جيوفاني فينيون، الرئيس التنفيذي والمؤسس لشركة Octane Security – سلسلة المقابلات

Giovanni Vignone، الرئيس التنفيذي ومؤسس Octane Security، أطلقت الشركة في عام 2022 لمعالجة الحاجة المتزايدة للأمن السيبراني الاستباقي في Web3. عندما كان عمره 22 عامًا فقط، شرع في بناء منصة مدعومة بالذكاء الاصطناعي تعمل كمهندس أمان يعمل على مدار الساعة طوال أيام الأسبوع، حيث يقوم بتحليل قواعد أكواد العقود الذكية في الوقت الفعلي، والدمج مباشرة في مسارات CI/CD، واكتشاف نقاط الضعف التي غالبًا ما تفوتها عمليات التدقيق التقليدية.

في هذه المحادثة، نستكشف مهمة Octane لدمج الكشف المستمر والقابل للتفسير عن الثغرات الأمنية في دورة حياة تطوير البرمجيات، وما يلزم لتأمين مستقبل العقود الذكية.

ما الذي ألهم القرار بترك جامعة Duke وبناء Octane بدوام كامل؟ هل كان هناك لحظة معينة أوضحت الفرصة؟
خلال سنتي الثالثة في جامعة Duke، حصلت على وصول تجريبي مبكر لمنصة OpenAI وبدأت أجرّب نماذج اللغة الكبيرة على العقود الذكية في مجال العملات المشفرة. النتائج فتحت عيني حقًا على ما كان ممكنًا.
كانت هناك لحظة محددة تبرز. قمت بإدخال عقد ذكي في واجهة الدردشة وطلبت منه العثور على أي مشكلات. النتائج كانت بحاجة إلى تحسين، لكنني رأيت على الفور الإمكانات الضخمة لاستخدام نماذج اللغة الكبيرة لاكتشاف الثغرات الصعبة. كان ذلك في مارس 2023.
حدث ذلك في الوقت نفسه الذي كنت أرى فيه جميع هذه الاختراقات والاستغلالات تحدث عبر الصناعة. أدركت أن هناك حاجة ماسة لإصلاح هذه المشكلات الأمنية، وقد وفرت لنا هذه النماذج طريقة فريدة للتعامل معها. أدركت أن هذا هو الوقت المناسب للانطلاق بالكامل مع Octane.
ما هي بعض أكبر التحديات التقنية أو التشغيلية في تحويل Octane من فكرة إلى اعتماد من قبل شركات العملات المشفرة الكبرى؟
أكبر تحدٍ تقني كان معرفة كيفية تحديد الثغرات وعرضها على المستخدمين بطريقة يمكنهم استخدامها فعليًا. كان ذلك صعبًا جدًا لأن الثغرات ليست بالأبيض والأسود – لها أبعاد متعددة.
عند النظر إلى ثغرة محتملة، نحتاج إلى مراعاة عدة أمور: ما هو الأثر (هل يمكن لشخص ما أن يخسر أموالًا أو حالة مهمة؟)، مدى سهولة استغلالها، ما الذي يمكن فعله لإصلاحها، وما هو السبب الأساسي للمشكلة. التعامل مع كل هذه الجوانب في آن واحد وعرضها بوضوح استغرق الكثير من الجهد.
بذلنا جهدًا كبيرًا في تحويل كل من هذه المكونات إلى منتجات حتى يتمكن العملاء من استخدام Octane لاكتشاف الثغرات، وفهم مدى خطورتها بسرعة، والبدء في إصلاحها فورًا. بناء أنظمة يمكنها اكتشاف هذه المشكلات باستمرار عبر قواعد شفرة مختلفة تطلب معرفة تقنية وكمية كبيرة من البيانات حول جميع أنواع الثغرات.
تهدف Octane إلى العمل كمهندس أمان مدعوم بالذكاء الاصطناعي مدمج في كل فريق تطوير. ما هي المعالم المطلوبة لتحقيق هذا الهدف بالكامل عبر الصناعة؟
معلمتنا الكبيرة الأولى هي تغيير طريقة تفكير المطورين حول الأمان – جعلهم يدمجونه من اليوم الأول بدلاً من إضافته قبل الإطلاق ببضعة أسابيع. هذا يعني إظهار لهم أن البدء بالأمان يوفر الوقت فعليًا من خلال السماح لهم بإصلاح المشكلات مبكرًا.
