Giovanni Vignone, Διευθύνων Σύμβουλος & Ιδρυτής της Octane Security – Σειρά Συνεντεύξεων

Giovanni Vignone, Διευθύνων Σύμβουλος και Ιδρυτής της Octane Security, ξεκίνησε την εταιρεία το 2022 για να αντιμετωπίσει την αυξανόμενη ανάγκη για προδραστική κυβερνοασφάλεια στο Web3. Στα μόλις 22, ξεκίνησε να δημιουργήσει μια πλατφόρμα με τεχνητή νοημοσύνη που λειτουργεί σαν μηχανικός ασφαλείας 24/7—αναλύοντας σε πραγματικό χρόνο τις βάσεις κώδικα έξυπνων συμβάσεων, ενσωματώνοντας άμεσα σε CI/CD pipelines, και εντοπίζοντας ευπάθειες που συχνά παραβλέπουν οι παραδοσιακοί έλεγχοι.

Σε αυτή τη συζήτηση, εξερευνούμε την αποστολή της Octane να ενσωματώσει συνεχή, εξηγήσιμη ανίχνευση ευπαθειών στον κύκλο ζωής ανάπτυξης λογισμικού—και τι απαιτείται για να ασφαλίσουμε το μέλλον των smart contracts.

Τι ενέπνευσε την απόφαση να αφήσει το Duke και να δημιουργήσει την Octane πλήρους απασχόλησης; Υπήρχε μια συγκεκριμένη στιγμή που διευκρίνισε την ευκαιρία;

Κατά το τρίτο έτος μου στο Duke, έλαβα πρώιμη πρόσβαση beta στην πλατφόρμα της OpenAI και άρχισα να πειραματίζομαι με μεγάλα μοντέλα γλώσσας σε έξυπνες συμβάσεις στον χώρο των κρυπτονομισμάτων. Τα αποτελέσματα πραγματικά άνοιξαν τα μάτια μου στο τι ήταν δυνατό.

Υπήρχε μια συγκεκριμένη στιγμή που ξεχωρίζει. Εισήγαγα μια έξυπνη σύμβαση στη διεπαφή συνομιλίας και της ζήτησα να βρει τυχόν προβλήματα. Τα αποτελέσματα χρειάζονταν βελτίωση, αλλά είδα αμέσως τη τεράστια δυνατότητα χρήσης LLM για την ανίχνευση δύσκολα εντοπίσιμων ευπαθειών. Αυτό συνέβη τον Μάρτιο του 2023.

Αυτό συνέβη περίπου την ίδια περίοδο που έβλεπα όλα αυτά τα hacks και εκμεταλλεύσεις που συνέβαιναν σε όλη τη βιομηχανία. Συνειδητοποίησα ότι υπήρχε επείγουσα ανάγκη να διορθώσουμε αυτά τα προβλήματα ασφαλείας, και αυτά τα μοντέλα μας έδωσαν έναν μοναδικό τρόπο να τα αντιμετωπίσουμε. Απλώς ήρθε η αίσθηση ότι αυτή ήταν η κατάλληλη στιγμή για να επενδύσουμε πλήρως στην Octane.

Ποιες ήταν μερικές από τις μεγαλύτερες τεχνικές ή λειτουργικές προκλήσεις στην μεταφορά της Octane από την ιδέα στην υιοθέτηση από μεγάλες εταιρείες κρυπτογράφησης;

Η μεγαλύτερη τεχνική πρόκληση ήταν να καταλάβουμε πώς να εντοπίζουμε τις ευπάθειες και να τις παρουσιάζουμε στους χρήστες με τρόπο που να μπορούν πραγματικά να τις χρησιμοποιήσουν. Αυτό ήταν πολύ δύσκολο επειδή οι ευπάθειες δεν είναι ασπρόμαυρες – έχουν πολλαπλές διαστάσεις.

Όταν εξετάζουμε μια πιθανή ευπάθεια, πρέπει να λάβουμε υπόψη αρκετά πράγματα: ποιο είναι το αντίκτυπο (μπορεί κάποιος να χάσει χρήματα ή σημαντική κατάσταση;), πόσο εύκολο είναι να εκμεταλλευτείται, τι μπορεί να γίνει για τη διόρθωσή της, και τι προκαλεί το πρόβλημα αρχικά. Η διαχείριση όλων αυτών των πτυχών ταυτόχρονα και η σαφής παρουσίασή τους απαιτούσαν πολύ δουλειά.

