Anthropic کا Mythos کیا ہے اور یہ DeFi سیکیورٹی کے لیے کیوں اہم ہے؟

Mythos، Anthropic کا اندرونی AI نظام ہے جو خودکار کمزوری تحقیق کے لیے بنایا گیا ہے۔ یہ پیچیدہ کوڈ بیسز کا تجزیہ کر سکتا ہے، کم شدت کے متعدد مسائل کو یکجا کر کے سنگین استحصال تیار کر سکتا ہے، اور TLS اور AES-GCM جیسی کرپٹوگرافک امپلیمنٹیشنز پر ایسی رفتار سے استدلال کر سکتا ہے جس کا کوئی انسانی آڈیٹر مقابلہ نہیں کر سکتا۔ DeFi کے لیے اس کا مطلب یہ ہے کہ استحصال تلاش کرنے کی لاگت میں زبردست کمی آتی ہے، جس سے ٹائم لاک اور وقفے وقفے سے آڈٹ جیسے رگڑ پر مبنی دفاع کے پیچھے موجود معاشی مفروضے ٹوٹ جاتے ہیں۔

کیا DeFi سمارٹ کنٹریکٹ آڈٹ 2026 میں اب بھی کیے جانے کے قابل ہیں؟

آڈٹ ایک ضروری بنیادی احتیاط کے طور پر اپنی جگہ برقرار ہیں، لیکن اب یہ بنیادی دفاع کے طور پر کافی نہیں رہے۔ یہ کوڈ بیس کی ایک ساکن تصویر کا احاطہ کرتے ہیں، مہینوں کا وقت لیتے ہیں، اور مستقل طور پر کراس کنٹریکٹ انٹریکشن بگز سے چوک جاتے ہیں جہاں زیادہ تر بڑے ہیک ہوتے ہیں۔ بڑے پیمانے پر کام کرنے والے پروٹوکولز کو روایتی آڈٹ کے علاوہ مسلسل AI کی معاونت سے نگرانی اور رسمی تصدیق کی بھی ضرورت ہے۔

Project Glasswing کیا ہے اور یہ AI سے پیدا ہونے والے کرپٹو خطرات سے کیسے نمٹتا ہے؟

Project Glasswing ایک کرپٹو نیٹیو AI سیکیورٹی تحقیقی اقدام ہے جو ریئل ٹائم نگرانی کے فریم ورک تیار کر رہا ہے جو AI کی معاونت سے ہونے والے حملوں کی رفتار کا مقابلہ کر سکیں۔ وقفے وقفے کے جائزوں کے بجائے، یہ انویرینٹ مانیٹرنگ، مسلسل فزنگ، اور خودکار ڈیٹیکشن پائپ لائنز پر توجہ مرکوز کرتا ہے جو کسی استحصال کے مکمل ہونے سے پہلے غیر معمولی رویے کو پکڑ سکتی ہیں۔

DeFi

Anthropic Mythos بمقابلہ DeFi سیکیورٹی: آڈٹ اسٹیک ٹوٹ چکا ہے

By Anurag Verma•April 27, 2026

اینتھروپک Mythos بمقابلہ DeFi سیکیورٹی: آڈٹ کا ڈھانچہ ٹوٹ چکا ہے

اس ہفتے، DeFi ماحول نے پروٹوکول ہیکس کے ایک سلسلے میں $750M سے زائد کا نقصان برداشت کیا جو بظاہر وہی پرانی کہانی لگتی تھی یعنی غلط طریقے سے ترتیب دیے گئے ایکسیس کنٹرولز، ری اینٹرنسی کی خامیاں، برج لاجک کی ناکامیاں۔ لیکن حملے کے طریقے تیز تر ہوتے جا رہے ہیں، دریافت اور نقصان کے درمیان وقت سکڑتا جا رہا ہے، اور حملہ آوروں کے اوزاروں کو جلد ہی ایک سنجیدہ اپ گریڈ ملنے والا ہے۔

