Irene Basaglia 是 Consensys Diligence 的技术写作师和内容策略师，她在该公司建立了内容职能体系，并致力于将安全研究成果传播至更广泛的以太坊社区。她专注于审计方法论、AI 辅助代码审查，以及将技术安全工作以易于理解的方式呈现给协议团队和开发者。她曾担任以太坊协议研究员（第六期），为以太坊共识客户端之一 Lodestar 的测试框架做出了贡献，并积极为科技和 Web3 领域中代表性不足的群体提供指导与支持。
阅读所有文章
Consensys Diligence 多年来一直是 MetaMask 安全体系的重要组成部分，合作项目涵盖 MetaMask EIP-7715、MetaMask USD 以及 MetaMask Snaps。
其中，Snaps 项目是这一长期合作最具代表性的成果之一。Diligence 的审计人员为该生态系统奠定了多项核心安全资源：MetaMask 信任模块、Snaps 安全要点指南（对最常见的 Snap 漏洞类别进行了系统分类），以及专为自动化安全分析打造的定制工具 Snapguardian。
Snaps 相关项目也是 Diligence 最早将 AI 自动化引入审计工作的试验场——起初以 ChatGPT 工作流的形式落地，后来演进为基于 MCP 连接的编码智能体。这一早期探索，正是 Chonky 诞生的基础。
从人工安全审计到 Chonky
在整个安全行业，AI 正在重塑审计的工作方式。数十年来审计人员积累的专业知识正被系统化地融入 AI 工作流，从全人工审计向 AI 辅助审计的转型已然开启。Diligence 对这一转型的回应，正是 Chonky。
Chonky 是团队最新推出的 AI 增强审计方法论：一套定制化的智能体框架，内置安全领域专属知识库、针对审计场景优化的工作流，以及问题分类体系，凝聚了八年以太坊安全领域的深厚积累。Chonky 与编程语言无关，不局限于 Solidity 或任何单一审计场景，同样的方法论可适配大型应用代码库、其他编程语言以及 zkVM。
Chonky 以"可扩展性优先"作为核心设计原则，构建于以太坊更广泛生态系统中逾 10 万条历史漏洞发现之上。其关键在于：将这些安全知识映射到目标系统的威胁模型，并针对待审计代码库生成具有上下文针对性的假设。Chonky 之所以深谙如何审查 MetaMask 这样的钱包，正是因为多年紧密的安全合作已深深融入工具本身。审计人员主导整个流程，而 Chonky 则持续挖掘候选问题，拓展他们的覆盖范围与研究深度。
在最新一批合作项目中，Diligence 的审计人员将 Chonky 应用于 MetaMask 技术栈上的两个不同场景：一次大型智能合约集成审计，以及一次 Snap 审计。
智能合约集成的广度探索与深度钻研
大型代码库需要对审查精力和时间进行合理分配。审计人员将 Chonky 作为方法论加以运用，各自选择最适合自己的方式，由此形成了两种互补的技术路径：广度优先的漏洞挖掘与深度优先的人工审查。
漏洞挖掘是 Diligence 基于 Chonky 构建的主要 AI 增强审查方法。审计人员针对每次项目对智能体进行定制：明确搜索目标、确定排查范围、设定待验证假设。在本次项目中，负责广度优先审查的审计人员加载了 MetaMask 背景资料，从多个视角挖掘候选发现。智能体输出候选问题，审计人员随即进行分类处理——确认真实问题、排除误报，并据此优化下一轮排查策略。由于 AI 目前尚无法可靠地自我验证结论，分类处理已成为审计人员的核心技能之一，也是整个流程中不可或缺的关键环节。
漏洞挖掘还将覆盖范围延伸至原定审计范围之外。误报本身也成为威胁模型审查的一部分。即便某个候选问题最终未能确认为真实发现，它依然能够检验预期功能与可利用行为之间的边界，推动审计人员提出更有价值的安全问题。
深度优先方法对 Chonky 工作流的运用方式有所不同——在审计初期即用于深入理解集成代码库的上下文背景，在此基础上，审计人员再对标记为最高风险的组件展开深度钻研。无论哪种方式，审计人员都会选择最能扩大自身覆盖能力的方法。
将审计发现无缝融入开发者工作流
在第二个项目中，Chonky 被应用于一个全新的 MetaMask Snap——一个 TypeScript 机构级代码库。多年积累的 Snap 审计经验已内化于工具之中，而改变的是速度。Chonky 现在运行时所使用的背景资料专为 Snaps 框架量身调校，范围界定也针对其反复出现的行为模式进行了精准校准。
在本次项目中，分类处理工作转移至 MetaMask 一侧。Diligence 的审计人员完成了对 Snap 代码库的审计，将输出结果呈现于一个面向开发者的交互式定制界面，并构建了一套集成至 MetaMask GitHub 环境的分类处理工作流。MetaMask 团队可以在现有开发流程中直接查看并响应审计发现。
Diligence 对 Snaps 生态系统的深度熟悉，加之 Chonky 可扩展的技术栈，使审计输出得以直接接入 MetaMask 的审查流程。这一方法同样适用于 Snaps 以外的场景，可推广至任何拥有成熟开发工作流的团队。
每次项目都让方法论更加精进
代码库规模持续扩大，威胁面不断延伸。审计人员的角色也在随之演变：一个新的层次已然加入——分类处理阶段，审计人员的专业判断在此承载着安全工作的核心价值。
最终呈现的是一套超越"将 AI 指向代码库"的审查流程。它能够触及人工审查在有限时间内无法覆盖的角落。每一次项目都在进一步训练这套方法论：分类处理的反馈持续打磨 Chonky 的知识库，随着时间推移不断降低误报率、提升检测精度。
对于 MetaMask 而言，这意味着同一套方法论可以贯穿整个软件技术栈——智能合约、Snaps 及其他攻击面，均由一位已深度熟悉其架构的安全合作伙伴进行审查。
共同守护生态系统的安全责任，是 Web3 所秉持的去中心化精神的重要体现。Consensys Diligence 很荣幸能与 MetaMask 团队携手，共同朝着这一目标不断迈进。
AI 翻译。可能包含错误。请务必核实信息。
