區塊鏈安全的新進展：智慧合約SAST技術的深入探索

閱讀本文需 12 分鐘

MetaScan利用先進的靜態分析技術（Static Analyzer）和人工智慧（AI）技術，為智慧合約提供全面的安全評估

原文來源：區塊鏈安全解決方案供應商MetaTrust

在當今快速發展的數位時代，智慧合約作為區塊鏈技術的核心組件，正逐漸成為支撐去中心化應用（DApps）和金融科技（DeFi）領域的基石。然而，智慧合約的安全性問題一直是限制其廣泛應用的關鍵因素。有鑑於此，自動化的、以人工智慧為基礎的智慧合約安全評估工具，如區塊鏈安全解決方案供應商 MetaTrust 旗下的 MetaScan 產品，正逐步成為保障智慧合約安全的中堅力量。

幾天前，Metatrust 與南洋理工大學的合作研究《Static Application Security Testing (SAST) Tools for Smart Contracts: How Far Are We?》在FSE2024發表後，獲得ACM SIGSOFT Distinguished Paper Award，表明這篇論文在軟體工程領域的貢獻得到了同行的高度認可。這個獎項旨在表彰在軟體工程領域的頂尖會議上發表的優秀論文，通常是那些在創新性、技術深度、實用性以及對軟體工程領域的貢獻方面表現突出的論文。此獎項通常只授予在頂級會議上不超過 10% 的最優秀論文，因此獲獎論文代表了該領域內最高水準的研究成果。

在論文中，MetaTrust 與新加坡南洋理工大學的研究員們對目前的SAST 工具進行了深入的評估和分析，指出了這些工具在檢測智能合約漏洞方面的有效性和局限性。作者們深入研究了智慧合約的安全性問題，並提出了一個更新的、細粒度的漏洞分類體系，包括 45 種獨特的漏洞類型。基於這個分類體系，他們開發了一個廣泛的基準測試套件，涵蓋了 40 種不同的漏洞類型，並包含了多樣化的程式碼特徵、漏洞模式和應用場景。透過這個基準測試，他們評估了 8 個 SAST 工具，這些工具在 18788 個智慧合約檔案和 10394 個漏洞上進行了測試。

在這些工具中，效果最好的SAST 工具是MetaScan——MetaTrust Labs 開發的產品，它利用了論文中提到的SAST 技術來掃描智能合約中的安全漏洞。 MetaScan 利用先進的靜態分析技術（Static Analyzer）和人工智慧（AI）技術，為智慧合約提供全面的安全評估。靜態分析技術是智慧合約安全偵測的基石。它透過不運行程式本身，僅透過分析程式碼的語法和結構來發現潛在的安全性問題。

靜態分析工具的前沿進展

論文《Static Application Security Testing (SAST) Tools for Smart Contracts: How Far Are We?》深入探討了靜態分析引擎（Static Analyzer）在軟體安全漏洞檢測中的應用。在論文中，靜態分析工具（static analyzers）的作用是透過不運行程式來偵測智慧合約中的潛在安全漏洞。這些工具透過分析原始程式碼或位元組碼來識別可能的安全性問題，而不需要執行程式碼。這種分析方法可以在編碼階段提供即時和全面的洞察，這對於不可變的智慧合約尤其重要。

論文深入分析了8 種靜態應用安全測試（SAST）工具，透過建構包含40 種獨特漏洞類型的詳盡基準，揭示了現有SAST 工具在檢測智能合約漏洞方面存在的限制。研究顯示，這些工具大約只能辨識出一半的基準漏洞，且誤報率高，精確度不超過 10%。這表明，雖然 SAST 工具在識別諸如重入攻擊等經典漏洞方面取得了一定成效，但在更深層次的邏輯相關漏洞和協定層漏洞面前，其效能仍有待提高。

MetaScan：多引擎、多維度的安全保障方案

智慧合約作為區塊鏈技術的核心組件，已被廣泛應用於金融服務、供應鏈管理、身分驗證等多個領域。然而，隨著應用的深入，智慧合約的安全性問題也日益凸顯，特別是在存取控制、算術處理、密碼學應用、交易順序依賴、重入攻擊等方面。這些場景的安全漏洞不僅威脅到用戶資產的安全，也可能對整個區塊鏈生態系統的穩定性造成影響。

