ZKP Security Tools and Verification: Coverage, Effectiveness, Adoption, and Challenges
تقيم هذه الورقة المشهد الحالي لأدوات أمن براهين المعرفة الصفرية (ZKP) وجهود التحقق الرسمي، كاشفةً عن فجوات كبيرة في التغطية والفعالية عبر قواعد الأكواد البرمجية الواقعية، مع تسليط الضوء على الحاجة إلى دمج أفضل للممارسات الأمنية في دورة حياة التطوير.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل عالماً يمكنك فيه إثبات معرفتك بسر ما — مثل كلمة مرور أو رصيد بنكي خاص — دون الكشف عن السر نفسه أبداً. هذا هو سحر براهين المعرفة الصفرية (Zero-Knowledge Proofs - ZKPs). فكر في الأمر كأن ساحراً يستعرض لك خدعة سحرية: فهو يثبت لك قدرته على تحويل عملة معدنية إلى أرنب دون أن تراه أبداً وهو يفعل ذلك، ودون أن ترى شكل الأرنب قبل الخدعة. أصبحت هذه البراهيا تعد العمود الفقري لمستقبل الإنترنت، حيث تؤمن مليارات الدولارات من الأموال الرقمية وتحمي بياناتنا الشخصية الأكثر حساسية. ولكن إليك العقبة: بناء هذه الخدع السحرية الرقمية أمر صعب للغاية. فإذا ارتكب الساحر ولو خطأً بسيطاً في كتاب تعاويذه، فقد تفشل الخدعة بأكملها، مما يسمح للمحتال بتزييف برهان وسرقة الأموال أو تزوير هوية. ولأن المخاطر عالية جداً، قام الباحثون ببناء مجموعة كاملة من "حراس الأمن" — وهي برامج مصممة لفحص كتب التعاويذ هذه بحثاً عن الأخطاء قبل أن تدخل حيز التنفيذ.
ولكن هل يعمل هؤلاء الحرس فعلياً؟ هذا هو السؤال الكبير الذي يطرحه هذا البحث. قرر المؤلفون، وهم فريق من الباحثين من مؤسسات مرموقة، وضع هذه الأدوات تحت الاختبار. لم يكتفوا بالنظر إلى الكتيبات الدعائية لهذه الأدوات؛ بل جمعوا مجموعة ضخمة مكونة من 70 خطأً حقيقياً وُجدت في مشاريع فعلية، ليروا كم منها تستطيع هذه الأدوات اكتشافه. كما تحدثوا إلى 48 خبيراً يقومون ببناء وتدقيق هذه الأنظمة لمعرفة رأيهم الحقيقي. والقصة التي يروونها هي مزيج من الأمل والواقع الصادم: الأدوات مفيدة، لكنها بعيدة كل البعد عن المثالية، ولا تزال الصناعة تعتمد بشكل كبير على العقول البشرية للقيام بالعمل الشاق.
المشهد العام: صندوق أدوات مليء بالمطارق
قام الباحثون أولاً بإلقاء نظرة على "المشهد الأمني" الحالي. تخيل ورشة عمل يحاول فيها الجميع إصلاح نوع محدد من الأقفال. وجدوا أن معظم الأدوات الأمنية مصممة للعمل على لغة واحدة فقط من أنواع الأقفال تسمى Circom. الأمر يشبه امتلاك ورشة عمل مليئة بالمطارق، بينما بدأ العالم يستخدم البراغي والمسامير والغراء. وبينما تحظى Circom بشعبية، فإن اللغات والأنظمة الأحدث (المسماة zkVMs) لا تحظى إلا بدعم ضئيل جداً.
معظم هذه الأدوات تبحث عن نوع محدد من الأخطاء يسمى "نقص القيود" (underconstrainedness). ولتوضيح ذلك، تخيل أنك تبني جسراً. الجسر الذي يعاني من نقص القيود هو جسر تقول مخططاته: "يجب أن يتحمل الجسر سيارة"، لكنها تنسى أن تقول: "يجب أن يتحمل السيارة فقط". يمكن لمحتال ذكي أن يقود دبابة عبره، وسيظل الجسر يقول: "نعم، هذه سيارة صالحة!". الأدوات جيدة في رصد هذه القواعد المفقودة، لكنها تعاني مع الأخطاء المنطقية الأكثر تعقيداً أو الأخطاء في كيفية اتصال الجسر ببقية الطريق.
تجربة القيادة: ما مدى جودتها حقاً؟
بعد ذلك، أخضع الفريق ستة من هذه الأدوات لتجربة قيادة صارمة. لقد غدوهم بـ 70 خطأً حقيقياً تم العثور عليها في الواقع. كانت النتائج متقلبة بعض الشيء.
