No More Hidden Pitfalls? Exposing Smart Contract Bad Practices with LLM-Powered Hybrid Analysis
Dieses Paper stellt SCALM vor, das erste durch LLMs gestützte hybride Framework, das durch die Kombination von kontextsensitiver Slicing auf Funktionsebene mit wissensgestützter semantischer Argumentation systematisch über 47 schlechte Praktiken in Smart Contracts erkennt und dabei eine überlegene Leistung gegenüber bestehenden Tools demonstriert.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie bauen einen digitalen Tresor auf einer öffentlichen, unveränderlichen Blockchain. Sobald Sie die Tür schließen, können Sie keine Fehler mehr korrigieren. Das ist es, was ein Smart Contract ist: ein Stück Code, das automatisch auf der Blockchain ausgeführt wird.
Das Problem ist, dass der Code selbst dann, wenn er kein „Loch“ hat, durch das ein Dieb Ihr Geld stehlen könnte (eine Sicherheitslücke), immer noch mit schlechten Gewohnheiten erstellt worden sein kann. Vielleicht sind die Anweisungen unordentlich, das Design verwirrend oder ineffizient. Diese „schlechten Praktiken“ sind wie der Versuch, eine Brücke mit Klebeband zusammenzuhalten, anstatt sie zu verschweißen. Es mag vorerst halten, aber es ist riskant, schwer später zu reparien und könnte unter Druck zusammenbrechen.
Dieses Paper stellt ein neues Werkzeug namens SCALM (Smart Contract Audit Language Model) vor, das darauf ausgelegt ist, diese schlechten Gewohnheiten zu finden, bevor sie Probleme verursachen. Hier ist die Funktionsweise, einfach erklärt:
1. Das Problem: Warum alte Werkzeuge versagen
Stellen Sie sich vor, Sie versuchen, einen Tippfehler in einem 1.000-seitigen Buch zu finden.
- Manuelle Überprüfung: Sie stellen einen Menschen ein, der jede Seite liest. Das ist langsam, teuer und er könnte einen subtilen Fehler übersehen, weil er müde ist.
- Alte automatisierte Werkzeuge: Sie benutzen ein „Suchen und Ersetzen“-Tool, das nach spezifischen Wörtern wie „Gefahr“ oder „Fehler“ sucht. Wenn der schlechte Code auf eine clevere Weise geschrieben ist, die diese exakten Wörter nicht verwendet, übersieht das Tool ihn komplett.
Die Autoren sagen, dass aktuelle Werkzeuge zu starr sind. Sie suchen nach exakten Mustern, verstehen aber nicht die Geschichte oder die Logik hinter dem Code.
2. Die Lösung: SCALM (Der Super-Editor)
SCALM ist ein Framework, das von Large Language Models (LLMs) angetrieben wird – derselben Art von KI, die Chatbots antreibt. Aber anstatt nur zu chatten, agiert SCALM wie ein super-schlauer, hyper-vigilanter Editor.
Es nutzt zwei Haupt-„Superkräfte“, um seinen Job zu erledigen:
Superkraft A: Der „Kontext-bewusste Slicer“ (Die Lupe des Detektivs)
Alte Werkzeuge betrachten oft eine einzelne Codezeile isoliert. SCALM ist intelligenter.
- Die Analogie: Stellen Sie sich vor, Sie lesen einen Satz in einem Buch. Wenn Sie nur diesen einen Satz lesen, verstehen Sie ihn vielleicht nicht. Aber wenn Sie den Absatz davor und danach lesen und sehen, mit wem die Charaktere sprechen, verstehen Sie den Kontext.
- Wie SCALM es macht: Es schneidet den Smart Contract in „Funktions-Slices“ (Funktionsstücke). Aber es schneidet den Code nicht einfach nur durch; es greift auch den umgebenden Kontext mit ab. Es betrachtet die verwendeten Variablen, die ausgelösten Events und andere Funktionen, die der Code aufruft. Es erstellt eine vollständige „Szene“ für jedes Stück Code, das es analysiert.
