27 березня у Гонконзькому цифровому хабі відбувся перший форум інновацій та безпеки агентного ШІ та перший Гонконзький міжнародний саміт Web 4.0, організований Гонконзьким цифровим хабом, ME Group та iPollo. Темою саміту було «Інноваційне застосування агентного ШІ: технологічні зміни та галузева інтеграція в епоху Web 4.0». На заході зібралися провідні фахівці з галузей державного управління, бізнесу, науки та освіти, зокрема міністр фінансів уряду спеціального адміністративного району Гонконг Чен Маобо, голова Гонконзького цифрового хабу Чен Сімін, член ради директорів Гонконзького цифрового хабу та засновник Nano Labs Кун Цзяньпін, а також відомий ангельський інвестор Цай Веньшень, щоб разом обговорити можливості та виклики нової ери, коли ШІ переходить від «діалогу» до «дії».

На тлі зростаючої уваги до агентного штучного інтелекту (Agentic AI) питання безпеки набувають особливої важливості. Засновник SlowMist Юйсюй був запрошений на цей саміт і виступив із тематичною доповіддю «Виклики безпеки штучного інтелекту та криптовалютного світу та інновації у захисті», поділившись з глобальними лідерами галузі останніми спостереженнями та досвідом SlowMist у сфері безпеки штучного інтелекту.

Фокус на передовому: глибокий аналіз загроз безпеки OpenClaw та AI Agent

Зі зростанням проникнення технологій ШІ у криптовалютний світ, застосунки AI Agent, такі як «OpenClaw», швидко набули популярності. Але поза хвилею ентузіазму виникає глибша проблема: безпечні межі AI Agent ще не були справді встановлені.

У своїй промові Юшань глибоко розібрав OpenClaw і висунув ключовий висновок: «Текст — це інструкція». Він пояснив, що в контексті роботи AI Agent усі вхідні дані більше не є просто «інформацією», а потенційно виконуваними інструкціями. Це означає, що будь-яка зовнішня інформація, яку отримує модель — незалежно від джерела: користувацький ввід, документація чи сторонній Skill — може бути безпосередньо інтерпретована та виконана, що розширює поверхню атаки з рівня коду на «когнітивний» рівень.У цьому механізмі шляхи атаки значно спрощуються. Зловмиснику не потрібно обходити традиційні захисні бар’єри — достатньо створити добре продуманий текстовий контент, щоб навести Agent на виконання непередбачених дій, наприклад, переказ активів, витік конфіденційної інформації або навіть виконання віддалених команд. Прихована природа та низька вартість таких атак роблять їх надзвичайно реальним загрозою.

На основі зазначених механізмів Косинус додатково звітував про три основні ризики, з якими стикається OpenClaw:

• Введення та маніпуляція намірами (рівень взаємодії з користувачем): зловмисник може за допомогою «прямого введення підказок» навести агента на виконання небезпечних дій. Особливо слід звертати увагу на непряме отруєння ланцюга поставок — зловмисник вставляє шкідливі команди в Markdown-документи навичок. Оскільки Markdown часто виконує роль «точки встановлення», звичайні «пояснювальні тексти» легко перетворюються на шкідливі сценарії виконання (наприклад, curl | bash), що призводить до крадіжки даних.
• Ризики рівня прийняття рішень та оркестрування (рівень логіки застосунку): Ці помилки походять не від самої моделі, а від «неправильної логіки виконання». Зловмисники можуть втручатися в логічні міркування агента, щоб змінити адресу отримувача в бізнес-процесах, таких як переказ криптовалют, що призводить до прямих фінансових втрат.
• Ризики шару моделі (центральний мозок): включають «галюцинації», що виникають у моделі, що призводять до виконання неіснуючих або небезпечних системних команд, а також небезпечні моделі поведінки, неправильно засвоєні моделлю з навчальних даних.

Косинус зазначив: «Проблеми, виявлені OpenClaw, не є ізольованим явищем, а є структурними викликами, з якими стикається вся екосистема AI Agent». Іншими словами, проблеми безпеки більше не є «випадком» окремого проекту, а є системним ризиком, який повинен враховувати весь індустрій.

Атака та захист: створення безпечного відкритого екосистеми для AI Agent

У своїй промові Юйсюнь запропонував «багатосторонній» підхід до безпеки від SlowMist: потрібно не лише розуміти шляхи атак, а й інтегрувати здатність до захисту безпосередньо в механізми роботи агентів, забезпечуючи вбудовану безпеку.