نحتاج أيضًا إلى مساعدة المستخدمين على رؤية وفهم ما يحدث عندما يكتشفون الثغرات مبكرًا، حتى يتمكنوا من تجربة الفوائد بأنفسهم.
من جانب المنتج، نحتاج إلى دعم المزيد من اللغات بخلاف Solidity فقط – لغات عقود ذكية أخرى وفي المستقبل لغات برمجة عادية أيضًا. نحن نعمل دائمًا على تحسين نماذجنا من حيث الدقة واكتشاف المزيد من أنواع الثغرات.
كيف سيتطور المنصة لمعالجة التهديدات المعقدة غير القائمة على الشيفرة مثل التصيد أو الاستغلالات القائمة على البرمجيات الضارة؟
في الواقع نتعامل مع بعض هذه التهديدات اليوم. نحن نحدد مخاطر المركزية، مما يساعد الفرق على معرفة أي المفاتيح الخاصة والأدوار حساسة بشكل خاص.
نحن أيضًا نكتشف أنماط التصيد الشائعة في العقود الذكية، مثل عندما يستخدم أحدهم tx.origin للتحقق من هوية المتصل، مما قد يؤدي إلى هجمات تصيد. نتأكد من إبلاغ المستخدمين بهذه النقاط.
حاليًا، تعمل Octane أساسًا كأداة أمان قبل النشر بدلاً من أداة تكتشف التهديدات في الوقت الفعلي. خطتنا هي الاستمرار في توسيع ما يمكننا اكتشافه قبل تشغيل الكود، وتزويد المطورين بالأدوات لإصلاح المشكلات المحتملة قبل أن تتحول إلى هجمات فعلية.
ما الذي يجعل التعلم الآلي غير الخاضع للإشراف—وبشكل خاص التجميع—نهجًا أكثر فاعلية لتصنيف ثغرات العقود الذكية مقارنة بالأنظمة التقليدية القائمة على القواعد؟
لقد ساعدنا التعلم الآلي غير الخاضع للإشراف كثيرًا في رسم خريطة لأنواع الأخطاء الموجودة. بينما لا نزال نستخدم تقنيات قائمة على القواعد لبناء نماذجنا الخاضعة للإشراف، يساعدنا التعلم غير الخاضع للإشراف، وخاصة التجميع، على تحديد النماذج التي يجب بناؤها وكيفية إعطائها الأولوية.
يسمح لنا هذا النهج بتقسيم نماذجنا إلى خطوط تحليل أكثر تخصصًا لأنواع مختلفة من الثغرات.
نحن في الواقع نستخدم كلًا من التعلم الخاضع وغير الخاضع للإشراف معًا—التعلم غير الخاضع للإشراف لفهم المشهد والتعلم الخاضع للإشراف لبناء قدرات كشف دقيقة. هذا الجمع يعمل أفضل من الاعتماد فقط على الأنظمة التقليدية القائمة على القواعد.
هل يمكنك مشاركة مثال حيث كشف التجميع عن فئة جديدة من الثغرات لم تُعترف بها مسبقًا في عمليات التدقيق أو مراجعات الأمان؟
التجميع لا يخلق فئات جديدة من الثغرات من الصفر—إنه يأخذ البيانات الموجودة ويجمعها بطرق ذات معنى. بياناتنا تأتي من استغلالات على السلسلة في العالم الحقيقي، وتقارير الثغرات العامة، ومصادر أخرى لأخطاء العقود الذكية.
ما يبرع فيه التعلم غير الخاضع للإشراف هو أنه يساعدنا على تحسين فهمنا لفئات الثغرات الحالية. يكتشف الأنماط والروابط بين الثغرات المختلفة التي قد تمر دون ملاحظة، مما يتيح لنا بناء طرق كشف أفضل.
من خلال هذا التعرف على الأنماط وتجميع البيانات، أنشأنا نماذج أكثر دقة يمكنها اكتشاف التغييرات الدقيقة لأنواع الثغرات المعروفة، بدلاً من اكتشاف فئات جديدة تمامًا من الثغرات.
كيف تتعامل Octane مع الحالات الحدية حيث لا تتناسب الثغرة بوضوح مع الفئات الموجودة في التصنيف؟
نحاول موازنة مدى التحديد مقابل العمومية في تصنيفنا. كلما كانت فئاتنا ونماذجنا أكثر عمومية، كلما استطعنا اكتشاف الحالات الحدية الغريبة التي لا تتناسب بدقة في أي مكان. لكن الفئات الأكثر تحديدًا توفر للمستخدمين شروحات أفضل وتسمح لنا باكتشاف أنواع الأخطاء المعروفة بشكل أكثر اتساقًا.
