💻 computer science

SPEAR: An Engineering Case Study of Multi-Agent Coordination for Smart Contract Auditing

Dit paper introduceert SPEAR, een multi-agent coördinatiekader voor het auditen van slimme contracten dat gespecialiseerde agenten inzet voor risicogestuurde planning, taaktoewijzing en autonome herstel, en dit ontwerp empirisch vergelijkt met gecentraliseerde en pipeline-gebaseerde alternatieven.

Oorspronkelijke auteurs: Arnab Mallick, Indraveni Chebolu, Harmesh Rana, Seema Pangal

Gepubliceerd 2026-04-10

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Arnab Mallick, Indraveni Chebolu, Harmesh Rana, Seema Pangal

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorme, complexe bank wilt bouwen, maar in plaats van bakstenen gebruik je smart contracts. Deze zijn als digitale automaten die geld verplaatsen. Het probleem? Als er één steen verkeerd ligt, kan de hele bank instorten en miljoenen dollars verdwijnen.

In de echte wereld zijn er "auditors" (controleurs) die deze contracts controleren. Maar dit is een zware klus: het duurt weken, kost duizenden euro's, en is vaak te langzaam voor de snelle wereld van crypto.

De auteurs van dit paper hebben SPEAR bedacht. Denk aan SPEAR niet als een enkele super-controleur, maar als een slim team van specialisten die samenwerken om deze klus sneller en slimmer te klaren.

Hier is hoe het werkt, vertaald naar alledaagse taal:

1. Het Team: Een Orkest in plaats van een Solist

In plaats van dat één persoon alles doet, heeft SPEAR een team van vijf gespecialiseerde "agenten" (robots met een specifieke taak):

De Planner (De Kapitein): Deze agent kijkt naar de hele situatie. Hij zegt: "Oké, deze contracten zien er het gevaarlijkst uit, laten we die eerst controleren." Hij past zijn plan voortdurend aan als er nieuwe informatie binnenkomt.
De Uitvoerder (De Werkman): Deze agent pakt de taken die de planner geeft en roept de juiste gereedschappen (software) aan om te testen.
De Repareerder (De Mechanicus): Dit is misschien wel het coolste deel. Als de software een fout maakt (bijvoorbeeld: "Ik kan deze code niet compileren"), probeert deze agent het automatisch te repareren voordat hij iemand anders lastigvalt. Hij is slim genoeg om te weten: "Oh, het is alleen een ontbrekende import, dat fix ik zelf."
De Veiligheidsagent (De Bewaker): Deze zorgt ervoor dat de gereedschappen in een veilig kooitje (een zandbak) draaien, zodat ze per ongeluk niets kapot maken.
De Coördinator (De Regisseur): Deze houdt de boel bij elkaar. Als twee agents tegelijk om dezelfde dure hulpbronnen (zoals rekenkracht of AI-tokens) vragen, zorgt hij voor eerlijke verdeling.

2. Hoe werken ze samen? (De Analogie van de Bouwplaats)

Stel je voor dat je een huis bouwt en er gebeurt iets onverwachts.

Het oude probleem (Centraal): Stel, je hebt één bouwmeester. Als de metselaar stopt met werken omdat hij een gebroken baksteen heeft, moet hij wachten tot de bouwmeester terugkomt, de situatie analyseert en een nieuwe opdracht geeft. Als de bouwmeester zelf vastloopt, staat de hele bouw stil.
De SPEAR-methode (Multi-Agent):
- De metselaar (Uitvoerder) merkt een probleem op.
- Hij roept de Reparateur (Mechanicus) erbij. Die probeert de baksteen zelf te fixen.
- Als dat lukt, gaat de bouw gewoon door.
- Als het niet lukt, stuurt de metselaar een bericht naar de Planner: "Hey, dit stuk is gevaarlijker dan we dachten!"
- De Planner denkt na, past het plan aan en zegt: "Oké, laten we eerst dat andere gevaarlijke stuk doen."
- Niemand hoeft te wachten. Iedereen denkt zelf na en werkt samen.