عندما نظرت الأدوات إلى الأخطاء بشكل منعزل — مثل أخذ ترس مكسور واحد من آلة واختباره بمفرده — اكتشفت حوالي 45.7% من المشكلات. يبدو هذا واعداً! ومع ذلك، عندما اختبر الباحثون الأدوات على قواعد الأكواد الكاملة والفوضوية في العالم الحقيقي (الآلة بأكملها)، انخفضت الفعالية لتصل إلى 19.6% فقط.
لماذا هذا الانخفاض؟ يشير البحث إلى أن الأكواد في العالم الحقيقي فوضوية. غالباً ما ترتبك الأدوات بسبب التبعيات المعقدة، أو تتعطل، أو تستغرق وقتاً طويلاً جداً لأن الرياضيات كانت صعبة الحل بسرعة. الأمر يشبه برنامج تدقيق إملائي يعمل بشكل رائع على جملة واحدة، ولكنه يتجمد عندما تلصق فيه رواية كاملة. وجد المؤلفون أنه بينما تتحسن الأدوات، إلا أنها ليست جاهزة لتكون حلولاً "بضغطة زر" يمكنها تأمين مشروع ضخم تلقائياً دون مساعدة بشرية.
المرآة السحرية: التحقق الرسمي (Formal Verification)
نظر البحث أيضاً إلى تقنية أكثر تقدماً تسمى التحقق الرسمي (Formal Verification). إذا كانت الأدوات الأمنية تشبه برامج التدقيق الإملائي، فإن التحقق الرسمي يشبه محاولة إثبات رياضياً أن التعويذة لا يمكن أن تفشل مهما حدث. هذا هو المعيار الذهبي للسلامة.
وجد الباحثون أنه رغم وجود تقدم، إلا أنه يحدث في "جزر معزولة" فقط. نجح الخبراء في إثبات أن أجزاء معينة من النظام (القيود أو قواعد الجسر) سليمة. ولكن النظام بأكمله؟ ليس تماماً. فغالباً ما تظل "مولد الشهود" (الجزء الذي يبني البرهان فعلياً) و"نظام البرهان" (السحر الذي يخفي السر) غير موثقين. إنه يشبه إثبات أن الجسر قوي، لكن نسيان التحقق مما إذا كانت القاعدة صلبة أو ما إذا كان طاقم البناء قد اتبع المخططات. ويشير البحث إلى أن هذه البراهين غالباً ما تعتمد على "افتراضات موثوقة" — أي أننا يجب أن نثق في أن الأدوات المستخدمة لكتابة البرهان لم ترتكب خطأً.
العنصر البشري: ماذا يقول الخبراء؟
أخيراً، استقصى الفريق 48 ممارساً — وهم الأشخاص الذين يبنون ويدققون هذه الأنظمة بالفعل. كانت النتائج رائعة. حتى مع صعود الذكاء الاصطناعي والنماذج اللغوية الكبيرة (LLMs)، لا يزال العمل يقوده البشر. يستخدم حوالي 85% من المطورين و 83% من المدققين النماذج اللغوية الكبيرة لمساعدتهم، لكنهم يستخدمونها كمساعدين، وليس كبدلاء.
أخبر الخبراء الباحثين أن المشكلة الكبرى ليست فقط في العثور على الأخطاء، بل في أن الأدوات صعبة الاستخدام. فهي تتطلب غالباً الكثير من الإعداد اليدوي، ولا تعمل مع اللغات الأحدث، وتنتج تقارير مربكة. يريد الممارسون أدوات أسهل في التكامل، وتعمل عبر لغات مختلفة، وتعطي إجابات واضحة وموثوقة. وهم قلقون بشكل خاص من "الأخطاء الدلالية" (semantic errors) — وهي الأخطاء حيث ينفذ الكود بالضبط ما أُمر به، ولكن ليس ما كان يقصده المبرمج. الأدوات الحالية سيئة جداً في رصد هذه الأخطاء.
الخلاصة
يرسم هذا البحث صورة واضحة: براهين المعرفة الصفرية قوية، لكن تأمينها لا يزال عملاً قيد التطوير. الأدوات المؤتمتة التي نمتلكها اليوم مفيدة لالتقاط الأخطاء البسيطة في لغات محددة، لكنها تقصر عند مواجهة تعقيدات المشاريع الواقعية. الصناعة حالياً هي مزيج من المسح الآلي والمراجعة البشرية المكثفة، مع اعتماد متزايد على الذكاء الاصطناعي كمساعد وليس كبطل.
يخلص المؤلفون إلى أننا بحاجة إلى أدوات أفضل يمكنها التعامل مع النظام بأكمله، وليس فقط أجزائه. نحن بحاجة إلى أدوات تفهم "معنى" الكود، وليس فقط قواعده (syntax)، ونحتاج إلى جعل التحقق الرسمي أسهل في الاستخدام في عملية التطوير اليومية. وحتى ذلك الحين، تعتمد سلامة أسرارنا الرقمية على فريق من السحرة البشر الذين يدققون التعاويذ، مع وجود بضعة روبوتات مساعدة تقف بجانبهم للإمساك بالأخطاء المطبعية الواضحة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.