多層次審査モデル：生成的 AI によって認識された潜在的な問題は、厳格な内部検証プロセスを経ます。このプロセスには、一連の専門化されたモデルで構成される自動化審査メカニズムが含まれます：交差参照モデルは、発見を RAG データと照合し、微調整された「監査者」モデルはその技術的有効性を評価し、最後に「優先順位」モデルはその潜在的なビジネス影響を判断します。このプロセスを通じて、低信頼度の結論や幻覚は人間の監査者に達する前に体系的にフィルタリングされます。
専門化された代理の展開
初期分析に基づき、システムは一連の特別な段階的エージェントを自動展開しました。各 AI エージェントは独自の監査プロンプトとベクトルデータベースを持っています。このケースでは、論理的正確性や境界条件の脆弱性（オーバーフロー、アンダーフロー、比較エラーなど）に焦点を当てたエージェントの一つがこの問題を発見しました。
BitsLabのAIツールは、Bluefinのリスクが高い脆弱性を見つけて修正するのに役立ちます
著者: BitsLab
Web3プロトコルの複雑さが急上昇する中、資産の安全性を目指して設計されたMove言語は、公開データや研究が不足しているため、監査の難易度が高まっています。このため、BitsLabは「BitsLabAI」と呼ばれる多層AIセキュリティツールを構築しました。専門家が策定した分野データを基盤に、RAG（検索強化生成）、多段自動化レビュー、そして決定論的静的分析の上で動作する専用AIインテリジェントエージェントクラスターを組み合わせて、監査に深い自動化サポートを提供します。
Bluefin 永続契約 DEX の公開監査において、BitsLab AI は合計で 4 つの問題を発見しました。その中には 1 つの高リスクの論理的欠陥が含まれており、Bluefin チームはそれに基づいて修正を完了しました。
1）なぜ今AIが必要なのか：オンチェーンセキュリティパラダイムの移行
オンチェーンセキュリティとデジタル資産保護のパラダイムは、根本的な転換を迎えています。基礎モデルの重要な進展に伴い、今日の大規模言語モデル（LLMs）やAIエージェントは、初歩的ではあるが強力な知能の形態を備えています。明確に定義されたコンテキストが与えられた場合、これらのモデルはスマートコントラクトコードを自律的に分析し、潜在的な脆弱性を特定することができます。これにより、AI支援ツールの急速な普及が促進され、対話型ユーザーインターフェース（UIs）や統合エージェントのIDEが、スマートコントラクト監査人やWeb3セキュリティ研究者の標準的なワークフローの一部となっています。
しかし、この最初の波のAI統合が希望をもたらしたにもかかわらず、依然として重要な制約に制約されており、高リスクのブロックチェーン環境で求められる信頼性を満たすことができません。
浅いレベルで人間に依存した監査：現在のツールは「副操縦士」として機能しており、自立した監査員ではありません。彼らは複雑なプロトコル全体の構造を理解する能力を欠いており、継続的な人間の指導に依存しています。これにより、相互に接続されたスマートコントラクトの安全性を確保するために必要な深い自動化分析を実行できなくなっています。
幻覚によって引き起こされる高ノイズ信号は、一般的なLLMの推論プロセスが「幻覚」に悩まされることを示しています。安全なシナリオでは、これは大量の誤報や冗長な警告が発生することを意味し、監査員は架空の脆弱性を否定するために貴重な時間を浪費し、実際の、そして壊滅的な結果をもたらす可能性のあるオンチェーンの脅威を修正することができなくなります。
特定の分野における言語理解の不足：LLMの性能は、そのトレーニングデータに直接依存します。資産の安全性のために設計された専用言語であるMoveに関しては、複雑なコードベースや記録された脆弱性の公共リソースが不足しているため、Moveの独自の安全モデルに対する理解が表面的なものにとどまり、リソースの所有権やメモリ管理の原則といったコアな内容を含んでいます。
2）BitsLab の AI セキュリティフレームワーク（スケーラブルな信頼性に向けて）
汎用型AIの重要な欠陥を考慮して、私たちが構築したフレームワークは、マルチレイヤーで安全優先のアーキテクチャを採用しています。それは単一のモデルではなく、統合システムであり、各コンポーネントはデータの完全性から深層自動化分析に至るまで、スマートコントラクト監査の特定の課題を解決するために設計されています。