Anthropic کا Mythos، ان کا خودکار کمزوری تحقیق کے لیے بنایا گیا اندرونی AI نظام، محض تیزی سے بگز تلاش نہیں کرتا۔ یہ پوری کوڈبیسز پر استدلال کرتا ہے، ایکسپلوٹ کے بنیادی عناصر کو ایک زنجیر میں پروتا ہے، اور اس رفتار سے کام کرتا ہے جہاں DeFi کے موجودہ دفاعی نظام محض سست نہیں بلکہ ساختی طور پر غیر متعلق ہیں۔ یہ موجودہ حملہ آور ٹولز میں معمولی بہتری نہیں ہے۔ یہ ایک مکمل نئی کیٹیگری کی تبدیلی ہے۔

$750M والا ہفتہ محض وقت کا اتفاق نہیں ہے۔ یہ اس بات کی جھلک ہے کہ جب DeFi سیکیورٹی میں حملے اور دفاع کے درمیان عدم توازن کم ہونے کی بجائے مزید بڑھتا جائے تو کیا ہوتا ہے۔

DeFi کا "رکاوٹ ڈھانچہ" کبھی اصل سیکیورٹی نہیں تھا

DeFi سیکیورٹی کا غالب ماڈل دراصل رکاوٹوں کا تھیٹر ہے۔ یہ کچھ یوں کام کرتا ہے: ایکسپلوٹس کو اتنا پریشان کن بنا دو کہ زیادہ تر حملہ آور کوشش ہی نہ کریں، اور اتنا مہنگا کہ جو کریں انہیں سب کچھ خالی کرنے سے پہلے پکڑا جا سکے۔

اصل طریقہ کار یہ ہیں:

ملٹی سگ، لین دین کے لیے M-of-N کی ہولڈرز کے دستخط درکار ہوتے ہیں، جس سے رابطہ کاری کا بوجھ بڑھتا ہے
ٹائم لاکس، اپ گریڈز اور بڑی منتقلیوں کی عملداری کو 24 تا 72 گھنٹے تاخیر سے کرتا ہے
آڈٹس، Trail of Bits، Certik، OpenZeppelin جیسی فرموں کی طرف سے وقتاً فوقتاً کوڈ کا جائزہ

یہ اوسط تکنیکی مہارت رکھنے والے موقع پرست حملہ آوروں کے خلاف کام کرتا ہے۔ ایسے AI نظام کے خلاف نہیں جو 50,000 لائنوں کی Solidity کوڈبیس کو چند سیکنڈوں میں پڑھ سکتا ہو، کنٹریکٹس میں غیر واضح ریاستی تعاملات کو شناخت کر سکتا ہو، اور کسی بھی انسانی تجزیہ کار کے پہلے مرحلے سے فارغ ہونے سے پہلے ایک کار آمد ایکسپلوٹ زنجیر تیار کر سکتا ہو۔

رکاوٹوں کا یہ ڈھانچہ انسانی حملہ آور کی معاشیات کو مدنظر رکھ کر بنایا گیا تھا۔ Mythos لاگت کے اس فارمولے کو یکسر بدل دیتا ہے۔

Mythos اصل میں اٹیک سرفیس پر کیا کرتا ہے

جیسا کہ Anthropic کے Mythos تکنیکی پیش نظارے میں تفصیل سے بیان کیا گیا ہے، یہ سسٹم TLS کے نفاذ کا تجزیہ کر سکتا ہے، AES-GCM nonce کے دوبارہ استعمال کے نمونوں کو نشان زد کر سکتا ہے، اور پیچیدہ سافٹ ویئر اسٹیکس میں انحصار کی زنجیروں کا سراغ لگا سکتا ہے۔ Mythos کی یہ TLS اور AES-GCM تجزیہ کاری پہلے کسی سینئر ماہرِ خفیہ نگاری اور کئی ہفتوں کی ضرورت رکھتی تھی۔

DeFi کے لیے، یہ چند ٹھوس خطرات کی صورتوں میں ترجمہ ہوتا ہے:

