点审计在可组合性强、对抗性市场环境中逐渐失效。借助人工智能（AI）驱动的持续保障系统，利用求解器与模拟技术，逐步取代传统的断续安全检查方法，从而实现更高效、更全面的风险控制。

观点作者：Jesus Rodriguez，Sentora 联合创始人

编程AI已经找到了与市场的契合点，尤其是在Web3领域。在那些必将被AI颠覆的行业中，智能合约审计已经变得成熟且亟需革新。

目前的审计多为断点式、快照式的检查，难以应对可组合性强和对抗性市场环境，常常遗漏潜在的经济失效模式。

未来的重心将从传统的手工PDF审计转向持续性、工具驱动的保障体系：结合模型、求解器、模糊测试、模拟与实时遥测技术。采用这种方法的团队会交付出更快、覆盖更广的保障措施；而未采用的团队则面临无法快速上市或难以获得保险的风险。

审计的普及程度远超你的想象

在Web3生态中，审计逐渐演变为一种“尽职调查”的标志——一种形式化的证明，证明有人在市场之前尝试破解你的系统。然而，这实际上是前DevOps时代的遗留仪式。

传统软件行业将安全保障融入开发流程：自动化测试、持续集成/持续部署（CI/CD）、静态与动态分析、金丝雀发布、功能开关以及深度监控。在每次代码合并环节，都如微型审计，确保安全性。Web3则重新引入了明确的里程碑，因为其不可变性与对抗性经济学移除了传统的回滚机制。下一步的重点在于将平台的安全保障实践与AI深度集成，确保持续保障，而非仅仅依赖一次性审查。

智能合约审计的局限性

传统审计依赖时间和信息，促使团队明确不变量（如价值守恒、访问权限、交易排序），测试假设（如预言机完整性、升级权限）并在资金到位前进行风险边界的压力测试。优质的审计会生成资产：包括跨版本的威胁模型、可回归的测试属性，以及操作手册，用以应对潜在事故。这些方面亟需行业的发展。

然而，审计具有结构性限制：它冻结了一个“活跃且可组合”的系统。上游变更、流动性转移、最大可提取价值（MEV）策略变化以及治理行为，均可能导致先前的保障失效。有限的时间与预算也限制了审计的范围，导致团队偏向已知漏洞类别，忽视尾部的新兴风险（如跨链桥、反射性激励机制、DAO间交互等）。有时报告会误导人们以为风险已完全识别，因为发布时间压缩，使得分类与分析不够充分。多数经济性的失效比语法或代码漏洞更具破坏性，因此需要借助模拟、代理建模和运行时遥测来检测隐藏的风险。

在智能合约编码方面，AI依然有不足

现代AI在数据丰富、反馈密集的环境中表现优异，能够在编译器指导下生成代码、翻译语言、重构项目。然则，智能合约的开发难度更大，其关键在于时间敏感性和对抗性安全性。在Solidity中，安全取决于合约的执行顺序、攻击者（如重入、MEV、抢跑）的存在、升级路径（代理设计和 delegatecall 上下文）以及gas和退款的动态机制。

不少不变量跨越多交易或协议阶段。例如，在Solana等高性能链上，账户模型和并行运行时引入了额外的约束（PDA派生、CPI调用关系、计算预算、免租余额、序列化布局等），这些都在训练数据中稀缺，单靠单元测试难以覆盖。虽然当前AI模型在这方面仍显不足，但通过优化数据质量、增强标签设计和借助工具提供的反馈，工程化的解决方案是完全可行的。

走向AI智能合约审计师的实用路径

构建实用AI审计体系关键在于三大要素：

1. 审计模型：结合大语言模型（LLM）与符号、模拟后端，让模型理解意图、提取不变量、概括安全习语；利用求解器或模型检验器提供证明或反例，确保保障的准确性。建议输出应为具有证明的规范或可重现的漏洞路径，而非模糊的说明性文本。
2. 代理流程：协调专门的代理，包括属性提取器、依赖爬虫（跨链桥/预言机/金库风险图）、漏洞搜索的红队代理、经济激励的压力测试代理、演练升级（金丝雀/时间锁/应急措施）以及治理简报生成器。这一系统如神经系统般，持续感知、推理并行动。
3. 评估机制：不仅依赖单元测试，还需跟踪属性覆盖率、反例生成、状态空间的新颖性、经济失效发现时间、最小漏洞资本以及运行时预警的准确度。公共基准应涵盖各类漏洞族（如重入、代理漂移、预言机偏差、CPI滥用）和分类效果，确保保障可作为有明确服务等级协议（SLA）和保险保障的产品存在。

为通用AI审计师留出发展空间

虽然混合路径构建具有吸引力，但规模化趋势显示：在相关领域，端到端的通用协调模型已能匹配或超越专门设计的管道。

一个足够强大的通用模型——拥有长上下文、强大API支持和可验证的输出——可内部化安全习语，推理长轨迹，将求解器和模糊测试器视作隐式子程序。结合长期记忆机制，模型可以在单个循环内草拟属性、提出漏洞、引导搜索、解释修复方案。虽然如此，锚点（证明、反例、不变量监控）依然重要，因此应兼顾混合稳健性，密切关注未来模型是否会压缩管道部分环节的能力。

AI智能合约审计师的不可避免性

Web3的基础特性——不可变性、可组合性和对抗性市场环境——使得断断续续的人工审计难以跟上每个区块不断变化的状态空间。在代码丰富、反馈频繁、验证自动化程度高的场景中，AI表现出色。这一演化趋势正日趋明显。无论以今日的混合模型或明日的通用模型为最终形式，端到端协调的保障体系都将逐渐从里程碑式落实，向平台级移动：持续进行、由机器增强、由证明、反例和监控的稳定不变量作为锚点。

应将审计视为一种产品，而非仅仅是一份交付物。建立混合闭环体系——包括持续集成（CI）中的可执行属性、求解器辅助的检测工具、内存池感知的模拟、依赖关系风险图、不变量监控器——让通用模型在逐步成熟过程中不断优化整个流程。

AI增强的保障不仅是一项合规检查，更是构建可组合、对抗性生态系统运营能力的基础。

观点作者：Jesus Rodriguez，Sentora 联合创始人

相关阅读：英伟达发展历程：从游戏巨头到加密矿霸，再到AI军火商

本文仅供一般信息参考，不构成法律或投资建议。文中观点和意见纯属作者个人，不一定代表Cointelegraph官方立场。