สรุปข่าว
- BlockSec เปิดเผยผลการทดสอบซ้ำกับ EVMBench ชี้ AI ยังไม่สามารถ Exploit เจาะระบบ Smart contract ในเหตุการณ์จริงที่เพิ่งเกิดขึ้นใหม่ได้เลยแม้แต่เคสเดียว
- ผลการทดสอบเดิมอาจมีความคลาดเคลื่อนจากการปนเปื้อนของข้อมูล เนื่องจากช่องโหว่ที่ใช้ทดสอบอาจถูกนำไปใช้เป็นข้อมูลฝึกฝน AI มาก่อนแล้ว
- ผู้เชี่ยวชาญชี้ว่า AI เหมาะสำหรับการสแกนหาแพตเทิร์นช่องโหว่เดิมๆ แต่การวิเคราะห์เชิงลึกแบบ End-to-end ยังคงต้องพึ่งพาวิจารณญาณของมนุษย์ควบคู่กันไป
แนวโน้มผลกระทบต่อราคา Neutral
ข่าวนี้ไม่มีผลกระทบโดยตรงต่อราคาของเหรียญใดเหรียญหนึ่งในตลาด แต่เป็นข้อมูลสำคัญเชิงพื้นฐานสำหรับนักพัฒนาและโปรเจกต์ต่างๆ ที่แสดงให้เห็นว่าอุตสาหกรรมคริปโตยังไม่สามารถพึ่งพา AI ในการรักษาความปลอดภัยของระบบได้อย่างเต็มรูปแบบ การลงทุนในบุคลากรมนุษย์เพื่อทำ Audit อย่างรัดกุมยังคงเป็นสิ่งจำเป็นสูงสุดในการปกป้องโปรเจกต์จากการถูกแฮ็ก
นักวิจัยจาก BlockSec ได้ค้นพบว่า EVMBench ซึ่งเป็นเกณฑ์มาตรฐานสำหรับการทำ Audit โค้ด Smart contract ด้วย AI ที่พัฒนาโดย OpenAI และ Paradigm อาจจะมองโลกในแง่ดีเกินไปเกี่ยวกับความสามารถของ AI ในการเข้ามาทำงานแทนที่มนุษย์แบบร้อยเปอร์เซ็นต์ ก่อนหน้านี้ EVMBench ได้ทดสอบ Agent ปัญญาประดิษฐ์ในงานด้านความปลอดภัยของ Smart contract เช่น การตรวจจับ การแก้ไข และการ Exploit ช่องโหว่ ซึ่งรายงานผลลัพธ์ออกมาอย่างน่าประทับใจ
ในบล็อกเมื่อเดือนกุมภาพันธ์ ทีมพัฒนา EVMBench ระบุว่า AI สามารถ Exploit ช่องโหว่ของ Smart contract ได้ถึง 72% และตรวจจับได้ประมาณ 45% โดยใช้ตัวอย่างที่คัดเลือกมา 120 รายการจากการ Audit ของ Code4rena ซึ่งชี้ให้เห็นว่าปัญหาหลักของการทำ Audit อัตโนมัติอยู่ที่ข้อจำกัดในการค้นพบช่องโหว่เท่านั้น แต่ทาง BlockSec ต้องการทดสอบผลลัพธ์เหล่านี้ใหม่อีกครั้ง โดยระบุในรายงาน Re-Evaluating EVMBench ฉบับล่าสุดว่า เงื่อนไขการทดสอบของ OpenAI และ Paradigm อาจทำให้ผลลัพธ์คลาดเคลื่อนจากความเป็นจริง
Yajin Zhou ผู้ร่วมก่อตั้ง BlockSec โพสต์ข้อความผ่าน X ว่า EVMBench บอกว่า AI สามารถ Exploit ช่องโหว่ได้ 72% และอุตสาหกรรมก็เริ่มพูดถึงการทำ Audit แบบอัตโนมัติเต็มรูปแบบ แต่เมื่อทีมงานทดสอบใหม่ด้วยการตั้งค่าที่หลากหลายขึ้นและใช้เหตุการณ์การโจมตีที่เกิดขึ้นจริง 22 รายการ ผลความสำเร็จในการ Exploit กลับกลายเป็น 0%