3. De Slimme Trucs

Het paper beschrijft drie specifieke slimme manieren waarop dit team werkt:

De Veilige Herinnering (Geloofsherziening):
Stel, de Planner dacht dat Contract A het gevaarlijkst was. Maar de Uitvoerder vindt een fout in Contract B. In een oud systeem zou je misschien alles moeten herstarten. Bij SPEAR "verwijdert" de Planner zijn oude gedachte en "voegt" de nieuwe toe, zonder in paniek te raken. Het is alsof je een navigatie-app gebruikt die je route automatisch aanpast als er een file staat, zonder dat je de auto moet uitstappen.
De Veiling voor Hulpbronnen:
Soms hebben twee agents iets nodig dat schaars is (bijvoorbeeld dure AI-rekenkracht). De Repareerder wil 500 eenheden, de Uitvoerder wil 200. In plaats van dat de Coördinator willekeurig kiest, doen ze een veiling. Ze bieden op basis van hoe dringend het is en hoeveel het hen oplevert. De agent die het "meest waardevolle" gebruik maakt van de middelen, wint. Dit zorgt ervoor dat het geld niet wordt verkwast.
Zelfherstellend Vermogen:
Vaak maken AI-tools fouten bij het schrijven van testcode. In plaats van dat de hele audit stopt en een mens moet ingrijpen, probeert de Repareerder eerst simpele, vaste oplossingen (zoals een ontbrekende puntkomma toevoegen). Pas als dat niet werkt, gebruikt hij de dure AI om het te herschrijven. Dit bespaart tijd en geld.

4. Waarom is dit beter dan de oude manier?

De auteurs hebben dit getest en vergeleken met traditionele methoden (waar één computer alles doet in een reeks stappen).

Beter tegen storingen: Als één deel van het SPEAR-team crasht (bijvoorbeeld door een internetstoring), kunnen de anderen doorgaan. Bij een traditioneel systeem stopt alles.
Sneller: Ze vinden de belangrijkste fouten sneller omdat ze dynamisch beslissen wat ze eerst moeten doen, in plaats van stug een lijstje af te werken.
Efficiënter: Ze verspillen minder rekenkracht door slim te onderhandelen en zelf fouten op te lossen.

Conclusie

SPEAR is als het verschil tussen een solitaire schilder die langzaam een muur schildert en een slim bouwteam waar de metselaar, de timmerman en de planner voortdurend met elkaar communiceren. Als er een probleem is, lost het team het samen op zonder dat de hele bouw stilvalt.

Dit maakt het mogelijk om de veiligheid van miljarden aan digitale waarde veel sneller, goedkoper en betrouwbaarder te controleren. Het is een stap in de richting van een toekomst waar we niet hoeven te wachten op dure experts om te zien of onze digitale banken veilig zijn.

Titel: SPEAR: Een Engineering Case Study van Multi-Agent Coördinatie voor Smart Contract Auditing

1. Het Probleem

De opkomst van Decentralized Finance (DeFi) heeft smart contracts met een waarde van miljarden dollars veiliggesteld, maar introduceert ook enorme risico's waarbij één kwetsbaarheid tot catastrofale verliezen kan leiden (bijv. de DAO-hack).

Huidige Beperkingen: Traditionele audits zijn handmatig, duur ($5.000 - $15.000) en tijdrovend (2-4 weken), wat niet schaalt met de snelle Web3-ontwikkeling.
Automatiseringsproblemen: Bestaande geautomatiseerde tools (statische analyse, symbolische uitvoering) hebben fundamentele tekortkomingen:
1. Ze zijn reactief en missen een holistisch projectniveau inzicht.
2. Generatieve tools voor het maken van tests zijn breekbaar (brittle); ze produceren vaak code die niet compileert en kunnen niet zelfstandig herstellen.
3. Ze werken geïsoleerd zonder coördinatie, waardoor er geen sprake is van een overkoepelend kader om uitvoering te synchroniseren of fouten te managen.

2. Methodologie: Het SPEAR Framework

SPEAR (Strategic Planning, Execution, and Automated Repair) is een Multi-Agent Systeem (MAS) dat auditing modelleert als een gecoördineerde missie uitgevoerd door gespecialiseerde agenten. In plaats van een vaste pipeline, gebruiken agenten lokale overtuigingen (beliefs), communiceren via gestructureerde berichten en coördineren via expliciete protocollen.

De Agenten:

Planning Agent ( $A_P$ ): Prioriteert audit-taken op basis van risicoscores die dynamisch worden bijgewerkt. Gebruikt AGM-compliant herziening (belief revision) om plannen aan te passen bij nieuwe informatie.
Execution Agent ( $A_E$ ): Wijs taken toe en beheert de uitvoering van analyse-tools (zoals Slither, Mythril, Echidna) via het Contract Net Protocol.
Repair Agent ( $A_R$ ): Herstelt autonoom breekbare gegenereerde artefacten (voornamelijk testcode) met een "Programmatic-First" (PFIR) beleid. Dit betekent dat eerst deterministische fixes worden geprobeerd (bijv. ontbrekende imports) voordat dure generatieve (LLM) calls worden gebruikt.
Command Execution Agent ( $A_C$ ): Voert tools veilig uit in sandbox-omgevingen (Docker) en handhaaft resource-limieten.
Coordinator Agent ( $A_{Coord}$ ): Bemiddelt bij conflicten en alloceert gedeelde resources (zoals LLM-tokens) via veilingprotocollen.

