Aave работает в рамках четырех поколений протоколов с 2020 года, и ее программа безопасности развивалась с каждым из них. Ручные аудиты, формальная верификация, инвариантное тестирование, фаззинг, публичные состязания и постоянная программа вознаграждений за ошибки внедрялись по мере того, как доказывали свою эффективность, и Aave Labs продолжает тестировать новые методы по мере их созревания.
Aave V4 прошла более чем 340 дней совокупной проверки безопасности до того, как были запущены описанные ниже сканирования, включая ручные аудиты, формальную верификацию, инвариантное тестирование, фаззинг и шестинедельный публичный конкурс. В то время как Aave V3 была закалена годами работы в продакшене и последовавшими поверх этого аудитами.
В публикации Security By Design: Aave V4 компания Aave Labs обязалась оценить аудит на базе ИИ в качестве дополнительного уровня программы безопасности и совершенствовать ИИ-сканирование для будущих релизов. Выполняя это обещание, мы запустили три инструмента безопасности на базе ИИ против Aave V3 и Aave V4 и сообщаем об их результатах здесь.
Из 71 найденного пункта ни одна проблема критической или высокой степени серьезности не подтвердилась ни в одном из протоколов. Каждый найденный пункт, прошедший ручную проверку, имеет низкую или информационную степень серьезности, и ни в какой момент времени пользователи или их средства не подвергались риску из-за каких-либо упомянутых проблем.
Насколько глубоко запущены существующие тесты
Помимо сканирования уязвимостей, один из инструментов запустил мутационное тестирование для четырех основных контрактов V4: Hub, Spoke, TreasurySpoke и AaveOracle, внедрив 304 намеренные мутации кода, чтобы проверить, обнаружат ли их собственные тестовые наборы Aave.
Существующие тесты уничтожили 271 мутацию сразу, и ни одна мутация не выжила. Оставшиеся 33 дали неубедительные результаты, так как наборы тестов превысили лимит времени ожидания, а не потому, что мутация проскользнула, и в настоящее время ведется работа по ускорению этих наборов. Покрытие измеряет, какие строки задействует набор тестов. Мутационное тестирование измеряет, заметит ли оно ошибки в этих строках.
Подход
Каждый инструмент использует свою собственную методологию, поэтому кодовые базы исследовались под совершенно разными углами, а не через три вариации одного и того же сканирования. Сканирование выполнялось для закрепленных коммитов репозиториев продакшена, охватывая все деревья src, и, где это поддерживалось, инструменты получали тот же контекст, с которым работают человеческие аудиторы, включая модель угроз V4 и отчеты о предыдущих аудитах.
Вместо того чтобы принимать любой вердикт на веру, Aave Labs вручную проверила каждый найденный пункт по коду и классифицировала его как действительный, ложноположительный, дубликат или заложенный архитектурно, используя ту же дисциплину триажа, которая применяется к материалам аудитов и конкурсов.
Результаты
Результаты анонимизированы для каждого инструмента и представлены в случайном порядке. Эта проверка проводилась для укрепления уровня безопасности протокола, а не для сравнения вендоров друг с другом, и для данного анализа наиболее важен совокупный результат.
¹ Включает одну проблему, о которой ранее сообщалось и которая была оплачена через программу вознаграждения за ошибки. ² Включает три находки по устаревшим контрактам вознаграждений. ³ На устаревшем контракте вознаграждений, который больше не используется. ⁴ Отчет этого инструмента по V4 дополнительно перечисливает четыре предупреждения с низкой и информационной степенью серьезности, охватывающие граничные случаи эксплуатации без влияния на безопасность. ⁵ Три из пяти подтвердились только на устаревших или неиспользуемых контрактах. Шесть дополнительных предупреждений с низкой и информационной степенью серьезности охватывают граничные случаи только для чтения или отдаленного будущего.
Несколько из 20 подтвержденных результатов были уже известны благодаря существующим процессам, таким как программа вознаграждения за ошибки, что подтверждает: инструменты находят реальные проблемы, а также подтверждает, что эти процессы обнаружили их первыми. Значительная доля затрагивает устаревший код, а остальная часть представляет собой отсутствие проверок корректности в путях конфигурации управления, доступных только доверенным ролям и безопасно завершающихся с откатом, либо граничные случаи функций просмотра без влияния на состояние протокола. Появилось небольшое количество действительно новых элементов, все с низкой или информационной степенью серьезности, каждый из которых отслеживается и устраняется там, где это оправданно.
Некоторые находки поступили с оценкой «Критическая» или «Высокая», и проверка подтвердила каждую из них как ложноположительную. Правильное чтение Aave требует понимания ее модели доверия, что и привносит в сканирование ручная проверка.
Где ИИ помогает сегодня
Проверка также затронула периферийные репозитории, включая GHO, a.DI, aave-helpers и адаптеры свопов, где показатели обнаружения были существенно выше, чем в тщательно проверенных ядрах V3 и V4. Точность была выше там, где предыдущий контроль был ниже, что согласуется с глубоко закаленными кодовыми базами ядром и указывает на то, где ИИ-инструменты приносят наибольшую пользу сегодня.
Даже при самых лучших прогонах примерно половина выявленных находок подтвердилась как реальное поведение, что ставит ИИ-сканирование в ряд с ранними уровнями наряду с экспертной оценкой. Триаж человеком остается необходимым для отделения сигналов от шума и присвоения реалистичной степени серьезности в рамках модели доверия протокола.
Взгляд в будущее
Aave Labs продолжит сотрудничать с ведущими командами в области ИИ-инструментов безопасности и проводить дальнейшие проверки с поддержкой ИИ по мере совершенствования этих инструментов. Мы предоставили каждому вендору подробные отзывы о паттернах ложноположительных срабатываний, дублировании отчетов и определении области видимости, а наиболее эффективные инструменты будут интегрированы в внутренние рабочие процессы, чтобы сканирование выполнялось параллельно с разработкой, а не только на релизных этапах. Перечисленные выше методы остаются основой безопасности протокола, и ИИ-сканирование укрепляет этот стек, не вытесняя ни один из его уровней.
Мы продолжим публиковать подобные результаты, в том числе менее лестные, чем этот набор. Миллиарды долларов средств пользователей находятся в DeFi, и безопасность любого отдельного протокола повышает или понижает планку для всех них.