عندما نصادف ثغرات لا تكتشفها Octane أو لا تتطابق بوضوح مع فئاتنا الحالية، ننظر فيما إذا كنا بحاجة لإضافة المزيد من البيانات حول تلك الثغرة إلى نموذج موجود، أو إذا كان علينا إنشاء نموذج جديد تمامًا لاكتشاف هذا النوع من الأخطاء في المستقبل.
هذا النهج المرن يتيح لنا الاستمرار في تحسين قدرات الكشف لدينا مع الحفاظ على إطار عمل مفهوم للمستخدمين.
بعد تحليل آلاف الأخطاء، ما الأنماط المتكررة أو الأسباب الجذرية التي برزت عبر ثغرات العقود الذكية؟
لقد رأينا عدة أنماط صعبة تتكرر مرارًا وتكرارًا. ما زالت مشكلة إعادة الدخول (Reentrancy) قضية رئيسية في العقود الذكية. فئة كبيرة أخرى تنبع من حقيقة أن المعاملات مرئية علنًا في الـ mempool، مما يخلق ثغرات حيث يمكن للمهاجمين رؤية المعاملات المعلقة وسرقة المعلومات أو إحداث فشل للمعاملات—ما يُسمى بـ front-running، رغم أنه يحدث بطرق مختلفة.
لقد وجدنا أيضًا الكثير من الثغرات الحرجة التي تنبع من أخطاء بسيطة للمطورين. كانت تُسمى سابقًا بـ “أخطاء منطقية”، لكن ذلك عام جدًا. أحد الأخطاء الشائعة التي نراها هو نسيان المطورين تحديث متغيرات الحالة في مسارات شفرة معينة حيث يجب عليهم ذلك.
هذه مجرد أمثلة قليلة—لدينا تحليل خاص أكثر تفصيلاً لجميع الأخطاء التي طورناها من خلال جهود تحليل البيانات.
تتنوع العقود الذكية بشكل كبير عبر الأنظمة الإيكولوجية واللغات. كيف تضمن Octane أن نماذجها تظل فعّالة عبر هذه البيئات المتنوعة؟
العديد من الثغرات تتبع أنماطًا شائعة بغض النظر عن اللغة أو النظام الإيكولوجي المحدد. هذا يتيح لنا بناء نماذج يمكنها اكتشاف هذه الثغرات بفعالية عبر قواعد شفرة مختلفة.
نصمم نماذجنا للتركيز على المبادئ الأمنية الأساسية التي تنطبق على نطاق واسع عبر أنظمة العقود الذكية، مع مراعاة الخصائص المحددة للغات المختلفة. يساعدنا هذا النهج على البقاء فعالين عبر بيئات متعددة دون الحاجة إلى إعادة بناء كل شيء لكل لغة جديدة.
من خلال التركيز على الأنماط الأساسية للثغرات بدلاً من التفاصيل السطحية، بنينا نماذج يمكنها التكيف مع عالم تطوير العقود الذكية المتنوع.
غالبًا ما تواجه أدوات الأمان القائمة على الذكاء الاصطناعي تشككًا حول قابلية الشرح. كيف تضمن Octane أن تصنيفات الثغرات والتنبيهات قابلة للتنفيذ للمطورين؟
لقد بذلنا الكثير من الجهد في عملية التحقق الخلفية للتحقق من الثغرات من خلال فحوصات إضافية.
نقوم بفرز نتائجنا بعناية لفصل الثغرات الحرجة (التي قد تؤثر فعليًا على قاعدة الشفرة) عن المشكلات الأقل حدة أو التحذيرات التي تمثل أفضل الممارسات. يساعد هذا التصنيف المطورين على التركيز على ما هو الأكثر أهمية.
تم تصميم واجهة المستخدم لدينا لتكون بسيطة وواضحة، مع إبراز أكثر القضايا جديةً للحصول على انتباه فوري بدلاً من أن تُدفن بين مجموعة من التنبيهات الأقل أهمية. من خلال تقديم شروحات واضحة والتركيز على ما يمكن تنفيذه، نضمن أن المطورين يمكنهم فهم الثغرات التي نكتشفها بسرعة وإصلاحها.
شكرًا على هذه المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا Octane Security.