Enhancing Smart Contract Vulnerability Detection in DApps Leveraging Fine-Tuned LLM
यह शोध पत्र एक नवीन दृष्टिकोण प्रस्तावित करता है जो 215 वास्तविक दुनिया के DApp प्रोजेक्ट्स के व्यापक डेटासेट पर प्रशिक्षित फाइन-ट्यून्ड लार्ज लैंग्वेज मॉडल्स (Llama3-8B और Qwen2-7B) का लाभ उठाता है ताकि स्मार्ट कॉन्ट्रैक्ट कमजोरियों, विशेष रूप से टोकन प्राइस मैनिपुलेशन जैसी जटिल तार्किक त्रुटियों का पता लगाने की क्षमता को महत्वपूर्ण रूप से बढ़ाया जा सके जिन्हें पारंपरिक उपकरण अक्सर छोड़ देते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि एक स्मार्ट कॉन्ट्रैक्ट (Smart Contract) एक डिजिटल वेंडिंग मशीन की तरह है जो ब्लॉकचेन पर रहती है। एक बार जब आप इसमें पैसे डाल देते हैं, तो यह स्वचालित रूप से उन नियमों के आधार पर आपको सोडा (या एक डिजिटल टोकन) दे देता है जिन्हें आपने इसमें प्रोग्राम किया है। समस्या यह है कि यदि प्रोग्रामर ने कोड में कोई गलती की है, तो मशीन आपको मुफ्त में सोडा दे सकती है, आपके पैसे चुरा सकती है, या हमेशा के लिए अटक सकती है। क्योंकि ये मशीनें "अपरिवर्तनीय" (immutable) हैं (एक बार बनने के बाद आप इनके नियम बदल नहीं सकते), इसलिए इनके लाइव होने से पहले इन गलतियों को ढूंढना अत्यंत महत्वपूर्ण है।
यह शोध पत्र इन वेंडिंग मशीनों में कमियां खोजने के लिए एक सुपर-स्मार्ट सुरक्षा गार्ड बनाने के बारे में है।
समस्या: पुराने गार्ड बनाम नई चालें
पारंपरिक रूप से, सुरक्षा गार्ड "नियमपुस्तिकाओं" (स्टैटिक एनालिसिस टूल्स) का उपयोग करते थे। वे विशिष्ट, ज्ञात गलतियों को देखते थे, जैसे "क्या फर्श में छेद है?" या "क्या दरवाजा लॉक है?"
- समस्या: हैकर्स चतुर होते जा रहे हैं। वे केवल ताले नहीं तोड़ रहे हैं; वे अजीब, तार्किक खामियां (logical loopholes) ढूंढ रहे हैं। उदाहरण के लिए, "यदि मैं सुबह 9:00 बजे एक टोकन खरीदता हूँ और 9:01 बजे उसे बेच देता हूँ, तो क्या मैं मशीन को यह सोचने के लिए धोखा दे सकता हूँ कि कीमत वास्तविक से अधिक है?"
- सीमा: पुरानी नियमपुस्तिकाएं इन जटिल, तार्किक चालों को नहीं देख सकतीं। वे एक ऐसे गार्ड की तरह हैं जो केवल टूटी हुई खिड़कियों की जांच करना जानता है लेकिन यह नहीं समझता कि एक चोर ताला कैसे खोल सकता है।
समाधान: एक "विशेषज्ञ" AI गार्ड
लेखकों ने एक लार्ज लैंग्वेज मॉडल (LLM) का उपयोग करने का निर्णय लिया—जो एक प्रकार का AI है जो मानव भाषा और कोड को समझने में बहुत अच्छा है। एक मानक LLM को एक सामान्य पुस्तकालयाध्यक्ष (generalist librarian) के रूप में सोचें। उन्हें सब कुछ के बारे में बहुत कुछ पता है, लेकिन उन्होंने विशेष रूप से "ब्लॉकचेन सुरक्षा" का अध्ययन नहीं किया है।
यदि आप एक सामान्य पुस्तकालयाध्यक्ष से पूछते हैं, "क्या यह कोड सुरक्षित है?" तो वे अनुमान लगा सकते हैं, लेकिन वे अक्सर गलत होते हैं क्योंकि उन्होंने विशिष्ट उदाहरणों को पर्याप्त रूप से नहीं देखा है।
लेखकों का नवाचार: केवल पुस्तकालयाध्यक्ष से अनुमान लगाने के लिए कहने के बजाय, उन्होंने उन्हें विशेष रूप से वास्तविक दुनिया की ब्लॉकचेन आपदाओं के विशाल पुस्तकालय पर प्रशिक्षित (train) किया। उन्होंने एक सामान्य विशेषज्ञ को एक विशेष सुरक्षा विशेषज्ञ में बदल दिया।
उन्होंने विशेषज्ञ को कैसे बनाया
- प्रशिक्षण डेटा (द "केस फाइल्स"):
अधिकांश पिछले अध्ययनों ने छोटे, सरल कोड उदाहरणों (जैसे 40-लाइन का स्क्रिप्ट) का उपयोग किया। यह एक खिलौने वाली वेंडिंग मशीन पर सुरक्षा गार्ड को प्रशिक्षित करने जैसा है।