کراس-کنٹریکٹ ایکسپلوئٹ چیننگ، 2024-2025 کے زیادہ تر بڑے ہیکس نے واحد کنٹریکٹ کی خامیوں کے بجائے کنٹریکٹس کے درمیان تعاملات کا استحصال کیا۔ Mythos-درجے کا AI ان تعاملات کو مجموعی طور پر ماڈل کر سکتا ہے۔ Kelp DAO کا وہ واقعہ جسے میں نے پہلے کور کیا تھا، جہاں ایک LayerZero DVN غلط کنفیگریشن نے $292M کا نقصان کیا، بالکل اسی قسم کا کثیر-نظام تعامل ہے جسے Mythos تلاش کرنے کے لیے بنایا گیا ہے۔
مشینی رفتار پر زیرو-ڈے چیننگ، کریپٹو میں AI کی زیرو-ڈے کمزوریاں محض نظری نہیں ہیں۔ فکر یہ ہے کہ ایک AI سسٹم تین انفرادی طور پر کم شدت کے مسائل کی شناخت کرے اور انہیں ایک ایسے اہم ایکسپلوئٹ راستے میں یکجا کر دے جسے کوئی انسانی آڈیٹر نہ جوڑ پاتا۔
اوریکل اور برج اٹیک سرفیس، برج منطق گنجلک، ناقص وضاحت شدہ، اور متعدد بیرونی نظاموں سے جڑی ہوتی ہے۔ یہیں انسانی آڈیٹرز مسلسل چیزیں نظرانداز کر دیتے ہیں۔ اور یہیں خودکار استدلال کے نظاموں کا سب سے زیادہ اثر پڑتا ہے۔

ان میں سے کسی کے لیے بھی Mythos کو بدنیتی سے تعینات کرنے کی ضرورت نہیں۔ Anthropic کے محققین کو دستیاب یہی صلاحیتیں، کسی نہ کسی شکل میں، 18-24 مہینوں کے اندر سب کو میسر ہوں گی۔

DeFi سمارٹ کنٹریکٹ آڈٹس پہلے سے پرانے پڑ رہے ہیں

آڈٹ انڈسٹری رفتار برقرار نہیں رکھ پا رہی۔ ایک عام Tier-1 آڈٹ کی لاگت $50,000-$300,000 ہے، اسے 4-8 ہفتے لگتے ہیں، اور یہ ایک مقررہ کوڈ بیس کا سنیپ شاٹ کور کرتا ہے۔ پروٹوکول مسلسل اپ ڈیٹس جاری کرتے رہتے ہیں۔ آڈٹ اکثر روشنائی سوکھنے سے پہلے ہی پرانا ہو جاتا ہے۔

بدتر بات یہ ہے کہ آڈٹس جھوٹا اعتماد پیدا کرتے ہیں۔ جیسا کہ Olympix کا تجزیہ جو یہ بتاتا ہے کہ سمارٹ کانٹریکٹ آڈٹس کیوں ناکام ہوتے ہیں میں درج ہے، Euler Finance کے آڈٹس ہوئے تھے۔ Ronin کے آڈٹس ہوئے تھے۔ Nomad کے آڈٹس ہوئے تھے۔ 2022 میں 625 ملین ڈالر کا Ronin برج ہیک ٹھیک اس لیے ہوا کیونکہ آڈیٹرز نے کانٹریکٹس کو الگ تھلگ جانچا، نہ کہ اس ویلیڈیٹر کی چابی کے انتظامی عمل کو جس پر وہ انحصار کرتے تھے۔

2026 میں یہ کہنا کہ "ہمارا آڈٹ ہو چکا ہے" تقریباً اتنا ہی سیکیورٹی سگنل دے گا جتنا 2015 میں یہ کہنا کہ "ہم HTTPS استعمال کرتے ہیں"۔ یہ بنیادی حفظانِ صحت ہے، دفاعی موقف نہیں۔