Καταβλήσαμε τεράστια προσπάθεια στην παραγωγική υλοποίηση κάθε ενός από αυτά τα συστατικά ώστε οι πελάτες να μπορούν να χρησιμοποιούν την Octane για να εντοπίζουν ευπάθειες, να κατανοούν γρήγορα πόσο σοβαρές είναι και να αρχίζουν αμέσως τη διόρθωσή τους. Η δημιουργία συστημάτων που θα μπορούσαν σταθερά να εντοπίζουν αυτά τα ζητήματα σε διαφορετικές βάσεις κώδικα απαιτούσε τόσο τεχνική εξειδίκευση όσο και πολλά δεδομένα για όλα τα είδη ευπαθειών.

Η Octane στοχεύει να λειτουργεί σαν μηχανικός ασφαλείας AI ενσωματωμένος σε κάθε ομάδα ανάπτυξης. Ποια ορόσημα χρειάζονται για να υλοποιηθεί πλήρως αυτός ο στόχος σε όλη τη βιομηχανία;

Το πρώτο μας μεγάλο ορόσημο είναι η αλλαγή του τρόπου σκέψης των προγραμματιστών σχετικά με την ασφάλεια – να τους κάνουμε να την ενσωματώνουν από την πρώτη μέρα αντί να την προσθέτουν λίγες εβδομάδες πριν την κυκλοφορία. Αυτό σημαίνει να τους δείξουμε ότι η έναρξη με την ασφάλεια στην πραγματικότητα εξοικονομεί χρόνο, επιτρέποντάς τους να διορθώνουν προβλήματα νωρίτερα.

Πρέπει επίσης να βοηθήσουμε τους χρήστες να δουν και να κατανοήσουν τι συμβαίνει όταν εντοπίζουν ευπάθειες νωρίς, ώστε να βιώσουν τα οφέλη από πρώτο χέρι.

Στο προϊόν, πρέπει να υποστηρίξουμε περισσότερες γλώσσες πέρα από τη Solidity – άλλες γλώσσες έξυπνων συμβάσεων και τελικά και τις κανονικές γλώσσες προγραμματισμού. Συνεχώς εργαζόμαστε για να βελτιώσουμε τα μοντέλα μας όσον αφορά την ακρίβεια και την ανίχνευση περισσότερων τύπων ευπαθειών.

Πώς θα εξελιχθεί η πλατφόρμα για να αντιμετωπίσει σύνθετες, μη κώδικα απειλές όπως το phishing ή εκμεταλλεύσεις βασισμένες σε κακόβουλο λογισμικό;

Στην πραγματικότητα, ήδη αντιμετωπίζουμε κάποιες από αυτές τις απειλές σήμερα. Επισημαίνουμε τους κινδύνους κεντροποίησης, κάτι που βοηθά τις ομάδες να γνωρίζουν ποια ιδιωτικά κλειδιά και ρόλοι είναι ιδιαίτερα ευαίσθητα.

Επιπλέον, εντοπίζουμε κοινά μοτίβα phishing σε έξυπνες συμβάσεις, όπως όταν κάποιος χρησιμοποιεί το tx.origin για λογική επαλήθευσης κλήσης, που μπορεί να οδηγήσει σε επιθέσεις phishing. Φροντίζουμε να τα επισημαίνουμε στους χρήστες.

Αυτή τη στιγμή, η Octane λειτουργεί κυρίως ως εργαλείο ασφαλείας προ-ανάπτυξης αντί για κάτι που εντοπίζει απειλές σε πραγματικό χρόνο. Το σχέδιό μας είναι να συνεχίσουμε να επεκτείνουμε ό,τι μπορούμε να ανιχνεύσουμε πριν ο κώδικας γίνει ζωντανός, παρέχοντας στους προγραμματιστές τα εργαλεία για να διορθώσουν πιθανά προβλήματα πριν μετατραπούν σε πραγματικές επιθέσεις.

Τι κάνει τη μη επιβλεπόμενη μηχανική μάθηση—συγκεκριμένα το clustering—μια πιο αποτελεσματική προσέγγιση για την ταξινόμηση ευπαθειών έξυπνων συμβάσεων σε σύγκριση με τα παραδοσιακά συστήματα βασισμένα σε κανόνες;

Η μη επιβλεπόμενη μηχανική μάθηση μας έχει βοηθήσει πραγματικά να χαρτογραφήσουμε τι είδους σφάλματα υπάρχουν. Ενώ εξακολουθούμε να χρησιμοποιούμε τεχνικές βασισμένες σε κανόνες για την κατασκευή των επιβλεπόμενων μοντέλων μας, η μη επιβλεπόμενη μάθηση, ειδικά το clustering, μας βοηθά να καταλάβουμε ποια μοντέλα πρέπει να δημιουργήσουμε και πώς να τα προτεραιοποιήσουμε.