ทีมนักวิจัยได้เพิ่มการตั้งค่าโมเดลเป็น 26 รูปแบบโดยจับคู่ Agent ต่างๆ เข้ากับโครงสร้างโมเดลที่แตกต่างกัน เช่น การรัน Claude บนสถาปัตยกรรมของ ChatGPT เพื่อแก้ปัญหาการทดสอบเดิมที่จำกัดโมเดลไว้กับโครงสร้างพื้นฐานของตัวเอง ซึ่งทำให้แยกไม่ออกว่าประสิทธิภาพที่ได้มาจากความสามารถของโมเดลหรือความได้เปรียบของโครงสร้าง นอกจากนี้ BlockSec ยังกังวลเรื่องการปนเปื้อนของข้อมูลในรายงานต้นฉบับ เนื่องจากช่องโหว่ที่นำมาทดสอบนั้นเคยถูกเผยแพร่ใน Code4rena ไปแล้ว ซึ่งข้อมูลเหล่านี้อาจหลุดรอดเข้าไปอยู่ในชุดข้อมูลฝึกฝนของ AI มาก่อน
เพื่อแก้ปัญหานี้ ทีมนักวิจัยจึงทดสอบ Agent กับเหตุการณ์ด้านความปลอดภัยในโลกจริง 22 รายการที่เกิดขึ้นหลังช่วงกลางเดือนกุมภาพันธ์ 2026 เพื่อให้มั่นใจว่าเหตุการณ์เหล่านี้อยู่นอกเหนือกรอบเวลาการฝึกฝนของทุกโมเดล ผลลัพธ์ที่น่าตกใจที่สุดคือ จากการทดสอบจับคู่ Agent กับเหตุการณ์ 110 คู่ โดยใช้ Agent 5 ตัวกับ 22 เหตุการณ์เดียวกัน กลับไม่มีการ Exploit แบบ End-to-end ใดเลยที่ประสบความสำเร็จ ซึ่งชี้ให้เห็นว่าแม้แต่ AI ที่ล้ำสมัยที่สุดก็ยังห่างไกลจากการเจาะระบบในโลกความเป็นจริง อย่างไรก็ตาม ผลการทดสอบการตรวจจับช่องโหว่ของ BlockSec กลับสอดคล้องกับรายงานฉบับเดิม โดย Claude Opus 4.6 ทำผลงานได้ดีที่สุดด้วยการจับช่องโหว่ในโลกจริงได้ 13 จาก 20 รายการ
Zhou สรุปว่า AI สามารถจับแพตเทิร์นที่เป็นที่รู้จักได้ดี แต่เหตุการณ์ใหม่ๆ กลับไม่มี AI ตัวไหนตรวจพบเลย การค้นพบเหล่านี้ท้าทายความเชื่อที่ว่าการทำ Audit ด้วย AI แบบอัตโนมัติเต็มรูปแบบกำลังจะเกิดขึ้นจริง Agent สามารถตอบสนองต่อบริบทที่มนุษย์ป้อนให้ได้อย่างยอดเยี่ยม แต่มันไม่สามารถแทนที่วิจารณญาณของมนุษย์ได้ คำถามที่แท้จริงไม่ใช่ว่า AI จะแทนที่มนุษย์ได้ไหม แต่คือมนุษย์และ AI ควรทำงานร่วมกันอย่างไร AI จัดการความกว้างด้วยการสแกนอย่างเป็นระบบ ส่วนมนุษย์จัดการความลึกด้วยความรู้เชิงโปรโตคอลและการใช้เหตุผลเชิงโต้แย้ง การทำงานร่วมกันของมนุษย์และ AI คือทิศทางที่ถูกต้องที่สุด
ที่มา: theblock
เรื่องนี้เหมือนเป็นการดับฝันสายกาว AI แบบเบรกหัวทิ่มเลยครับ ก่อนหน้านี้หลายคนฮือฮากันมากว่า AI จะมาแย่งงานสาย Audit และสามารถเขียนโค้ดรวมถึงหาบั๊กได้เก่งกว่ามนุษย์ แต่พอ BlockSec เอาข้อมูลเหตุการณ์สดใหม่ที่ AI ยังไม่เคยเรียนรู้มาทดสอบให้เห็นกันชัดๆ ผลลัพธ์ที่ได้คือ 0% ซึ่งพิสูจน์ให้เห็นว่า AI ในตอนนี้ยังเป็นแค่ผู้ช่วยที่เก่งในการท่องจำแพตเทิร์นเก่าๆ มากกว่าจะคิดค้นวิธี Exploit พลิกแพลงแบบใหม่ๆ ได้ด้วยตัวเอง สำหรับนักลงทุนอย่างเรา ข่าวนี้เป็นเครื่องเตือนใจชั้นดีเลยครับว่า โปรเจกต์ไหนที่อ้างว่าใช้แค่ AI ในการ Audit ความปลอดภัย โปรเจกต์นั้นอาจจะมีความเสี่ยงซ่อนอยู่มหาศาลครับ
