Mythos متعلق به Anthropic چیست و چرا برای امنیت DeFi اهمیت دارد؟

Mythos سیستم هوش مصنوعی داخلی Anthropic است که برای تحقیقات خودکار آسیبپذیری طراحی شده است. این سیستم میتواند کدبیسهای پیچیده را تحلیل کند، چندین مشکل کماهمیت را به اکسپلویتهای حیاتی زنجیر کند، و در پیادهسازیهای رمزنگاری مانند TLS و AES-GCM با سرعتی استدلال کند که هیچ حسابرس انسانی توان رقابت با آن را ندارد. برای DeFi، این به معنای کاهش چشمگیر هزینه یافتن اکسپلویتها است و پیشفرضهای اقتصادی پشت دفاعهای مبتنی بر اصطکاک مانند تایملاکها و حسابرسیهای دورهای را در هم میشکند.

آیا حسابرسی قراردادهای هوشمند DeFi در سال ۲۰۲۶ همچنان ارزش انجام دارد؟

حسابرسیها همچنان به عنوان بهداشت پایهای ضروری هستند، اما دیگر به عنوان دفاع اولیه کافی نیستند. آنها یک اسنپشات ایستا از کدبیس را پوشش میدهند، ماهها زمان میبرند، و به طور مداوم باگهای تعامل بین قراردادها را از دست میدهند، که دقیقاً همانجایی است که اکثر هکهای بزرگ رخ میدهند. پروتکلهایی که در مقیاس عمل میکنند به نظارت مداوم با کمک هوش مصنوعی و تأیید رسمی علاوه بر حسابرسیهای سنتی نیاز دارند.

Project Glasswing چیست و چگونه با تهدیدات رمزارزی ایجادشده توسط هوش مصنوعی مقابله میکند؟

Project Glasswing یک ابتکار پژوهشی امنیت هوش مصنوعی بومی رمزارز است که چارچوبهای نظارت بلادرنگ طراحیشده برای همگامی با سرعت حملات مبتنی بر هوش مصنوعی میسازد. به جای بررسیهای دورهای، بر نظارت بر ثابتها، فازینگ مداوم، و خطوط لوله تشخیص خودکار تمرکز دارد که میتوانند رفتار ناهنجار را پیش از تکمیل یک اکسپلویت شناسایی کنند.

DeFi

Anthropic Mythos در برابر امنیت DeFi: پشته حسابرسی شکسته است

By Anurag Verma•April 27, 2026

Anthropic Mythos در برابر امنیت DeFi: پشته آدیت شکسته است

این هفته، اکوسیستم DeFi بیش از ۷۵۰ میلیون دلار دیگر در قالب مجموعه‌ای از هک‌های پروتکل از دست داد که در ظاهر شبیه همان داستان همیشگی بود: کنترل‌های دسترسی نادرست پیکربندی‌شده، شکاف‌های بازورودی، شکست منطق پل. اما بردارهای حمله تیزتر می‌شوند، فاصله زمانی بین کشف و تخلیه کوتاه‌تر می‌شود، و ابزارهای در اختیار مهاجمان به زودی ارتقای جدی خواهند یافت.

Mythos Anthropic، سیستم هوش مصنوعی داخلی آن‌ها که برای تحقیقات خودکار آسیب‌پذیری ساخته شده، صرفاً باگ‌ها را سریع‌تر پیدا نمی‌کند. در سراسر پایگاه‌های کد کامل استدلال می‌کند، اولیه‌های اکسپلویت را به هم زنجیر می‌کند، و با سرعتی عمل می‌کند که در آن دفاع‌های موجود DeFi دیگر تنها کند نیستند، بلکه از نظر ساختاری بی‌ربط‌اند. این بهبود حاشیه‌ای در ابزارهای موجود مهاجمان نیست. این یک تغییر دسته‌بندی است.

هفته ۷۵۰ میلیون دلاری تصادف زمانی نیست. این پیش‌نمایشی است از آنچه وقتی نامتقارن بودن حمله-دفاع در امنیت DeFi گسترش می‌یابد نه کاهش، اتفاق می‌افتد.