Αυτή η προσέγγιση μας επιτρέπει να διασπάμε τα μοντέλα μας σε πιο εξειδικευμένες γραμμές ανάλυσης για διαφορετικούς τύπους ευπαθειών..

Στην πραγματικότητα, χρησιμοποιούμε και τα δύο, επιβλεπόμενη και μη επιβλεπόμενη ML μαζί—η μη επιβλεπόμενη μάθηση για να κατανοήσουμε το τοπίο και οι επιβλεπόμενες μέθοδοι για να δημιουργήσουμε ακριβείς δυνατότητες ανίχνευσης. Αυτός ο συνδυασμός λειτουργεί καλύτερα από το να βασιζόμαστε μόνο σε παραδοσιακά συστήματα βασισμένα σε κανόνες.

Μπορείτε να μοιραστείτε ένα παράδειγμα όπου το clustering ανέδειξε μια νέα κατηγορία ευπαθειών που δεν είχε αναγνωριστεί προηγουμένως σε ελέγχους ή αξιολογήσεις ασφαλείας;

Το clustering δεν δημιουργεί πραγματικά νέες κατηγορίες ευπαθειών από το μηδέν—παίρνει υπάρχοντα δεδομένα και τα ομαδοποιεί με ουσιαστικούς τρόπους. Τα δεδομένα μας προέρχονται από πραγματικές εκμεταλλεύσεις on-chain, δημόσιες αναφορές ευπαθειών και άλλες πηγές σφαλμάτων έξυπνων συμβάσεων.

Αυτό που κάνει πραγματικά καλά η μη επιβλεπόμενη μάθηση είναι ότι μας βοηθά να βελτιώσουμε την κατανόηση των υπαρχουσών κατηγοριών ευπαθειών. Εντοπίζει μοτίβα και συνδέσεις μεταξύ διαφορετικών ευπαθειών που διαφορετικά θα μπορούσαν να περάσουν απαρατήρητες, επιτρέποντάς μας να δημιουργήσουμε καλύτερες μεθόδους ανίχνευσης.

Μέσω αυτής της αναγνώρισης μοτίβων και της ομαδοποίησης δεδομένων, έχουμε δημιουργήσει πιο λεπτομερή μοντέλα που μπορούν να εντοπίζουν λεπτές παραλλαγές γνωστών τύπων ευπαθειών, αντί να ανακαλύπτουν εντελώς νέες κατηγορίες ευπαθειών.

Πώς η Octane αντιμετωπίζει τις ακραίες περιπτώσεις όπου μια ευπάθεια δεν ταιριάζει σαφώς σε υπάρχουσες κατηγορίες εντός της ταξινομίας;

Προσπαθούμε να ισορροπήσουμε το πόσο συγκεκριμένη ή γενική είναι η ταξινομία μας. Όσο πιο γενικές είναι οι κατηγορίες και τα μοντέλα μας, τόσο καλύτερα μπορούμε να εντοπίζουμε παράξενες ακραίες περιπτώσεις που δεν ταιριάζουν ακριβώς πουθενά. Ωστόσο, πιο συγκεκριμένες κατηγορίες παρέχουν στους χρήστες καλύτερες εξηγήσεις και μας επιτρέπουν να εντοπίζουμε γνωστούς τύπους σφαλμάτων πιο συνεπώς.

Όταν αντιμετωπίζουμε ευπάθειες που η Octane παραλείπει ή που δεν ταιριάζουν σαφώς με τις υπάρχουσες κατηγορίες μας, εξετάζουμε αν πρέπει να προσθέσουμε περισσότερα δεδομένα για αυτήν την ευπάθεια σε ένα υπάρχον μοντέλο, ή αν χρειάζεται να δημιουργήσουμε εντελώς νέο μοντέλο για να εντοπίζουμε αυτόν τον τύπο σφάλματος στο μέλλον.

Αυτή η ευέλικτη προσέγγιση μας επιτρέπει να συνεχίσουμε να βελτιώνουμε τις δυνατότητες ανίχνευσής μας, διατηρώντας ταυτόχρονα ένα πλαίσιο που έχει νόημα για τους χρήστες.

Μετά την ανάλυση χιλιάδων σφαλμάτων, ποια επαναλαμβανόμενα μοτίβα ή βασικές αιτίες έχουν ξεχωρίσει στις ευπάθειες έξυπνων συμβάσεων;

Έχουμε παρατηρήσει αρκετά δύσκολα μοτίβα που επαναλαμβάνονται. Η επαναεισροή (reentrancy) παραμένει σημαντικό πρόβλημα στις έξυπνες συμβάσεις. Μια άλλη μεγάλη κατηγορία προέρχεται από το γεγονός ότι οι συναλλαγές είναι δημόσια ορατές στο mempool, κάτι που δημιουργεί ευπάθειες όπου οι επιτιθέμενοι μπορούν να δουν εκκρεμείς συναλλαγές και να κλέψουν πληροφορίες ή να προκαλέσουν αποτυχία συναλλαγών—αυτό που αποκαλείται front‑running, αν και συμβαίνει με πολλούς διαφορετικούς τρόπους.