Coördinatieprotocollen:

Plan Negotiation: Agenten onderhandelen over prioriteiten wanneer nieuwe kwetsbaarheden de risicoscores veranderen (zonder centrale arbiter).
Contract Net: Decentrale taaktoewijzing waarbij agenten bieden op basis van capaciteit en beschikbaarheid.
Resource Auction: Toewijzing van schaarse resources (bijv. LLM-budget) op basis van een efficiëntiescore: $\frac{\text{urgentie} \times \text{benefit}}{\text{cost}}$ .

Belangrijkste Architecturale Kenmerken:

Lokale Autonomie: Agenten kunnen beslissingen nemen en herstellen tijdens netwerkpartities of tool-fouten zonder het hele systeem te laten crashen.
AGM Belief Revision: Agenten passen hun kennisbasis aan bij nieuwe bewijzen, waarbij ze consistentie behouden met minimale veranderingen.
Deterministisch vs. Leerend: Het systeem gebruikt deterministische beleidsregels in plaats van machine learning, wat de reproduceerbaarheid en controle verhoogt.

3. Belangrijkste Bijdragen

Engineering Case Study: Een praktische toepassing van gevestigde MAS-coördinatiepatronen op het complexe domein van smart contract auditing.
Risico-bewuste Planning: Een agent die audit-taken dynamisch prioriteert op basis van veranderende risico's.
Programmatic-First Repair: Een strategie voor het autonoom herstellen van gegenereerde testcode, wat de afhankelijkheid van dure LLM-calls verlaagt.
Robuust Coördinatiekader: Ondersteuning voor zelfherstel en resource-arbitrage onder faalscenario's.
Empirische Evaluatie: Een vergelijking met gecentraliseerde en pipeline-gebaseerde alternatieven, met focus op coördinatie, herstelgedrag en resourcegebruik.

4. Resultaten

De evaluatie is uitgevoerd op de Damn Vulnerable DeFi benchmark (15 uitdagingen) en open-source Solidity-contracten.

Effectiviteit (RQ1): SPEAR behaalde de hoogste F1-score (0.87) vergeleken met baselines zoals alleen Slither (0.73), een sequentiële pipeline (0.82) en zelfs een geavanceerde gecentraliseerde scheduler (0.83) die dezelfde logica gebruikte maar geen MAS-architectuur. SPEAR toonde minder variantie en stabielere voortgang bij geïntroduceerde fouten.
Zelfherstel (RQ2): Het PFIR-algoritme herstelde succesvol 94% van de gegenereerde artefact-fouten. Cruciaal was dat 64% van deze herstelwerkzaamheden deterministisch gebeurde, wat de kosten voor LLM-calls aanzienlijk verlaagde.
Efficiëntie (RQ3): De Planning Agent zorgde voor een significant snellere detectie van kritieke kwetsbaarheden. In vergelijking met een ablatieve versie (alfabetische volgorde), vond SPEAR kritieke bugs veel sneller door dynamische prioritering.
Robuustheid (RQ4): Ablatiestudies toonden aan dat MAS-componenten essentieel zijn voor herstel:
- Protocollen: 1.8x sneller herstel dan zonder protocollen.
- Autonomie: 2.1x sneller herstel dan zonder lokale besluitvorming.
- Zelfherstel: 3.2x sneller herstel dan zonder zelfherstel (waarbij fouten handmatig moesten worden opgelost).
- De coördinatie-overhead was laag (4.2%), met gemiddeld 47 berichten per audit.

5. Betekenis en Conclusie

SPEAR demonstreert dat het toepassen van gevestigde Multi-Agent System-patronen (zoals onderhandeling, veilingen en belief revision) superieur is aan traditionele gecentraliseerde pipelines voor complexe, foutgevoelige workflows zoals smart contract auditing.

Schalbaarheid: Het systeem lost het schaalprobleem op door auditing te automatiseren zonder de menselijke expertise volledig te vervangen, maar door deze te versterken met coördinatie.
Robuustheid: De architectuur is ontworpen om te overleven in een omgeving met onbetrouwbare tools en gedeeltelijke observatie, waarbij agenten autonoom kunnen herstellen zonder het hele proces te herstarten.
Toekomst: Hoewel het huidige systeem een centrale coördinator heeft (een potentieel single point of failure), biedt het een solide basis voor verdere ontwikkeling naar volledig gedistribueerde systemen en het integreren van reinforcement learning voor beleidsverbetering.

Kortom, SPEAR bewijst dat een gecoördineerde, multi-agent aanpak niet alleen de kwaliteit van audits verbetert, maar ook de weerbaarheid en kostenefficiëntie van het auditproces aanzienlijk verhoogt.