- उन्होंने क्या किया: टीम ने 215 वास्तविक दुनिया के प्रोजेक्ट्स एकत्र किए जिनमें लगभग 5,000 कॉन्ट्रैक्ट्स शामिल थे। उन्होंने इसमें जटिल, पकड़ में न आने वाली "तार्किक त्रुटियां" भी शामिल कीं, जैसे टोकन मूल्य हेरफेर (token price manipulation) (जहाँ हैकर्स पैसे के मूल्य को बदलने के लिए सिस्टम को धोखा देते हैं)।
- टूल: उन्होंने "SmartCollect" नामक एक रोबोटिक टूल बनाया ताकि सभी बिखरे हुए, आपस में जुड़े हुए फाइलों को इकट्ठा किया जा सके जो एक वास्तविक ऐप बनाते हैं, जिससे यह सुनिश्चित हो सके कि AI ने केवल अलग-थलग टुकड़ों को नहीं, बल्कि पूरी तस्वीर को देखा है।
- असंतुलन को ठीक करना (द "दुर्लभ बीमारी" की समस्या):
वास्तविक दुनिया में, अधिकांश कोड सुरक्षित होता है, और बहुत कम हिस्सा टूटा हुआ होता है। यह एक डॉक्टर को यह सीखने की कोशिश करने जैसा है कि दुर्लभ बीमारी का निदान कैसे किया जाए जब उसके 99% मरीज स्वस्थ हों। AI भ्रमित हो जाता है और सुरक्षित रहने के लिए बस कहता है "सब कुछ ठीक है।"
- समाधान: उन्होंने रैंडम ओवर सैंपलिंग (ROS) नामक तकनीक का उपयोग किया। कल्पना करें कि आप "टूटी हुई मशीनों" के कुछ उदाहरणों को लेते हैं और उनकी फोटोकॉपी बनाते हैं ताकि AI उन्हें "काम करने वाली मशीनों" जितनी बार देख सके। यह AI को खामियों पर ध्यान देने के लिए मजबूर करता है।
- प्रशिक्षण विधियाँ (दो तरीके से सिखाना):
- फुल-पैरामीटर फाइन-ट्यूनिंग (FFT): यह AI के मौजूदा मस्तिष्क को सुरक्षा में विशेषज्ञ बनाने के लिए पूरे मस्तिष्क को फिर से लिखने जैसा है। यह भारी है और इसमें बहुत ऊर्जा लगती है, लेकिन यह AI को एक सच्चा विशेषज्ञ बनाता है।
- LoRA (लो-रैंक अडैप्टेशन): यह AI के मौजूदा मस्तिष्क में एक विशेष नोटबुक जोड़ने जैसा है। यह हल्का और तेज़ है, लेकिन शोध पत्र में पाया गया कि यह जटिल बग्स को पकड़ने में उतना प्रभावी नहीं था जितना कि पूर्ण पुनर्गठन (full rewrite)।
- "दोहरा ऑडिट" (Dual Audit) सिस्टम:
AI केवल अनुमान नहीं लगाता। यह दो भूमिकाएँ निभाता है:
- ऑडिटर (Auditor): कोड को देखता है और कहता है, "मुझे लगता है कि यहाँ कोई समस्या है।"
- वेरिफायर (Verifier): यह सुनिश्चित करने के लिए ऑडिटर के काम की दोबारा जांच करता है कि वह केवल भ्रमित (hallucinating) तो नहीं हो रहा है।
परिणाम: क्या यह काम कर गया?
शोध पत्र उनके विशेषज्ञ AI की तुलना "सामान्य" AI (बिना प्रशिक्षण के केवल सवाल पूछना) और अन्य सुरक्षा उपकरणों से करता है।
- सामान्य AI: केवल लगभग 20% समय सही था। वह ज्यादातर अनुमान लगा रहा था।
- विशेषज्ञ AI (पूर्ण प्रशिक्षण के साथ): लगभग 83% बार सही था (F1-score)।
- प्रतिस्पर्धा को पछाड़ना: उनका तरीका अन्य शीर्ष उपकरणों (जैसे GPTLENS और GPTSCAN) से बेहतर था।
- "अनऑडिटेबल" की जीत: उनकी सबसे बड़ी जीत मूल्य हेरफेर (price manipulation) की खामियों को पकड़ना था। ये वे "तार्किक त्रुटियां" हैं जिन्हें कंप्यूटर आमतौर पर छोड़ देते हैं। उनके AI ने इन्हें 97% सटीकता (precision) के साथ पकड़ा (जब उसने कहा "यह टूटा हुआ है," तो वह लगभग हमेशा सही था)।
मुख्य निष्कर्ष (The Bottom Line)
शोध पत्र का तर्क है कि सबसे चतुर हैकर्स को पकड़ने के लिए, आप केवल एक सामान्य AI या एक साधारण नियमपुस्तिका का उपयोग नहीं कर सकते। आपको एक शक्तिशाली AI लेना होगा, उसे भारी मात्रा में वास्तविक दुनिया के, अव्यवस्थित, जटिल कोड से प्रशिक्षित करना होगा, और उसे उन सूक्ष्म, तार्किक चालों को पहचानने के लिए विशेष रूप से प्रशिक्षित करना होगा जिन्हें इंसान और पुराने कंप्यूटर मिस कर देते हैं। ऐसा करके, उन्होंने विकेंद्रीकृत अनुप्रयोगों (DApps) की दुनिया के लिए एक बहुत अधिक विश्वसनीय सुरक्षा गार्ड बनाया है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।