MetaScan 正是在此背景下應運而生，它整合了多樣化的安全引擎，為智能合約提供了全面的安全檢測服務。 MetaScan 採用了文章中評估的SAST 工具的先進技術作為引擎之一，能夠檢測智能合約中的多種漏洞；同時，MetaScan 作為MetaTrust Security Platform 的核心產品，採用了多種安全引擎來提供多維度的安全防護。這些引擎包括：

• Security Analyzer for SAST：利用靜態程式碼分析技術，偵測程式碼中的潛在安全漏洞。

• GPTScan：結合 AI 技術，如 ChatGPT，檢測邏輯漏洞，適應各種程式碼變體。

• Code Quality：評估程式碼質量，識別資訊性和低階漏洞。

• Security Prover：專注於識別與合約執行和固定邏輯缺陷相關的漏洞。

• Code Clone：使用克隆檢測技術，防止透過程式碼複製引入安全風險。

• Open Source Analyzer：對開源程式庫的使用進行安全評估，確保其在應用中的安全整合。

靜態分析器是一種在編譯階段對原始程式碼進行分析的工具，目的是檢測潛在的程式錯誤、漏洞或其他問題，而無需實際執行程式碼。這種工具對於提前發現和修復問題非常有用，尤其是在智慧合約的開發過程中，因為一旦部署到區塊鏈上，智慧合約的程式碼就變得不可更改。

其中，傳統的 Security Analyzer 利用靜態程式碼分析技術，針對潛在的安全漏洞進行偵測，確保合約程式碼基礎層面的安全性。而 GPTScan 是一個創新點，它藉助先進的人工智慧技術，特別是像 ChatGPT 這樣的語言模型，來識別邏輯漏洞。透過模擬攻擊場景和異常行為模式，GPTScan 能夠發現那些傳統方法可能遺漏的複雜邏輯問題，從而拓寬了漏洞檢測的廣度和深度。

MetaScan 的靜態分析器引擎利用 GPT 模型產生的提示，這些提示被特別設計以模擬潛在的攻擊場景或異常行為模式。透過這種混合方法，引擎能夠深入程式碼結構，識別並暴露可能被傳統方法忽略的複雜邏輯漏洞。

AI 整合：智慧輔助與深度分析的融合

MetaScan 的創新之處在於將AI 技術與靜態分析技術深度融合。特別是GPTScan 引擎，它不僅依賴GPT 模型來識別漏洞，而且還利用GPT 作為程式碼理解工具，透過將邏輯漏洞類型分解為場景和屬性，與GPT 進行匹配，然後透過靜態確認進行驗證，從而提高檢測的準確性。

MetaScan 平台的AI 助理不僅能夠提供關於檢測到的安全問題的詳細描述和修復建議，還能在專案詳情頁面和掃描結果頁面與使用者互動，解答關於漏洞的相關問題。這種整合式的 AI 輔助，使得 MetaScan 不僅是一個安全工具，更是一個智慧化的協同工作平台，讓安全評估過程更加直覺、友善。透過語言作為互動介面，使用者可以輕鬆獲得針對性的安全資訊或採取相應的補救措施，從而實現智慧合約安全的無縫管理。

MetaScan 透過結合最新的研究成果和 AI 技術，為使用者提供了一個全面、直覺且使用者友好的智慧合約安全評估平台。它不僅提高了安全評估的效率和準確性，而且透過 AI 的輔助，使得安全評估過程更加平滑，為使用者提供了最全面的安全覆蓋。隨著技術的不斷進步和創新，MetaScan 將繼續引領智慧合約安全評估的潮流，為區塊鏈生態系統的安全性貢獻力量。

結語

綜上所述，論文《Static Application Security Testing (SAST) Tools for Smart Contracts: How Far Are We?》對SAST 工具的系統性評估揭示了當前智慧合約安全檢測技術的現況與挑戰，而MetaScan 平台則代表了該領域內技術創新的前沿。透過結合傳統靜態分析技術與最新人工智慧進展，MetaScan 不僅提升了漏洞偵測的精準度和覆蓋面，還透過 AI 助理實現了與用戶的高效互動，使得智慧合約的安全評估變得更加高效、全面。隨著這些技術的不斷發展與完善，智慧合約的安全防線將會得到前所未有的強化，為數位經濟的健康發展奠定堅實的基礎。