چرا پشته اصطکاک DeFi هرگز امنیت واقعی نبود

مدل غالب امنیتی DeFi تئاتر اصطکاک است. به این شکل عمل می‌کند: اکسپلویت‌ها را به اندازه کافی آزاردهنده کن که بیشتر مهاجمان درگیر نشوند، و به اندازه کافی پرهزینه که آنهایی که درگیر می‌شوند پیش از تخلیه کامل شناسایی شوند.

مکانیزم‌های واقعی عبارتند از:

Multisig، نیاز به امضای M-از-N دارنده کلید دارد و سربار هماهنگی ایجاد می‌کند
Timelocks، اجرای ارتقاها و انتقال‌های بزرگ را ۲۴ تا ۷۲ ساعت به تاخیر می‌اندازند
Audits، بررسی‌های دوره‌ای کد توسط شرکت‌هایی مانند Trail of Bits، Certik، OpenZeppelin

این در برابر مهاجمان فرصت‌طلب با مهارت فنی متوسط کار می‌کند. در برابر سیستم هوش مصنوعی‌ای که می‌تواند یک پایگاه کد ۵۰،۰۰۰ خطی Solidity را در چند ثانیه بخواند، تعاملات حالت غیرواضح در سراسر قراردادها را شناسایی کند، و پیش از اینکه هر تحلیلگر انسانی اولین بررسی خود را به پایان برساند یک زنجیره اکسپلویت کارآمد تولید کند، کار نمی‌کند.

پشته اصطکاک بر اساس اقتصاد مهاجمان انسانی طراحی شد. Mythos تابع هزینه را به طور کامل تغییر می‌دهد.

Mythos واقعاً چه کاری با سطح حمله انجام می‌دهد

همان‌طور که در پیش‌نمایش فنی Mythos از Anthropic توضیح داده شده، این سیستم می‌تواند پیاده‌سازی‌های TLS را تحلیل کند، الگوهای استفاده مجدد از nonce در AES-GCM را شناسایی کند، و زنجیره‌های وابستگی را در پشته‌های نرم‌افزاری پیچیده ردیابی کند؛ نوعی تحلیل TLS و AES-GCM توسط Mythos که پیش از این به یک رمزنگار ارشد و چند هفته وقت نیاز داشت.

برای DeFi، این به چند بردار تهدید مشخص تبدیل می‌شود:

زنجیره‌سازی اکسپلویت بین قراردادی، بیشتر هک‌های بزرگ در سال‌های 2024-2025 از تعاملات بین قراردادها بهره بردند، نه از باگ‌های تک‌قراردادی. هوش مصنوعی در سطح Mythos می‌تواند این تعاملات را به صورت کل‌نگر مدل‌سازی کند. ماجرای Kelp DAO که پیش از این به آن پرداختم، جایی که یک پیکربندی نادرست LayerZero DVN 292 میلیون دلار هزینه داشت، دقیقاً همان نوع تعامل چندسیستمی است که Mythos برای یافتن آن طراحی شده.
زنجیره‌سازی آسیب‌پذیری‌های zero-day با سرعت ماشین، آسیب‌پذیری‌های zero-day هوش مصنوعی در حوزه رمزارز دیگر فرضی نیستند. نگرانی اینجاست که یک سیستم هوش مصنوعی سه مشکل با شدت پایین را به صورت مجزا شناسایی کرده و آن‌ها را به یک مسیر اکسپلویت حیاتی ترکیب کند که هیچ حسابرسی انسانی آن‌ها را به هم مرتبط نمی‌کرد.
سطح حمله oracle و bridge، منطق bridge پیچیده، مبهم، و در تماس با چندین سیستم خارجی است. اینجاست که حسابرسان انسانی به طور مداوم چیزهایی را از دست می‌دهند. همچنین اینجاست که سیستم‌های استدلال خودکار بیشترین اهرم را دارند.

هیچ‌یک از این‌ها نیازی به استقرار مخرب Mythos ندارد. همان قابلیت‌هایی که در اختیار محققان Anthropic است، به نوعی، ظرف 18 تا 24 ماه آینده در دسترس همه خواهد بود.

حسابرسی قراردادهای هوشمند DeFi پیشاپیش نشانه‌های فرسودگی را نشان می‌دهد

صنعت حسابرسی از قافله عقب مانده است. یک حسابرسی Tier-1 معمولی 50,000 تا 300,000 دلار هزینه دارد، 4 تا 8 هفته طول می‌کشد، و یک نمونه ثابت از کدبیس را پوشش می‌دهد. پروتکل‌ها مدام به‌روزرسانی منتشر می‌کنند. حسابرسی اغلب پیش از آنکه جوهرش خشک شود، کهنه است.