Він продемонстрував гостям серію відкритих інструментів та практичних рішень, розроблених SlowMist навколо AI Agent, з метою сприяння створенню прозорої, перевіряємої та повторно використовуваної безпечної екосистеми:

• OpenClaw Керівництво з мінімалістичних практик безпеки: поетапне керівництво з розгортання безпеки від рівня усвідомлення до інфраструктурного рівня, що забезпечує систематичний «закріплення ідей безпеки» для AI-агентів з високими правами в реальному виробничому середовищі.
• SlowMist Agent Security Skill： Комплексна рамка безпеки, яка надає «розумним очима» для агентів, таких як OpenClaw. Вона не лише виявляє ризики отруєння звичайних Skills, але й виявляє ризики, пов’язані з адресами гаманців у ланцюжку, сховищами коду та URL.
• MistTrack Skills：набір навичок Agent типу «вставив і працюй», який надає AI Agent професійні здібності для AML-відповідності та аналізу ризиків адрес у криптовалюті, що може використовуватися для оцінки ризиків адрес у ланцюжку та визначення ризиків перед угодою.
• Список контролю безпеки MCP: Систематизований список перевірки безпеки для швидкого аудиту та підсилення служби Agent, що допомагає командам уникнути пропуску ключових заходів захисту під час розгортання MCPs/Skills та пов’язаних інструментів штучного інтелекту.
• Зловісний MCP-демонстрація: Відкритий приклад зловісного MCP-сервера для відтворення реальних атак та тестування стійкості систем захисту, що може використовуватися для безпекових досліджень та перевірки захисту.

На основі цієї серії практик Юйчжан підкреслив: «Здатність до безпеки повинна бути вбудована в агента, а не лише залежати від зовнішнього захисту». Лише шляхом глибокого зв’язування механізмів захисту з логікою роботи агента AI-агент зможе стабільно та безпечно функціонувати в складному екосистемі Web3 та AI.

Системна безпека: ADSS всебічний захист AI та екосистеми Web3

На завершення виступу Юйшень представив ADSS (AI Development Security Solution), запропонований SlowMist.

Якщо згадані вище інструменти відносяться до «тактичних здібностей», то ADSS більше схожий на системну безпекову рамку. Його основна ідея полягає у тому, щоб перетворити розрізнені заходи з безпеки на виконувану, аудитовану та сталу системну механізм безпекових операцій.

ADSS будують здатність безпечної управління AI + Web3 на кількох рівнях:

• L1 Безпека управління (базові вимоги розробки): Створення єдиної стандартизованої системи безпеки для розробки та використання, яка охоплює інструменти розробки, фреймворки Agent, екосистему плагінів та середовище виконання, щоб надати команді єдине джерело стратегій та стандарти аудиту.
• Права та обмеження рівня L2: шляхом звуження меж повноважень агента, мінімізації прав на виклик інструментів та введення механізму підтвердження людиною критичних операцій ефективно обмежується діапазон виконання високоризикованих дій.
• Захист від зовнішніх взаємодій L3: введення реального виявлення загроз на рівні зовнішніх ресурсів, таких як URL, сховища залежностей, джерела плагінів тощо, щоб зменшити ймовірність проникнення шкідливого контенту чи отруєння ланцюжка постачання.
• Ізоляція активів у ланцюзі L4: для операцій, що включають транзакції у ланцюзі, поєднується аналіз ризиків у ланцюзі та механізм незалежного підпису, що дозволяє Agent створювати транзакції без прямого доступу до приватних ключів, зменшуючи системні ризики, пов’язані з операціями з високовартісними активами.
• L5 Постійний моніторинг та аналіз: забезпечення замкненого циклу безпеки за допомогою аудиту журналів, періодичного безпекового огляду та операційних механізмів — «перед виконанням можна перевірити, під час виконання можна обмежити, після виконання можна проаналізувати».

Косинус зазначив, що ADSS — це не окремий інструмент, а комплексна, стійка та еволюційна система безпеки. Вона спрямована на створення аудитованої та оновлюваної системи безпеки агентів за допомогою систематичних стратегій, постійного аудиту та взаємодії здібностей, не знижуючи значно ефективність розробки та автоматизації, щоб ефективно протистояти постійно змінюються загрозам безпеки в умовах глибокого злиття ШІ та Web3.

Закінчення

Перший форум інновацій та безпеки агентного ШІ зібрав найкращі сили галузі та запропонував перспективні ідеї щодо безпеки AI Agent. Зі зростанням глибини інтеграції агентного ШІ та Web3, виклики безпеки будуть постійно зростати. Як лідер у сфері блокчейн-безпеки, SlowMist продовжуватиме забезпечувати впровадження системного підходу до управління безпекою, створюючи вбудовані здібності до безпеки для AI Agent за допомогою ADSS, відкритих інструментів та практик, щоб допомогти галузі досягти безпечної та стійкої розвитку в хвилі інновацій.