MetaMask'ın yapay zeka destekli güvenlik denetim sisteminin oluşturulması

Consensys Diligence, MetaMask EIP-7715, MetaMask USD ve MetaMask Snaps gibi çalışmalar dahil olmak üzere yıllardır MetaMask'ın güvenlik hikayesinin bir parçası olmuştur.

Snaps projesi, bu uzun soluklu iş birliğinin en güçlü örneklerinden biridir. Diligence'ın denetçileri, ekosistemin temel güvenlik kaynaklarından birçoğunu oluşturdu: MetaMask Trust Module, en yaygın Snap güvenlik açığı kategorilerini sınıflandıran Snaps Security Essentials Guide ve otomatik güvenlik analizi için özel olarak geliştirilmiş bir araç olan Snapguardian.

Snaps çalışmaları aynı zamanda Diligence'ın denetim süreçlerinde erken dönem yapay zeka otomasyonunu uyguladığı ilk alanlar arasında yer aldı; önce ChatGPT iş akışları, ardından MCP bağlantılı kodlama ajanları olarak. Bu erken entegrasyon, bir sonraki adımın, yani Chonky'nin temelini oluşturdu.

Manuel güvenlik denetimlerinden Chonky'ye

Güvenlik sektöründe yapay zeka, denetimlerin işleyişini köklü biçimde değiştiriyor. On yıllarca biriken denetçi bilgisi yapay zeka iş akışlarına aktarılıyor ve tamamen manuel denetimden yapay zeka tabanlı denetime geçiş süreci hız kazanıyor. Diligence'ın bu dönüşüme verdiği yanıt Chonky'dir.

Chonky, ekibin en güncel yapay zeka destekli denetim metodolojisidir: güvenliğe özgü bilgi setleri, denetime göre kalibre edilmiş iş akışları ve sorun taksonomileriyle donatılmış, sekiz yıllık Ethereum güvenlik uzmanlığı üzerine inşa edilmiş özelleştirilmiş bir ajansal çerçevedir. Chonky dilden bağımsızdır: Solidity'ye veya herhangi bir tek denetim yüzeyine bağlı değildir. Aynı metodoloji büyük uygulama kod tabanlarına, diğer programlama dillerine ve zkVM'lere uyum sağlar.

Temel bir tasarım ilkesi olarak genişletilebilirlik önceliğiyle tasarlanan Chonky, Ethereum'un geniş ekosisteminden elde edilmiş 100.000'den fazla geçmiş güvenlik açığı bulgusuna dayanmaktadır. Kilit nokta, bu güvenlik bilgisini hedefin tehdit modeline eşlemek ve incelenen kod tabanı için bağlama özgü hipotezler üretmektir. Chonky, MetaMask gibi bir cüzdanda neye bakması gerektiğini biliyor; çünkü yıllara dayanan yakın güvenlik ortaklığı araçların içine işlenmiş durumda. Denetçiler süreci yönlendiriyor, Chonky ise onların erişim alanını ve araştırma kapasitesini genişleten adayları gün yüzüne çıkarıyor.

Son çalışmalarda Diligence'ın denetçileri, MetaMask'ın yığınında iki farklı kullanım senaryosu için Chonky'yi kullandı: büyük ölçekli bir akıllı sözleşme entegrasyonu ve bir Snap denetimi.

Akıllı sözleşme entegrasyonunda genişlik ve derinlik

Büyük kod tabanları, inceleme çabası ve zamanının bilinçli biçimde dağıtılmasını gerektirir. Denetçiler Chonky'yi bir metodoloji olarak uyguladı; her biri kendi tercih ettiği yaklaşımı seçti. Bu durum iki tamamlayıcı tekniği ortaya çıkardı: genişlik öncelikli güvenlik açığı madenciliği ve derinlik öncelikli manuel inceleme.