DeFi سمارٹ کانٹریکٹ آڈٹ کی فرسودگی آنے والی نہیں، یہ اسکیل پر کام کرنے والے پروٹوکولز کے لیے پہلے سے موجود ہے، ایک ایسا نمونہ جسے Olympix کی Web3 سیکیورٹی کی تحقیق جو ظاہر کرتی ہے کہ بیشتر استحصال آڈٹ شدہ کانٹریکٹس سے ہوتے ہیں نے تصدیق کی ہے۔ سوال یہ ہے کہ آیا ٹیمیں اپنائیت اختیار کریں گی یا بس وہی مہنگی، ناکافی کوریج خریدتی رہیں گی۔

Project Glasswing اور ردِعمل میں ابھرتے AI رسک فریم ورکس

سب سوئے نہیں ہیں۔ Project Glasswing، ایک کرپٹو نیٹیو AI سیکیورٹی تحقیقی اقدام، مسلسل AI سے معاونت یافتہ نگرانی کے فریم ورکس پر کام کر رہا ہے جو AI سے پیدا ہونے والے خطرات کی رفتار پر کام کرنے کے لیے بنائے گئے ہیں۔ بنیادی سوچ درست ہے: اگر AI حقیقی وقت میں خامیاں تلاش کر سکتا ہے، تو پتہ لگانے اور ردِعمل کی پرت کو بھی حقیقی وقت میں کام کرنا ہوگا۔

اس کا مطلب ہے وقتاً فوقتاً ہونے والے آڈٹس سے آگے بڑھ کر:

Invariant نگرانی، آن چین جانچ جو اس وقت الرٹ کرے جب کانٹریکٹ کی حالت متوقع شرائط کی خلاف ورزی کرے
Formal verification، بنیادی پروٹوکول منطق کے لیے درستگی کے ریاضیاتی ثبوت، نہ کہ محض غیررسمی جائزہ
مسلسل fuzzing pipelines، خودکار ٹیسٹ جنریشن جو ہر commit کے خلاف چلے، نہ کہ صرف آڈٹ کے وقت

کچھ پروٹوکول پہلے سے اس راستے پر ہیں۔ Uniswap v4 کا hook آرکیٹیکچر formal verification کو مدنظر رکھ کر ڈیزائن کیا گیا تھا۔ MakerDAO نے اقتصادی سیکیورٹی ماڈلنگ میں بھاری سرمایہ کاری کی ہے۔ لیکن یہ استثنائی صورتیں ہیں۔ 2025 میں اوسط DeFi پروٹوکول اب بھی ایک سنگل آڈٹ اور 48 گھنٹے کے timelock کے ساتھ شپ کر رہا ہے، اور اسے مکمل سمجھ لیتا ہے۔

Timelock کا حساب اب کارآمد نہیں رہا

timelock کے ساتھ بنیادی ڈھانچے کا مسئلہ یہ ہے: یہ فرض کرتے ہیں کہ ایک انسانی تجزیہ کار کے پاس کسی زیرالتواء ٹرانزیکشن کا جائزہ لینے، اسے نقصاندہ شناخت کرنے، اور اس کے execute ہونے سے پہلے ردعمل مربوط کرنے کا وقت ہے۔

48 سے 72 گھنٹوں میں، یہ قابلِ عمل ہے۔ ایک قابل سیکیورٹی ٹیم متحرک ہو سکتی ہے، جائزہ لے سکتی ہے، اور جواب دے سکتی ہے۔

اب ایک ایسے حملہ آور کا تصور کریں جو DeFi میں AI exploit chaining استعمال کرتے ہوئے کوئی کمزوری تلاش کرے، exploit تیار کرے، ایک ایسی governance proposal بنائے جو جائز نظر آئے، اور اپنا نقصاندہ payload صرف ایک conditional execution path کے ذریعے ظاہر کرے جو timelock کے بعد فعال ہو۔ timelock ناکام نہیں ہوا، بلکہ اس کے پیچھے موجود تجزیاتی رفتار کا مفروضہ ناکام ہوا۔

governance attack surface اگلا بڑا محاذ ہے۔ مجھے توقع ہے کہ 2026 میں کم از کم ایک اہم governance-layer exploit سامنے آئے گا جو بالکل اسی خلاء کو بے نقاب کرے گا۔

