أسطورة Anthropic مقابل أمن DeFi: منظومة التدقيق مكسورة

هذا الأسبوع، استوعب نظام DeFi خسائر تجاوزت 750 مليون دولار في سلسلة من عمليات اختراق البروتوكولات، بدت في ظاهرها القصة المعتادة: ثغرات في ضبط صلاحيات الوصول، وفجوات إعادة الدخول، وإخفاقات في منطق الجسور. لكن نواقل الهجوم باتت أكثر حدة، والمسافة الزمنية بين الاكتشاف والاستنزاف تتقلص، والأدوات المتاحة للمهاجم على وشك أن تحصل على ترقية جدية.

نظام Mythos التابع لـ Anthropic، وهو نظامهم الداخلي المبني لأبحاث الثغرات الأمنية الآلية، لا يكتفي بالعثور على الأخطاء بسرعة أكبر. إنه يستدل عبر قواعد الكود بأكملها، ويسلسل عناصر الاستغلال البدائية معاً، ويعمل بسرعة تجعل دفاعات DeFi القائمة ليست بطيئة فحسب، بل غير ذات صلة هيكلياً. هذا ليس تحسيناً هامشياً على أدوات المهاجمين الحالية. إنه تحول في الفئة.

أسبوع الـ 750 مليون دولار ليس مصادفة توقيت. إنه معاينة لما يحدث حين يتسع التفاوت بين الهجوم والدفاع في أمن DeFi، لا أن يضيق.

لماذا لم تكن منظومة الاحتكاك في DeFi أماناً حقيقياً قط

نموذج الأمن السائد في DeFi هو مسرح الاحتكاك. آليته كالتالي: اجعل عمليات الاستغلال مزعجة بما يكفي لثني معظم المهاجمين، ومكلفة بما يكفي لرصد من يمضي فيها قبل أن يستنزف كل شيء.

الآليات الفعلية هي:

• التوقيع المتعدد (Multisig)، يستلزم توقيع M من أصل N من حاملي المفاتيح، مما يضيف عبء التنسيق
• أقفال الوقت (Timelocks)، تؤخر تنفيذ الترقيات والتحويلات الكبيرة من 24 إلى 72 ساعة
• عمليات التدقيق، مراجعات دورية للكود تجريها شركات كـ Trail of Bits وCertik وOpenZeppelin

هذا يجدي في مواجهة المهاجمين الانتهازيين ذوي المهارة التقنية المتوسطة. لكنه لا يجدي في مواجهة نظام ذكاء اصطناعي يستطيع قراءة قاعدة كود Solidity مؤلفة من 50,000 سطر في ثوانٍ، وتحديد تفاعلات الحالة غير الواضحة بين العقود، وتوليد سلسلة استغلال فعّالة قبل أن ينهي أي محلل بشري جولته الأولى.

منظومة الاحتكاك صُممت حول اقتصاديات المهاجم البشري. Mythos يغير دالة التكلفة كلياً.

ما الذي يفعله Mythos فعلياً بسطح الهجوم

كما هو مفصّل في المعاينة التقنية لـ Mythos من Anthropic، يستطيع النظام تحليل تطبيقات TLS، ورصد أنماط إعادة استخدام nonce في AES-GCM، وتتبع سلاسل التبعيات عبر مكدّات البرمجيات المعقدة، وهو النوع من تحليل Mythos لـ TLS وAES-GCM الذي كان يستلزم سابقاً خبيراً في التشفير من الدرجة الأولى وعدة أسابيع من العمل.

بالنسبة إلى DeFi، يتجلى هذا في عدد من متجهات التهديد الملموسة:

1. تسلسل الاستغلال عبر العقود، استغلت معظم الاختراقات الكبرى في 2024-2025 التفاعلات بين العقود لا الأخطاء المنفردة في عقد واحد. يستطيع الذكاء الاصطناعي من فئة Mythos نمذجة هذه التفاعلات بصورة شاملة. حادثة Kelp DAO التي تناولتها سابقاً، حيث أدى خطأ في تكوين LayerZero DVN إلى خسارة 292 مليون دولار، هي بالضبط نوع التفاعل متعدد الأنظمة الذي صُمّم Mythos لاكتشافه.

2. تسلسل ثغرات Zero-day بسرعة الآلة، ثغرات الـ Zero-day في الذكاء الاصطناعي المتعلقة بالعملات المشفرة ليست مجرد نظرية. المخاوف تتمحور حول نظام ذكاء اصطناعي يرصد ثلاث مشكلات ذات خطورة منخفضة فردياً ويجمعها في مسار استغلال حرج لم يكن أي مدقق بشري ليربط بينها.

