智能合约作为区块链核心的可编程组件,承担了资产管理和复杂业务逻辑处理的功能,它们共同构成了去中心化金融(decentralized finance,DeFi)协议.然而,随着区块链的快速发展,智能合约和DeFi协议的安全问题日益凸显,吸引了大量攻击者利用...智能合约作为区块链核心的可编程组件,承担了资产管理和复杂业务逻辑处理的功能,它们共同构成了去中心化金融(decentralized finance,DeFi)协议.然而,随着区块链的快速发展,智能合约和DeFi协议的安全问题日益凸显,吸引了大量攻击者利用其漏洞牟取利益.近年来,多起涉及智能合约和DeFi协议的重大安全事件强调了漏洞检测技术研究的必要性,已成为安全防护的重中之重.系统性地总结了现有工作,提出了智能合约与DeFi协议漏洞检测技术研究框架,分别从智能合约和DeFi协议两个层面对漏洞类型和检测技术进行梳理.在智能合约方面,重点分析了大语言模型(large language model,LLM)作为主要检测引擎和与传统方法结合的漏洞检测技术应用情况;在DeFi协议方面,系统性地分类并整理了DeFi协议层的漏洞及其检测方法,并探讨了攻击发生前后检测方法的优势与局限性,弥补了现有综述在DeFi协议漏洞检测方面的不足.最后,对现有检测方法面临的挑战进行总结,并展望了未来的研究方向,旨在为智能合约与DeFi协议的安全检测提供新的思路和理论支持.展开更多
伴随RESTful API在现代Web服务中的普及,安全问题日益凸显。而现有的主流API识别与漏洞检测工具依赖API文档或公开路径进行扫描,在识别隐藏API或无文档API时效果有限,在复杂或动态API环境下漏洞误报率高。针对这些挑战,基于上下文协议(M...伴随RESTful API在现代Web服务中的普及,安全问题日益凸显。而现有的主流API识别与漏洞检测工具依赖API文档或公开路径进行扫描,在识别隐藏API或无文档API时效果有限,在复杂或动态API环境下漏洞误报率高。针对这些挑战,基于上下文协议(MCP)无缝通信智能体,提出一种隐藏API发现和漏洞检测的智能体系统A2A(Agent to API vulnerability detection)来实现从API发现到漏洞检测的全流程自动化。A2A通过自适应枚举和HTTP响应分析自动识别潜在的隐藏API端点,并结合服务特定的API指纹库进行隐藏API的确认和发现。A2A在API漏洞检测上则是结合大语言模型(LLM)与检索增强生成(RAG)技术,并通过反馈迭代优化策略,自动生成高质量测试用例以验证漏洞是否存在。实验评估结果表明,A2A的平均API发现率为91.9%,假发现率为7.8%,并成功发现NAUTILUS和RESTler未能检测到的多个隐藏API漏洞。展开更多
文摘智能合约作为区块链核心的可编程组件,承担了资产管理和复杂业务逻辑处理的功能,它们共同构成了去中心化金融(decentralized finance,DeFi)协议.然而,随着区块链的快速发展,智能合约和DeFi协议的安全问题日益凸显,吸引了大量攻击者利用其漏洞牟取利益.近年来,多起涉及智能合约和DeFi协议的重大安全事件强调了漏洞检测技术研究的必要性,已成为安全防护的重中之重.系统性地总结了现有工作,提出了智能合约与DeFi协议漏洞检测技术研究框架,分别从智能合约和DeFi协议两个层面对漏洞类型和检测技术进行梳理.在智能合约方面,重点分析了大语言模型(large language model,LLM)作为主要检测引擎和与传统方法结合的漏洞检测技术应用情况;在DeFi协议方面,系统性地分类并整理了DeFi协议层的漏洞及其检测方法,并探讨了攻击发生前后检测方法的优势与局限性,弥补了现有综述在DeFi协议漏洞检测方面的不足.最后,对现有检测方法面临的挑战进行总结,并展望了未来的研究方向,旨在为智能合约与DeFi协议的安全检测提供新的思路和理论支持.
文摘伴随RESTful API在现代Web服务中的普及,安全问题日益凸显。而现有的主流API识别与漏洞检测工具依赖API文档或公开路径进行扫描,在识别隐藏API或无文档API时效果有限,在复杂或动态API环境下漏洞误报率高。针对这些挑战,基于上下文协议(MCP)无缝通信智能体,提出一种隐藏API发现和漏洞检测的智能体系统A2A(Agent to API vulnerability detection)来实现从API发现到漏洞检测的全流程自动化。A2A通过自适应枚举和HTTP响应分析自动识别潜在的隐藏API端点,并结合服务特定的API指纹库进行隐藏API的确认和发现。A2A在API漏洞检测上则是结合大语言模型(LLM)与检索增强生成(RAG)技术,并通过反馈迭代优化策略,自动生成高质量测试用例以验证漏洞是否存在。实验评估结果表明,A2A的平均API发现率为91.9%,假发现率为7.8%,并成功发现NAUTILUS和RESTler未能检测到的多个隐藏API漏洞。