Superkraft B: Das „Drei-Schicht-Reasoning“ (Die dreistöckige Inspektion)
Sob sobald SCALM ein Stück Code vorliegen hat, scannt es dieses nicht nur einmal. Es durchläuft einen dreistufigen Verifizierungsprozess, der von den kleinen Details zum großen Ganzen führt:
- Schicht 1: Syntax (Der Grammatikcheck):
- Analogie: Prüfen, ob der Satz grammatikalisch korrekt ist.
- Was es tut: Es sucht nach grundlegenden Codierungsfehlern, wie fehlenden Semikolons oder der Verwendung des falschen Datentyps.
- Schicht 2: Design Patterns (Der Blaupausen-Check):
- Analogy: Prüfen, ob das Haus nach Standard-Architekturregeln gebaut wurde. Ist die Tür an der richtigen Stelle? Ist die Verkabelung sicher?
- Was es tut: Es prüft, ob der Code gute Design-Gewohnheiten befolgt (wie „Checks-Effects-Interactions“) oder ob er gefährliche Abkürzungen nutzt.
- Schicht 3: Architektur (Der Stadtplanungs-Check):
- Analogie: Den Blick auf die gesamte Nachbarschaft werfen. Blockiert dieses Gebäude den Verkehr? Passt es zu den anderen Gebäuden?
- Was es tut: Es betrachtet, wie der gesamte Vertrag zusammenpasst. Gibt es Schleifen, die in einer Endlosschleife hängen bleiben könnten? Ist das System als Ganzes sicher?
3. Das Geheimrezept: RAG (Die Karteikarte der Bibliothek)
Eines der größten Probleme mit KI ist, dass sie „halluzinieren“ kann (Dinge erfindet) oder spezifische Regeln vergisst.
- Die Analogie: Stellen Sie sich einen Anwalt vor, der versucht, einen Fall zu argumentieren, ohne eine Rechtsbibliothek zu haben. Er würde die Gesetze vielleicht erraten. Stellen Sie sich nun denselben Anwalt vor, der eine magische Bibliothek besitzt, in der er vor der Rede sofort die exakte Seite des Gesetzbuches zu dem relevanten Fall aufrufen kann.
- Wie SCALM es macht: Es nutzt Retrieval-Augmented Generation (RAG). Bevor es ein Stück Code analysiert, durchsucht SCALM eine riesige Datenbank bekannter schlechter Praktiken (wie eine Bibliothek von „Tatorten“). Es findet ähnliche Beispiele und zeigt sie der KI. Dies hilft der KI, basierend auf Fakten zu argumentieren, anstatt nur auf Vermutungen zu setzen.
4. Die Ergebnisse: Hat es funktioniert?
Die Autoren haben SCALM gegen Folgendes getestet:
- Alte automatisierte Werkzeuge (wie Mythril).
- Andere KI-Werkzeuge (wie GPTLens).
- Verschiedene KI-Modelle (wie GPT-4, Claude und Llama).
Die Ergebnisse:
- Bessere Genauigkeit: SCALM fand signifikant mehr schlechte Praktiken als die alten Werkzeuge. In einigen Tests war es fast perfekt (über 95 % Genauigkeit), während andere Schwierigkeiten hatten.
- Fand das „Versteckte“: Es war besonders gut darin, „Qualitäts“-Probleme (unordentlicher Code, schlechtes Design) zu finden, die andere Werkzeuge komplett ignorierten, da diese nur nach Sicherheitslücken suchten.
- Die KI macht den Unterschied: Nicht alle KI-Modelle sind gleich. Die neuesten, klügsten Modelle (wie GPT-4o) funktionierten am besten, aber selbst sie benötigten die „Drei-Schicht“- und „Bibliotheks“-Systeme, um ihre Spitzenleistung zu erbringen.
Zusammenfassung
Betrachten Sie SCALM als einen Smart-Contract-Inspektor, der nicht nur nach Rissen in der Wand (Sicherheitslücken) sucht. Er prüft auch, ob die Farbe abblättert, ob die Räume logisch angeordnet sind und ob das ganze Haus auf einem soliden Fundament steht. Durch die Kombination einer super-schlauen KI mit einer massiven Bibliothek vergangener Fehler und einem schrittweisen Denkprozess hilft es Entwicklern, ihren Code zu korrigieren, bevor es zu spät ist.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.