دفاعی ڈھانچہ دراصل کیسا ہونا چاہیے

friction پر مبنی سیکیورٹی کو correctness پر مبنی سیکیورٹی کی جگہ دینی ہوگی۔ آگے بڑھنے کا عملی راستہ تین پرتوں پر مشتمل ہے:

پرت 1، پروٹوکول کے مرکز میں formal verification۔ سب کچھ نہیں، لیکن settlement logic، accounting invariants، اور access control patterns ضرور۔ Certora اور Halmos پروڈکشن کے لیے تیار ہیں۔ $500M TVL والے کسی پروٹوکول کے پاس انہیں نہ استعمال کرنے کا کوئی عذر نہیں۔

پرت 2، مسلسل AI کی معاونت سے monitoring۔ Forta Network، Hexagate، اور Hypernative جیسے ٹولز یہاں اصل کام کر رہے ہیں۔ یہ on-chain غیرمعمولی رویے کو مکمل ہونے سے پہلے پکڑ لیتے ہیں۔ یہ detection کی وہ پرت ہے جسے AI کی رفتار سے آنے والے خطرات کا مقابلہ کرنے کے لیے پھیلانا ہوگا۔

Layer 3، واقعاتی ردعمل جو DAO ووٹ سے تیز حرکت کر سکے۔ توقف کے طریقہ کار جو خودکار شناخت پر فعال ہوں، نہ کہ گورننس کی تجویز کے بعد۔ ہنگامی ملٹی سگز جن میں پہلے سے منظور شدہ ردعمل کی پلے بکس موجود ہوں۔ Euler ٹیم کا 2023 میں فوری ردعمل، جس میں مذاکرات کے ذریعے $197M واپس کیے گئے، جزوی طور پر اس لیے کامیاب رہا کیونکہ ان کے پاس ایک واضح ذمہ دار تھا جو تیزی سے عمل کر سکتا تھا۔ زیادہ تر پروٹوکولز کے پاس یہ صلاحیت نہیں۔

x402 اور خودمختار پیمنٹ ریلز کے مضمون میں جس AI ایجنٹ پیمنٹس انفراسٹرکچر کا میں نے احاطہ کیا وہ یہاں بھی متعلقہ ہے، کیونکہ جیسے جیسے AI ایجنٹس آن چین خودمختار طریقے سے لین دین کرتے ہیں، AI کی مدد سے ہونے والے استحصال کی اٹیک سرفیس پروٹوکول کی تعداد نہیں بلکہ لین دین کے حجم کے ساتھ بڑھتی ہے۔

اصل سوال یہ ہے کہ پہلے کون خود کو ڈھالتا ہے

Anthropic کا Mythos اس بات کا عوامی اعتراف ہے کہ AI سسٹمز اب کمزوری ریسرچ کے محاذ پر کام کر رہے ہیں۔ یہی تجزیاتی صلاحیتیں پھیلیں گی۔ وہ ہمیشہ پھیلتی ہیں۔

DeFi پروٹوکولز جو اگلے دو سالوں میں قائم رہیں گے، وہی ہوں گے جو سیکیورٹی کو ایک مسلسل انجینئرنگ مسئلے کے طور پر دیکھتے ہیں، نہ کہ تعمیل کے خانے بھرنے کے طور پر۔ جو ایسا نہیں کریں گے وہ کیس اسٹڈیز بن جائیں گے۔

$750M کا ہفتہ بدترین صورت حال نہیں ہے۔ یہ وہ بنیادی سطح ہے جس کے گرد ہم معمول بنا رہے ہیں، اس سے پہلے کہ ٹولنگ مزید سستی اور قابل رسائی ہو جائے۔ دفاعی اسٹیک کو از سر نو تعمیر کرنے کی کھڑکی ابھی کھلی ہے، لیکن یہ زیادہ دیر تک نہیں رہے گی۔