あらゆるAIの予測能力は、そのデータに根ざしています。私たちのフレームワークの卓越したパフォーマンスは、公共のLLMをトレーニングするために使用される一般的なデータセットとは根本的に異なる、私たち独自の知識ベースから始まります。私たちの強みは次のように表れます：
細分分野の大規模なカバー：私たちは、DeFiレンディング、NFTマーケットプレイス、Moveベースのプロトコルなどの高リスク分野に特化した、膨大で専門的なデータセットを厳選して収集しています。これにより、特定の分野の脆弱性に対して比類のない文脈の深さを提供します。
専門家による計画とクレンジング：私たちのデータセットは単なるスクレイピングによるものではなく、スマートコントラクトのセキュリティ専門家によって継続的にクレンジング、検証、強化されています。このプロセスには、既知の脆弱性の注釈、安全なコーディングパターンのマーク付け、無関係なノイズのフィルタリングが含まれ、モデルが学習するための高忠実度の「リアルな基盤」を作成します。この人間と機械の協力による計画により、私たちのAIは最高品質のデータから学習し、その正確性を大幅に向上させることができます。
幻覚や誤報という重要な問題を解決するために、AIの推論が常に検証可能な事実に基づいている複雑な二重システムを実装しました：
検索強化生成（RAG）：私たちのAIは内部知識だけに依存するのではなく、結論を出す前にリアルタイムの知識ベースを継続的に照会します。このRAGシステムは最新の脆弱性研究、確立されたセキュリティのベストプラクティス（例えばSWCレジストリ、EIP標準）、および類似の成功裏に監査されたプロトコルからのコード例を検索します。これにより、AIは「出所を引用する」必要があり、その結論が確立された事実に基づいていることを保証し、確率的な推測ではないことを確保します。
多層次審査モデル：生成的 AI によって認識された潜在的な問題は、厳格な内部検証プロセスを経ます。このプロセスには、一連の専門化されたモデルで構成される自動化審査メカニズムが含まれます：交差参照モデルは、発見を RAG データと照合し、微調整された「監査者」モデルはその技術的有効性を評価し、最後に「優先順位」モデルはその潜在的なビジネス影響を判断します。このプロセスを通じて、低信頼度の結論や幻覚は人間の監査者に達する前に体系的にフィルタリングされます。
単なる「副操縦士」ツールを超えた深さと文脈認識のある自動化を実現するために、私たちは協調的なアプローチを採用し、決定論的分析とインテリジェントエージェントを組み合わせました：
静的分析を基礎として：私たちのプロセスは、包括的な静的分析の遍歴を通じて、プロトコル全体を確実にマッピングすることから始まります。これにより、完全な制御フローダイアグラムが生成され、すべての状態変数が特定され、すべてのコントラクト間の関数依存関係が追跡されます。このマッピングは、私たちのAIに基礎的で客観的な「世界観」を提供します。
コンテキスト管理：フレームワークは、全体的かつ豊富なプロトコルのコンテキストを維持しています。それは単一の関数を理解するだけでなく、それらがどのように相互作用するかを理解しています。この重要な能力により、状態変化の連鎖的影響を分析し、複雑なクロスコントラクト相互作用の脆弱性を特定することが可能になります。
AIエージェントの協力：私たちは特定のタスクに特化した一群のAIエージェントを展開しました。「アクセス制御エージェント」は権限昇格の脆弱性を専門に探し、「再入可能エージェント」は不安全な外部呼び出しの検出に焦点を当て、「算術ロジックエージェント」はオーバーフローや精度エラーなどの境界条件を見逃さないようにすべての数学的演算を注意深くチェックします。これらのエージェントは共有のコンテキストマッピングに基づいて協力し、単一の、単体のAIでは見逃される複雑な攻撃手法を発見することができます。
この強力な組み合わせにより、私たちのフレームワークは深層の構造的欠陥を自動的に発見することができ、真に自律的なセキュリティパートナーとして機能します。
3）ケーススタディ：Bluefin PerpDEXにおける重要な論理的欠陥を明らかにする
私たちのフレームワークの多層アーキテクチャを実際のシナリオで検証するために、Bluefinの公開セキュリティ監査に適用しました。Bluefinは複雑な永続的契約の分散型取引所です。この監査は、静的分析、専用のAIエージェント、RAGベースのファクトチェックを通じて、従来のツールでは認識できない脆弱性をどのように発見したかを示しています。