3. سطح هجوم الأوراكل والجسور، منطق الجسور كثيف وغير محدد المعالم بدقة، ويتشابك مع أنظمة خارجية متعددة. هذا هو المكان الذي يُخفق فيه المدققون البشريون باستمرار. وهو أيضاً حيث تمتلك أنظمة الاستدلال الآلي أكبر قدر من النفوذ.

لا يستلزم أيٌّ من هذا نشر Mythos بنية خبيثة. القدرات ذاتها المتاحة لباحثي Anthropic ستكون متاحة، بشكل أو بآخر، للجميع في غضون 18 إلى 24 شهراً.

عمليات تدقيق العقود الذكية في DeFi باتت تُظهر قِدَمها

صناعة التدقيق لا تواكب التطور. يكلّف تدقيق Tier-1 النموذجي ما بين 50,000 و300,000 دولار، ويستغرق من 4 إلى 8 أسابيع، ويغطي لقطة ثابتة من قاعدة الكود. البروتوكولات تُصدر تحديثات بصفة مستمرة. وكثيراً ما يصبح التدقيق متقادماً قبل أن يجفّ الحبر.

الأسوأ من ذلك، أن عمليات التدقيق تولّد ثقة زائفة. كما توثّق تحليل Olympix لأسباب فشل تدقيقات العقود الذكية، فقد خضع Euler Finance لعمليات تدقيق. وخضعت Ronin لعمليات تدقيق. وخضعت Nomad لعمليات تدقيق. واختراق جسر Ronin البالغة قيمته 625 مليون دولار عام 2022 تسلّل بالضبط لأن المدققين راجعوا العقود بمعزل عن عملية إدارة مفاتيح التحقق التي تعتمد عليها.

القول بـ"لقد خضعنا للتدقيق" في عام 2026 سيحمل تقريبًا الإشارة الأمنية ذاتها التي كان يحملها القول "نستخدم HTTPS" عام 2015. إنه الحد الأدنى من النظافة الأمنية، لا وضعية دفاع.

إن تقادم تدقيقات العقود الذكية في DeFi ليس قادمًا، بل هو حاضر بالفعل بالنسبة للبروتوكولات العاملة على نطاق واسع، وهو نمط تؤكده أبحاث Olympix حول حالة أمان Web3 التي تُظهر أن معظم الاختراقات تأتي من عقود خضعت للتدقيق. والسؤال هو ما إذا كانت الفرق ستتكيف أم ستستمر في شراء نفس التغطية المكلفة وغير الكافية.

Project Glasswing وأطر مخاطر الذكاء الاصطناعي الناشئة استجابةً لذلك

ليس الجميع نائمين. Project Glasswing، وهي مبادرة بحثية أمنية في مجال الذكاء الاصطناعي أصيلة في عالم العملات الرقمية، تعمل على أطر مراقبة مستمرة بمساعدة الذكاء الاصطناعي مصمّمة للعمل بسرعة التهديدات التي يولّدها الذكاء الاصطناعي. والفكرة الجوهرية صحيحة: إذا كان الذكاء الاصطناعي قادرًا على اكتشاف الثغرات في الوقت الفعلي، فإن طبقة الكشف والاستجابة يجب أن تعمل هي الأخرى في الوقت الفعلي.

يعني هذا التحوّل بعيدًا عن عمليات التدقيق الدورية نحو:

• مراقبة الثوابت، وهي فحوصات على السلسلة ترصد الحالات التي تنتهك فيها حالة العقد الشروط المتوقعة
• التحقق الرسمي، وهو إثباتات رياضية لصحة المنطق الأساسي للبروتوكول، لا مجرد مراجعة غير رسمية
• خطوط أنابيب الاختبار العشوائي المستمر، وهي توليد آلي للاختبارات يعمل في مواجهة كل commit، لا في وقت التدقيق فحسب

بعض البروتوكولات وصلت إلى هذا المستوى بالفعل. صُممت بنية الخطافات في Uniswap v4 مع مراعاة التحقق الرسمي. استثمرت MakerDAO بكثافة في نمذجة الأمن الاقتصادي. لكنهما استثناءان. لا يزال بروتوكول DeFi المتوسط في عام 2025 يُطلق منتجاته بتدقيق واحد وقفل زمني مدته 48 ساعة، معتبرًا ذلك كافيًا.

