự cố này. Điều này không chỉ gây lãng phí thời gian, mà còn có rủi ro khiến những mối nguy thật sự bị bỏ qua.

Thực hành an ninh tốt cần phải bao gồm việc kiểm tra chéo kết quả của các công cụ tự động, kịp thời loại bỏ các cảnh báo sai lệch.

Ngộ nhận 4: Rò rỉ dữ liệu huấn luyện chỉ ảnh hưởng đến độ chính xác của mô hình, không liên quan đến an ninh

“Ngay cả khi bộ dữ liệu có rò rỉ, nó chỉ ảnh hưởng đến hiệu suất của mô hình, không gây ra mối đe dọa nào thực tế đối với an ninh.”

Sự thật: Ô nhiễm dữ liệu dẫn đến những suy diễn sai lầm, không chỉ ảnh hưởng đến mức độ an toàn mà còn tăng cường bề mặt bị tấn công.

Ô nhiễm dữ liệu khiến mô hình có thể lầm lẫn bỏ qua những lỗ hổng nguy hiểm thực sự, hoặc sai lầm trong việc nâng cao điểm rủi ro, sự không chính xác này phản ánh trực tiếp trong chiến lược phòng thủ an ninh. Kẻ tấn công có thể tận dụng chiến lược phân loại sai để làm rối loạn hướng giám sát, gia tăng tỷ lệ thành công của cuộc tấn công.

Không còn nghi ngờ gì nữa, một bộ dữ liệu nghiêm ngặt và chất lượng cao là nền tảng để đảm bảo an toàn cho các hợp đồng thông minh.

Kết luận: Đừng mù quáng tin tưởng, an ninh là một chiến trường kép giữa công nghệ và con người

Những nghi ngại chặt chẽ của OpenZeppelin đối với EVMbench của OpenAI nhắc nhở chúng ta rằng trong lĩnh vực các công cụ an ninh blockchain phát triển nhanh chóng, phải duy trì tư duy tỉnh táo và phê bình, không nên bị bất kỳ hào quang nào che mắt. Chiến lược an ninh thực sự là sự kết hợp hoàn hảo giữa chuyên môn công nghệ và phán đoán con người.

Với tư cách là một phần của đội ngũ kiểm toán an ninh lâu năm, tôi mạnh mẽ khuyên người sử dụng khi sử dụng bất kỳ công cụ tự động nào, cần phải có một quy trình kiểm tra hai lần hoàn chỉnh và nhiều lớp bảo vệ để có thể hiệu quả ngăn ngừa những thảm họa do phân loại sai gây ra.

Công nghệ càng phát triển, các phương pháp tấn công cũng càng tinh vi. Đừng để sự tự tin mù quáng và những lời marketing trở thành nguyên nhân chính làm sụp đổ hàng phòng thủ an ninh của bạn. Để biết thêm thông tin chuyên môn về an ninh và chia sẻ kinh nghiệm thực tiễn, hãy truy cập liên kết này để tham gia cùng chúng tôi, bảo vệ an toàn tài sản blockchain của bạn.

https://www.okx.com/join?channelId=42974376

Để cập nhật những phát triển mới nhất về AI và các xu hướng công nghệ tương lai, bạn có thể đọc thêm các bài viết sau: Sự gia tăng 700% dòng tiền ra khỏi Iran do chính sách không chắc chắn từ Mỹ và Israel

Khi AI kết hợp với Web3, những cơ hội công nghệ hoàn toàn mới đang mở ra. Nếu bạn muốn tìm hiểu và tham gia vào làn sóng phi tập trung này, hãy khám phá thêm tại OKX — một trong những sàn giao dịch tiền mã hóa hàng đầu thế giới: C2C 買幣靈活選擇，0 交易費