Güvenlik açığı madenciliği, Chonky üzerine inşa edilmiş Diligence'ın ana yapay zeka destekli inceleme yöntemidir. Denetçi, her çalışma için ajanı özelleştirir: neyin aranacağını, nereye bakılacağını ve hangi varsayımların test edileceğini tanımlar. Bu çalışmada genişlik öncelikli denetçi, farklı bakış açılarından aday bulgular ortaya çıkarmak için MetaMask özetlerini sisteme yükledi. Ajan adayları üretir; denetçi bunları önceliklendirir, gerçek olanları onaylar, yanlış pozitifleri eler ve bir sonraki geçişi iyileştirir. Yapay zeka henüz kendi sonuçlarını güvenilir biçimde doğrulayamadığından, önceliklendirme hem temel denetçi becerilerinden biri hem de sürecin kritik bir adımı haline geldi.

Madencilik aynı zamanda kapsamı orijinal denetim sınırlarının ötesine taşıdı. Yanlış pozitifler, tehdit modeli incelemesinin bir parçasına dönüştü. Bir aday sorun bulgu olarak doğrulanmasa bile, amaçlanan işlevsellik ile istismar edilebilir davranış arasındaki sınırı test etmeye devam eder. Bu durum denetçiyi doğru güvenlik sorularına yönlendirir.

Derinlik öncelikli yaklaşım, Chonky'nin iş akışlarını farklı biçimde uyguladı. Bu iş akışları, entegrasyon kod tabanının derin bağlamsal olarak anlaşılmasını sağlamak amacıyla başlangıç aşamasında kullanıldı. Bu temelden hareketle denetçiler, en yüksek risk olarak işaretledikleri bileşenlere derinlemesine indi. Her durumda denetçi, erişebildikleri alanı ölçeklendirecek yaklaşımı seçti.

Denetim bulgularını geliştirici iş akışına entegre etmek

İkinci bir çalışmada Chonky, yeni bir MetaMask Snap'e uygulandı: TypeScript tabanlı kurumsal bir depo. Snap denetimlerinin uzun geçmişi artık araçların içine yerleşmiş durumda. Değişen şey ise hızdır. Chonky artık Snaps çerçevesine özel olarak ayarlanmış özetlerle ve yinelenen davranışlarına göre kalibre edilmiş kapsam belirlemeyle çalışıyor.

Bu durumda önceliklendirme MetaMask tarafına geçti. Diligence'ın denetçileri Snap'in kod tabanının denetimini gerçekleştirdi, çıktısını geliştirici etkileşimli özel bir arayüzde şekillendirdi ve MetaMask'ın GitHub ortamına entegre edilmiş bir önceliklendirme iş akışı oluşturdu. MetaMask ekibi, bulguları mevcut geliştirme süreçleri içinde inceleyip yanıtlayabildi.

Diligence'ın Snaps ekosistemine derin aşinalığı, Chonky'nin genişletilebilir yığınıyla birleşince denetim çıktısının doğrudan MetaMask'ın inceleme akışına entegre olmasını sağladı. Aynı yaklaşım Snaps'in ötesine geçerek köklü bir geliştirme iş akışına sahip her ekip için uygulanabilir.

Her çalışmayla keskinleşen bir metodoloji

Kod tabanları büyüyor. Tehdit yüzeyleri genişliyor. Denetçinin rolü değişiyor: sürece yeni bir katman eklendi; denetçinin yargısının güvenlik çalışmasını taşıdığı önceliklendirme aşaması.

Sonuç, bir yapay zekayı kod tabanına yönlendirmenin ötesine geçen bir inceleme sürecidir. Bu, manuel bir incelemenin mevcut süre içinde ulaşamayacağı açıları kapsayan bir çalışmadır. Her çalışma metodolojiye daha fazla katkı sağlar: önceliklendirme geri bildirimi, Chonky'nin bilgi tabanını zamanla keskinleştirerek yanlış pozitifleri azaltır ve tespit hassasiyetini artırır.

MetaMask açısından bu, aynı metodolojinin yazılım yığını genelinde hareket edebileceği anlamına gelir: akıllı sözleşmeler, Snaps ve mimariyi zaten tanıyan bir güvenlik ortağı tarafından incelenen diğer yüzey alanları.

Ekosistemi güvence altına alma sorumluluğunu paylaşmak hem hayati önem taşımakta hem de web3'ün benimsediği merkeziyetsizlik ilkelerinin ruhunu yansıtmaktadır. Consensys Diligence, bu hedefe MetaMask ekibiyle birlikte çalışmaktan gurur duymaktadır.