分析プロセス：マルチエージェントシステムの運用
この高リスクの脆弱性の発見は単独の出来事ではなく、フレームワーク内の各統合コンポーネントが体系的に協力して達成されたものです。
コンテキストマッピングと静的分析 プロセスはまずBluefinの完全なコードベースを入力します。私たちの静的分析エンジンは、全体のプロトコルを決定的にマッピングし、基礎分析AIエージェントと組み合わせてプロジェクトの全体的な概要を作成し、コアの金融ロジックに関連するモジュールを特定しました。
専門化された代理の展開 初期分析に基づき、システムは一連の特別な段階的エージェントを自動展開しました。各 AI エージェントは独自の監査プロンプトとベクトルデータベースを持っています。このケースでは、論理的正確性や境界条件の脆弱性（オーバーフロー、アンダーフロー、比較エラーなど）に焦点を当てたエージェントの一つがこの問題を発見しました。
RAGに基づく分析とレビュー 算術論理エージェント（Arithmetic Logic Agent）が分析を開始しました。情報検索強化生成（RAG）を利用して、専門家が策定した知識ベースを照会し、Move言語のベストプラクティスを参照し、Bluefinのコードを他の金融プロトコルに記録された類似の論理的欠陥と比較しました。この検索プロセスは、正負の数の比較が典型的な境界エラーケースであることを浮き彫りにしました。
発見：コア金融ロジックの高リスクな脆弱性
私たちのフレームワークを通じて、最終的に4つの異なる問題を特定しました。その中の1つは、プロトコル金融計算エンジンに深く根ざした高リスクの論理的脆弱性です。
脆弱性は signed_number モジュールの lt（小なり）関数に存在します。この関数は、ポジションのソートや損益（PNL）計算など、あらゆる金融比較にとって重要です。この脆弱性は、重大な財務の差異、誤った清算、さらには DEX コア操作における公平なソートメカニズムの失敗を引き起こす可能性があり、プロトコルの完全性に直接的な脅威を与えます。
問題の根源は、負の数と正の数を比較する際に誤った論理が発生することにあります。signed_numberモジュールは、value: u64とsign: bool（trueは正の数、falseは負の数を示す）を使用して数値を表します。しかし、lt関数のelseブランチ（異なる符号の数の比較を処理）が欠陥を抱えています。負の数（!a.sign）と正の数（b.sign）を比較する際、この関数は誤ってa.sign（すなわちfalse）を返し、実際には「正の数が負の数より小さい」と断言しています。
修正：
この重要な問題を修正するために、lt関数のelseブランチには簡単でありながら極めて重要な修正が必要です。修正された実装は!a.signを返す必要があり、これにより比較時に負の数が常に正の数より小さいと正しく評価されることが保証されます。
修繕
結果：Bluefin開発チームはこの詳細な報告を受け取った後、最初に通知され、直ちに問題の修正に取り組みました。
4）BitsLab AIがWeb3チームにとって意味すること
誤報ノイズの減少：RAG + 多段階レビューは「幻覚」と偽陽性を大幅に減少させます。
より深いカバレッジ：静的分析マップ + スマートエージェントの協調により、クロスコントラクト、境界条件、及び論理レベルの体系的リスクを捉えます。
ビジネス志向の優先順位：影響度に基づいてプロジェクトの投資を導き、時間を「最も重要な問題」に費やす。
5）結論：BitsLab AIによって強化されたセキュリティが新たな基準となる
Bluefinの実践はBitsLabの核心的な主張を検証しました：信頼できるWeb3のセキュリティは、同時に「根拠が必要」（RAG）、「多重チェック」（マルチレベルレビュー）、そして「構造に深く」（静的分析 + インテリジェントエージェントの協力）でなければなりません。
このルートは、分散型金融の基盤となる論理を理解し、検証する際に特に重要であり、プロトコルのスケーラブルな信頼を維持するための必要条件です。
急速に進化するWeb3環境では、契約の複雑さが増していますが、Moveに関する公開研究とデータはまだ相対的に不足しており、「安全保障」がより困難になっています。BitsLabのBitsLab AIは、そのために生まれました——専門家が策定した分野知識、検証可能な検索強化推論、そして全体的な文脈に基づく自動分析を通じて、エンドツーエンドでMove契約のリスクを特定し、軽減し、Web3の安全性に持続可能な知的推進力を注入します。