بدتر از آن، ممیزی‌ها اطمینان کاذب ایجاد می‌کنند. همان‌طور که تحلیل Olympix درباره دلایل شکست ممیزی قراردادهای هوشمند مستند می‌کند، Euler Finance ممیزی داشت. Ronin ممیزی داشت. Nomad ممیزی داشت. هک ۶۲۵ میلیون دلاری پل Ronin در سال ۲۰۲۲ دقیقاً به این دلیل از چنگ ممیزان در رفت که آن‌ها قراردادها را به‌صورت مجزا بررسی کرده بودند، نه فرآیند مدیریت کلید اعتبارسنج‌هایی که قراردادها به آن وابسته بودند.

گفتن «ما ممیزی شده‌ایم» در سال ۲۰۲۶ تقریباً همان سیگنال امنیتی را خواهد داشت که گفتن «ما از HTTPS استفاده می‌کنیم» در سال ۲۰۱۵ داشت. این بهداشت پایه است، نه یک موضع دفاعی.

منسوخ شدن ممیزی قراردادهای هوشمند DeFi در راه نیست، برای پروتکل‌هایی که در مقیاس کار می‌کنند قبلاً رسیده است. این الگویی است که پژوهش Olympix درباره وضعیت امنیت Web3 نشان می‌دهد و حاکی از آن است که بیشتر اکسپلویت‌ها از قراردادهای ممیزی‌شده نشأت می‌گیرند. سوال این است که آیا تیم‌ها خود را با این واقعیت تطبیق می‌دهند یا فقط به خرید همان پوشش گران‌قیمت و ناکافی ادامه می‌دهند.

Project Glasswing و چارچوب‌های ریسک هوش مصنوعی که در پاسخ به این وضعیت شکل می‌گیرند

همه بی‌خیال ننشسته‌اند. Project Glasswing، یک ابتکار پژوهشی امنیت هوش مصنوعی بومی کریپتو، روی چارچوب‌های نظارت مستمر با کمک هوش مصنوعی کار می‌کند که برای عمل کردن با سرعت تهدیدات تولیدشده توسط هوش مصنوعی طراحی شده‌اند. بینش اصلی درست است: اگر هوش مصنوعی بتواند اکسپلویت‌ها را در زمان واقعی پیدا کند، لایه تشخیص و پاسخ هم باید در زمان واقعی عمل کند.

این یعنی فاصله گرفتن از ممیزی‌های دوره‌ای و حرکت به سمت:

نظارت بر ثوابت، بررسی‌های درون‌زنجیره‌ای که هرگاه وضعیت قرارداد شرایط مورد انتظار را نقض کند هشدار می‌دهند
تأیید رسمی، اثبات‌های ریاضی صحت برای منطق اصلی پروتکل، نه فقط بازبینی غیررسمی
خطوط لوله فازینگ مستمر، تولید خودکار تست که در برابر هر کامیت اجرا می‌شود، نه فقط در زمان ممیزی

برخی پروتکل‌ها از پیش در این مسیر قرار گرفته‌اند. معماری هوک Uniswap v4 با وارسی رسمی در ذهن طراحی شده است. MakerDAO سرمایه‌گذاری سنگینی در مدل‌سازی امنیت اقتصادی داشته است. اما اینها استثنا هستند. پروتکل معمالی DeFi در سال ۲۰۲۵ هنوز با یک ممیزی واحد و یک قفل زمانی ۴۸ ساعته به بازار می‌رسد و همین را کافی می‌شمارد.

ریاضیات قفل زمانی دیگر کارساز نیست

مشکل ساختاری قفل‌های زمانی دقیقاً اینجاست: آن‌ها فرض می‌کنند یک تحلیلگر انسانی فرصت دارد تراکنش در انتظار را بررسی کند، آن را مخرب تشخیص دهد، و پیش از اجرا، پاسخ هماهنگ‌شده‌ای را سازماندهی کند.

در بازه ۴۸ تا ۷۲ ساعت، این امکان‌پذیر است. یک تیم امنیتی شایسته می‌تواند بسیج شود، ارزیابی کند، و واکنش نشان دهد.