Έχουμε επίσης βρει πολλές κρίσιμες ευπάθειες που προέρχονται από απλά λάθη προγραμματιστών. Αυτά παλαιότερα ονομάζονταν γενικά «σφάλματα λογικής», αλλά είναι πολύ ασαφή. Ένα κοινό λάθος που παρατηρούμε είναι ότι οι προγραμματιστές ξεχνούν να ενημερώσουν τις μεταβλητές κατάστασης σε ορισμένες διαδρομές κώδικα όπου είναι απαραίτητο.

Αυτά είναι μόνο μερικά παραδείγματα—έχουμε μια πολύ πιο λεπτομερή ιδιωτική ανάλυση όλων των σφαλμάτων που έχουμε αναπτύξει μέσω των προσπαθειών ανάλυσης δεδομένων μας.

Οι έξυπνες συμβάσεις διαφέρουν πολύ ανάμεσα σε οικοσυστήματα και γλώσσες. Πώς η Octane εξασφαλίζει ότι τα μοντέλα της παραμένουν αποτελεσματικά σε αυτά τα διαφορετικά περιβάλλοντα;

Πολλές ευπάθειες ακολουθούν κοινά μοτίβα ανεξάρτητα από τη συγκεκριμένη γλώσσα ή το οικοσύστημα. Αυτό μας επιτρέπει να δημιουργούμε μοντέλα που μπορούν να εντοπίζουν αποτελεσματικά αυτές τις ευπάθειες σε διαφορετικές βάσεις κώδικα.

Σχεδιάζουμε τα μοντέλα μας ώστε να εστιάζουν στις βασικές αρχές ασφαλείας που ισχύουν ευρέως σε συστήματα έξυπνων συμβάσεων, λαμβάνοντας υπόψη τα ειδικά χαρακτηριστικά διαφορετικών γλωσσών. Αυτή η προσέγγιση μας βοηθά να παραμένουμε αποτελεσματικοί σε διάφορα περιβάλλοντα χωρίς να χρειάζεται να ξαναχτίζουμε τα πάντα για κάθε νέα γλώσσα.

Επικεντρώνοντας στα βασικά μοτίβα των ευπαθειών αντί για λεπτομέρειες επιφανειακού επιπέδου, έχουμε δημιουργήσει μοντέλα που μπορούν να προσαρμοστούν στον πολυποίκιλο κόσμο της ανάπτυξης έξυπνων συμβάσεων.

Τα εργαλεία ασφαλείας βασισμένα στην AI συχνά αντιμετωπίζουν σκεπτικισμό σχετικά με την εξηγήσιμότητα. Πώς η Octane διασφαλίζει ότι οι ταξινομήσεις ευπαθειών και οι ειδοποιήσεις είναι εφαρμόσιμες για τους προγραμματιστές;

Έχουμε επενδύσει πολύ στην διαδικασία επικύρωσης του back‑end μας για να επαληθεύουμε τις ευπάθειες μέσω πρόσθετων ελέγχων.

Διαχωρίζουμε προσεκτικά τα ευρήματά μας ώστε να διακρίνουμε κρίσιμες ευπάθειες (που μπορούν πραγματικά να επηρεάσουν τη βάση κώδικα) από λιγότερο σοβαρά ζητήματα ή προειδοποιήσεις που αντιπροσωπεύουν βέλτιστες πρακτικές. Αυτή η κατηγοριοποίηση βοηθά τους προγραμματιστές να εστιάσουν σε ό,τι είναι πιο σημαντικό.

Το UI μας σχεδιάστηκε ώστε να είναι απλό και σαφές, επισημαίνοντας τα πιο σοβαρά ζητήματα ώστε να λαμβάνουν άμεση προσοχή αντί να χωνεύονται σε μια σειρά λιγότερο σημαντικών ειδοποιήσεων. Παρέχοντας σαφείς εξηγήσεις και εστιάζοντας σε ό,τι είναι εφαρμόσιμο, διασφαλίζουμε ότι οι προγραμματιστές μπορούν γρήγορα να κατανοήσουν και να διορθώσουν τις ευπάθειες που εντοπίζουμε.

Σας ευχαριστούμε για τη σπουδαία συνέντευξη, οι αναγνώστες που θέλουν να μάθουν περισσότερα θα πρέπει να επισκεφθούν την Octane Security.