حسابات القفل الزمني لم تعد صالحة

هنا تكمن المشكلة البنيوية في القفل الزمني تحديدًا: إنه يفترض أن المحلل البشري يملك الوقت الكافي لمراجعة المعاملة المعلقة، وتحديد طابعها الخبيث، وتنسيق استجابة قبل تنفيذها.

عند مدة تتراوح بين 48 و72 ساعة، هذا أمر معقول. فريق أمني كفء قادر على التحرك والتقييم والاستجابة.

لكن تخيّل الآن مهاجمًا يستخدم تسلسل الاستغلال بالذكاء الاصطناعي في DeFi لتحديد ثغرة أمنية، وصياغة استغلال لها، وإعداد مقترح حوكمة يبدو مشروعًا، ثم لا يكشف عن حمولته الخبيثة إلا من خلال مسار تنفيذ مشروط يُفعَّل بعد انقضاء القفل الزمني. لم يُخفق القفل الزمني، بل أُخفقت الفرضية المتعلقة بسرعة التحليل التي يقوم عليها.

سطح هجوم الحوكمة هو الحدود الكبرى التالية. أتوقع ظهور استغلال جوهري واحد على الأقل في طبقة الحوكمة خلال عام 2026، يكشف هذه الفجوة تحديدًا.

كيف ينبغي أن تبدو منظومة الدفاع فعليًا

لا بد أن يفسح الأمان القائم على الاحتكاك المجال للأمان القائم على الصحة الرسمية. الطريق العملي إلى الأمام يقوم على ثلاث طبقات:

الطبقة الأولى، التحقق الرسمي في جوهر البروتوكول. ليس كل شيء، بل منطق التسوية، وثوابت المحاسبة، وأنماط التحكم في الوصول. Certora وHalmos جاهزان للإنتاج. لا عذر لبروتوكول بقيمة إجمالية مقفلة تبلغ 500 مليون دولار في عدم استخدامهما.

الطبقة الثانية، المراقبة المستمرة بمساعدة الذكاء الاصطناعي. أدوات مثل Forta Network وHexagate وHypernative تؤدي عملاً حقيقيًا في هذا المجال. فهي ترصد السلوك الشاذ على السلسلة قبل اكتماله. هذه هي طبقة الكشف التي تحتاج إلى التوسع لمواكبة التهديدات التي تعمل بسرعة الذكاء الاصطناعي.

الطبقة الثالثة، الاستجابة للحوادث القادرة على التحرك بسرعة أكبر من تصويت DAO. آليات الإيقاف المؤقت التي تُفعَّل عند الاكتشاف الآلي، لا في أعقاب مقترح حوكمة. مجموعات التوقيع المتعدد للطوارئ مع دفاتر تشغيل استجابة مُعتمدة مسبقاً. نجحت الاستجابة السريعة لفريق Euler عام 2023، باسترداد 197 مليون دولار عبر التفاوض، جزئياً لأن ثمة مسؤولاً واضحاً قادراً على التصرف الفوري. معظم البروتوكولات تفتقر إلى ذلك.

البنية التحتية لمدفوعات وكلاء الذكاء الاصطناعي التي تناولتها في مقال x402 وسكك الدفع المستقلة وثيقة الصلة هنا أيضاً؛ فمع تعامل وكلاء الذكاء الاصطناعي باستقلالية على السلسلة، يتمدد سطح الهجوم للاستغلالات المدعومة بالذكاء الاصطناعي تبعاً لحجم المعاملات، لا بعدد البروتوكولات وحده.

السؤال الحقيقي: من يتكيف أولاً

يمثل Mythos من Anthropic اعترافاً علنياً بأن أنظمة الذكاء الاصطناعي باتت تعمل عند حدود أبحاث الثغرات الأمنية. القدرات التحليلية ذاتها ستنتشر. هكذا يجري الأمر دائماً.

بروتوكولات التمويل اللامركزي التي ستصمد خلال العامين المقبلين ستكون تلك التي تتعامل مع الأمن باعتباره مشكلة هندسية مستمرة، لا مجرد خانة في قائمة الامتثال. أما التي لا تفعل ذلك فستمد غيرها بدراسات الحالة.

أسبوع الـ750 مليون دولار ليس السيناريو الأسوأ. إنه الخط الأساسي الذي نُطبِّع حوله قبل أن تغدو الأدوات أرخص وأكثر انتشاراً. نافذة إعادة بناء منظومة الدفاع لا تزال مفتوحة، لكنها لن تبقى كذلك طويلاً.

لم أجد نصاً للترجمة في رسالتك، فقط قائمة بالمصادر. هل يمكنك مشاركة النص الذي تريد ترجمته إلى العربية؟