حالا مهاجمی را تصور کنید که از زنجیره‌سازی اکسپلویت مبتنی بر هوش مصنوعی در DeFi استفاده می‌کند تا آسیب‌پذیری را شناسایی کند، یک اکسپلویت طراحی کند، یک پیشنهاد حاکمیتی با ظاهری مشروع آماده کند، و تنها از طریق یک مسیر اجرایی شرطی که پس از قفل زمانی فعال می‌شود، بار مخرب آن را آشکار کند. قفل زمانی شکست نخورد، بلکه فرض بنیادین آن درباره سرعت تحلیل شکست خورد.

سطح حمله حاکمیتی مرز بزرگ بعدی است. انتظار دارم حداقل یک اکسپلویت مهم در لایه حاکمیت در سال ۲۰۲۶ رخ دهد که دقیقاً همین شکاف را آشکار کند.

پشته دفاعی واقعی باید چه شکلی باشد

امنیت مبتنی بر اصطکاک باید جای خود را به امنیت مبتنی بر صحت بدهد. مسیر عملی پیش رو سه لایه دارد:

لایه اول، وارسی رسمی در هسته پروتکل. نه برای همه چیز، بلکه برای منطق تسویه، ثوابت حسابداری، و الگوهای کنترل دسترسی. Certora و Halmos آماده استفاده در محیط تولید هستند. هیچ عذری برای یک پروتکل با TVL پانصد میلیون دلاری که از آن‌ها استفاده نمی‌کند وجود ندارد.

لایه دوم، پایش پیوسته با کمک هوش مصنوعی. ابزارهایی مانند Forta Network، Hexagate، و Hypernative در این حوزه کار واقعی انجام می‌دهند. آن‌ها رفتار ناهنجار روی زنجیره را پیش از تکمیل شناسایی می‌کنند. این لایه شناسایی است که باید متناسب با تهدیدهای با سرعت هوش مصنوعی مقیاس‌پذیر شود.

لایه ۳، پاسخ به حوادث که می‌تواند سریع‌تر از یک رای‌گیری DAO عمل کند. مکانیزم‌های توقف که با شناسایی خودکار فعال می‌شوند، نه پس از ارائه یک پیشنهاد حاکمیتی. مالتی‌سیگ‌های اضطراری با دستورالعمل‌های پاسخ از پیش مجاز. پاسخ سریع تیم Euler در سال ۲۰۲۳ که منجر به بازیابی ۱۹۷ میلیون دلار از طریق مذاکره شد، تا حدی به این دلیل موفق بود که آن‌ها یک مسئول مشخص داشتند که می‌توانست سریع عمل کند. اما بیشتر پروتکل‌ها چنین نیستند.

زیرساخت پرداخت‌های عامل هوش مصنوعی که در مقاله x402 و ریل‌های پرداخت خودمختار به آن پرداختم، در اینجا نیز مرتبط است؛ چرا که عوامل هوش مصنوعی به‌صورت خودمختار روی زنجیره تراکنش انجام می‌دهند، سطح حمله برای بهره‌برداری‌های مبتنی بر هوش مصنوعی با حجم تراکنش مقیاس می‌شود، نه صرفاً تعداد پروتکل‌ها.

سوال واقعی این است که چه کسی زودتر سازگار می‌شود

Mythos شرکت Anthropic نشان‌دهنده اذعان عمومی است که سیستم‌های هوش مصنوعی اکنون در مرز پژوهش آسیب‌پذیری فعالیت می‌کنند. همین قابلیت‌های تحلیلی گسترش خواهند یافت. همیشه اینطور بوده است.

پروتکل‌های DeFi که در دو سال آینده دوام می‌آورند، آن‌هایی خواهند بود که امنیت را به عنوان یک مسئله مهندسی مداوم در نظر می‌گیرند، نه یک چک‌باکس انطباق. آن‌هایی که چنین نمی‌کنند، مطالعات موردی آینده را رقم خواهند زد.

هفته ۷۵۰ میلیون دلاری بدترین سناریو نیست. این خط پایه‌ای است که پیرامون آن عادی‌سازی می‌کنیم، پیش از آنکه ابزارها ارزان‌تر و دسترس‌پذیرتر شوند. پنجره بازسازی پشته دفاعی باز است، اما برای مدت طولانی باز نخواهد ماند.