OpenZeppelin tiết lộ lỗ hổng nghiêm trọng trong EVMbench của OpenAI

OpenZeppelin chuyên nghiệp tiết lộ: Rủi ro từ ô nhiễm dữ liệu và phân loại lỗi sai của EVMbench

Với tư cách là những chuyên gia lâu năm trong lĩnh vực bảo mật blockchain, chúng ta cần nghiêm túc xem xét chất lượng và độ chính xác của dữ liệu từ mọi công cụ bảo mật. Gần đây, tổ chức kiểm toán bảo mật nổi tiếng OpenZeppelin đã phát hiện ra những vấn đề nghiêm trọng về ô nhiễm dữ liệu trong cơ sở dữ liệu EVMbench thuộc OpenAI, đồng thời cảnh báo về việc phân loại sai nhiều lỗ hổng nghiêm trọng. Những phát hiện này đã tạo ra chấn động không nhỏ trong toàn bộ hệ sinh thái bảo mật hợp đồng thông minh, đồng thời thúc giục tôi lần nữa cảnh giác với niềm tin mù quáng vào kiểm toán bảo mật tự động hóa.

Hiểu lầm 1: Bộ dữ liệu lỗ hổng tự động luôn đáng tin cậy, không cần xác minh lại bằng tay

“Khi một bộ dữ liệu được công bố bởi công ty lớn hoặc tổ chức công khai, có nghĩa là nội dung đã được xác minh đầy đủ và chính xác.”

Sự thật: Trường hợp của EVMbench cho thấy, ô nhiễm dữ liệu và gán nhãn sai vẫn xảy ra liên tục, không có dữ liệu tự động nào là 100% chính xác.

Các phát hiện từ OpenZeppelin chỉ ra rằng trong tập dữ liệu của EVMbench tồn tại tình trạng rò rỉ dữ liệu huấn luyện, điều này có thể làm suy yếu độ chính xác trong việc tự đánh giá lỗ hổng của mô hình. Không chỉ vậy, ít nhất đã phát hiện bốn trường hợp bị gán nhãn sai là lỗi nghiêm trọng, loại phân loại sai này rất dễ khiến người dùng hiểu nhầm về rủi ro, dẫn đến quyết định an toàn sai lầm.

Đối với nhà đầu tư và nhà phát triển blockchain, việc nhận thức được “điểm mù” của công cụ tự động và duy trì xác minh bằng tay cẩn thận là chìa khóa để bảo vệ an toàn.

Hiểu lầm 2: Công cụ kiểm toán bảo mật được phát hành bởi các công ty AI lớn luôn đáng tin cậy

“Các tập đoàn công nghệ hàng đầu như OpenAI, phát hành EVMbench trong kiểm thử an toàn hợp đồng thông minh thì chắc chắn hoàn hảo.”

Sự thật: Bối cảnh của công ty hàng đầu không đồng nghĩa với đảm bảo an toàn hoàn hảo, công nghệ vẫn cần được xem xét và cải tiến sâu sắc.

Sự kiện này nhắc nhở chúng ta rằng, bất kể là tổ chức nghiên cứu AI nổi tiếng thế giới hay bất kỳ startup công nghệ nào, sản phẩm và dữ liệu của họ không thể được tôn sùng một cách mù quáng. Ngay cả khi sử dụng công nghệ học máy và dữ liệu lớn mới nhất, vẫn có thể xảy ra ô nhiễm dữ liệu, thiên lệch trong huấn luyện và rủi ro đánh giá sai, cuối cùng ảnh hưởng đến kết quả đánh giá an toàn.

Do đó, quy trình kiểm toán an toàn blockchain không thể hoàn toàn dựa vào một công cụ duy nhất, mà cần phải kết hợp nhiều khía cạnh xác minh và can thiệp bằng tay.

Hiểu lầm 3: Phân loại lỗi nghiêm trọng tự động luôn chính xác, rủi ro hoàn toàn có thể tin cậy

“Những lỗ hổng được EVMbench đánh dấu là nghiêm trọng, người dùng có thể 100% xem là cần phải sửa chữa và phòng tránh ngay lập tức.”

Sự thật: Những đánh giá sai này không chỉ gây lãng phí tài nguyên kỹ thuật, mà còn có thể dẫn đến cạm bẫy phản tác dụng.

OpenZeppelin đã phát hiện ít nhất bốn lỗi nghiêm trọng được phân loại sai, dẫn đến việc nhóm an toàn có thể nhầm lẫn, phát hiện những sự kiện này là ưu tiên để xử lý, tạo ra thứ tự sai. Điều này không chỉ tốn thời gian mà còn có nguy cơ bỏ sót các mối đe dọa thực sự.

Thực hành bảo mật tốt phải bao gồm việc kiểm tra chéo nhiều lần kết quả từ công cụ tự động và kịp thời loại bỏ các cảnh báo sai.

Hiểu lầm 4: Rò rỉ dữ liệu huấn luyện chỉ ảnh hưởng đến độ chính xác của mô hình, không liên quan đến an toàn

“Ngay cả khi có rò rỉ trong bộ dữ liệu, chỉ ảnh hưởng đến hiệu suất của mô hình, không gây ra mối đe dọa thực sự đối với an toàn.”

Sự thật: Ô nhiễm dữ liệu gây ra đánh giá sai, không những ảnh hưởng đến an toàn mà còn làm tăng diện tấn công.

Ô nhiễm dữ liệu có thể khiến mô hình sai lầm khi bỏ qua những lỗ hổng nguy hiểm thực sự hoặc sai lệch khi nâng cao điểm rủi ro, sự không chính xác này phản ánh trực tiếp trong chiến lược phòng thủ an toàn. Kẻ tấn công có thể lợi dụng các chiến lược phân loại không chính xác để làm rối hướng giám sát, làm tăng tỷ lệ thành công của cuộc tấn công.

Rõ ràng, bộ dữ liệu chất lượng cao và nghiêm ngặt là nền tảng bảo vệ an toàn cho hợp đồng thông minh.

Kết luận: Đừng mù quáng tin tưởng, an toàn là một trận chiến kép giữa công nghệ và con người

Những nghi ngờ nghiêm trọng của OpenZeppelin đối với EVMbench của OpenAI nhắc nhở chúng ta rằng trong lĩnh vực công cụ bảo mật blockchain đang phát triển nhanh chóng, chúng ta cần giữ được sự tỉnh táo và phê phán, không nên bị bất kỳ hào quang nào che mắt. Chiến lược an toàn thực sự là sự kết hợp hoàn hảo giữa chuyên môn kỹ thuật và đánh giá con người.

Với tư cách là thành viên của đội ngũ kiểm toán an toàn lâu năm, tôi mạnh mẽ đề nghị người dùng cần có một bộ quy trình kiểm tra lại hoàn chỉnh và một cơ chế bảo vệ đa tầng khi sử dụng bất kỳ công cụ tự động nào, để có thể hiệu quả ngăn chặn những thảm họa do đánh giá sai gây ra.

Công nghệ càng tiến bộ, các phương pháp tấn công càng tinh vi. Đừng để sự tự tin mù quáng và thuật ngữ marketing trở thành nguyên nhân chính khiến hàng rào an toàn của bạn sụp đổ. Để có thêm kiến thức chuyên môn về an toàn và kinh nghiệm thực chiến, vui lòng truy cập liên kết này, cùng tham gia chúng tôi trong việc bảo vệ an toàn tài sản blockchain của bạn.
https://www.okx.com/join?channelId=42974376

You may also like: Khi nào 70% các công ty y tế quyết định áp dụng AI?

learn more about: USDG 獎勵