اوپن اے آئی کی سائبر سیکیورٹی شناخت کریپٹو صنعت کے لیے سبق فراہم کرتی ہے

اوپن اے آئی نے 11 مئی کو دی براک، ایک نیا سائبر سیکیورٹی پہل، متعارف کرایا جس کا مقصد حملہ آوروں کے استعمال سے پہلے سافٹ ویئر کی کمزوریوں کو تلاش کرنا، درست ہونے کی تصدیق کرنا اور انہیں درست کرنے میں مدد کرنا ہے۔

کمپنی اس طریقہ کار کو نرم افزار کو “ڈیزائن کے ذریعے مزیدار” بنانے کے طور پر بیان کرتی ہے، جس میں AI کی مدد سے کوڈ ریویو، تھریٹ ماڈلنگ، پیچ تصدیق، اور منابع کی تجزیہ کے ذریعے سیکیورٹی کو تعمیر کے دوران پہلے ہی شامل کیا جاتا ہے۔

کرپٹو کے لیے، جہاں ایک سافٹ ویئر کی خرابی ایک ہی بلاک کے اندر فوری پूंجی کا نقصان کا سبب بن سکتی ہے، فوریت واضح ہے۔

کرپٹو صنعت میں معیاری نمونہ رد عمل پر مبنی ہے، جس میں پری-لانچ آڈٹ، ڈیپلومنٹ کے بعد نگرانی، فنڈز کے منتقل ہونے پر رد عمل، طريقوں پر پوسٹ مارٹم، کمزوریوں کا ازالہ، معاوضہ کے لیے مذاکرات، اور حکمرانی کی بحث شamil ہوتی ہے۔

اس ماڈل کی کمزوری یہ ہے کہ خرابی صرف اس وقت سامنے آتی ہے جب پہلے ہی سرمایہ منتقل ہو چکا ہو۔ نصب کرنے اور استعمال کے درمیان کا وقفہ وہ وقت ہوتا ہے جب خطرہ سب سے زیادہ ہوتا ہے اور دفاع سب سے کمزور ہوتے ہیں۔

TRM Labs' 2026 کرپٹو کرائم رپورٹ میں ظاہر ہوا کہ غیر قانونی طرفین نے 2025 میں تقریباً 150 ہیکس اور ایکسپلوٹس کے ذریعے 2.87 ارب ڈالر چھین لیے۔ متاثرہ کلیدوں، والٹ انفراسٹرکچر، مخصوص رسائی، فرنٹ-انڈ سطحوں اور کنٹرول پلینز کے ذریعے انفراسٹرکچر حملوں نے اس کل مجموعے میں سے 2.2 ارب ڈالر کا حصہ تشکیل دیا۔

کوڈ کے استعمال سے نکلنے والی خامیاں، جو آڈٹ کی سب سے زیادہ براہ راست سامنا کی جانے والی شریح ہیں، نے 350 ملین امریکی ڈالر، یعنی 12.1 فیصد کا اضافہ کیا۔

ہیکن کا پہلے تین ماہ کا ڈیٹا یہ تصدیق کرتا ہے کہ آڈٹ کے مرکزی تحفظ کے اصل حدود ہیں، کیونکہ ویب3 نے ایک تین ماہ میں 482 ملین امریکی ڈالر کا نقصان 44 واقعات میں برداشت کیا۔ ان واقعات میں سے چھ میں آڈٹ شدہ پروٹوکولز شامل تھے، جن میں ایک ایسا بھی تھا جسے 18 الگ الگ آڈٹس مل چکے تھے۔

282 ملین امریکی ڈالر کی چوری میں کوڈ کے استعمال کے بغیر، حملہ آور نے معاہدے کے لیئر کو بالکل دور کر دیا اور اس کے ارد گرد کی عملی اور سماجی بنیادی ڈھانچے کو متاثر کر لیا۔

CertiK کا تازہ ترین ڈھانچہ حملہ رپورٹ نے نوٹ کیا کہ جنوری سے اپریل 2026 کے درمیان عالمی سطح پر 34 تصدیق شدہ جسمانی زبردستی کے واقعات پیش آئے، جو 2025 کے اسی دور کے مقابلے میں 41 فیصد زیادہ ہیں، اور ان چار مہینوں میں تقریباً 101 ملین امریکی ڈالر کے نقصان کا اندازہ لگایا گیا۔

اس رجحان کے مطابق، سرٹیک کا تخمینہ ہے کہ 2026 کا خاتمہ تقریباً 130 واقعات کے ساتھ ہوگا۔ حملے کا ذریعہ اب وہ شخص ہے جو کلید کے مالک ہے، متعدد دستخط والے میں دستخط کرنے والا، اور کلاؤڈ کنسول تک رسائی رکھنے والا انجینئر۔

تین ڈیٹا سیٹس مل کر ایک خطرہ کی وضاحت کرتے ہیں جو اسمارٹ کنٹریکٹ سے کافی اوپر منتقل ہو چکا ہے۔

کرپٹو میں ڈےبریک کا منطق، پروٹوکول کے زندگی کے دوران لگاتار چلنے والی سیکورٹی پوزیشن کی طرف اشارہ کرتا ہے۔

اوپن اے آئی کہتی ہے کہ ای آئی وہ کوڈ بیس کے پورے حصوں کے درمیان استدلال کر سکتی ہے، نرم خامیوں کی شناخت کر سکتی ہے، تصدیق کر سکتی ہے کہ فکس اصل مسئلے کو حل کرتے ہیں، اور اس صلاحیت کو روزمرہ کے بنا اور ڈپلوی ورک فلو میں ایک مستقل فنکشن کے طور پر شامل کر سکتی ہے۔

کرپٹو کے لیے، یہ پورے اسٹیک پر مخصوص عملی ضروریات کو ظاہر کرتا ہے جہاں نقصانات اب مرکوز ہیں۔

AI کی مدد سے محفوظ کوڈ جائزہ، ڈیپلومنٹ سے پہلے اور اس کے دوران چل رہا ہوگا، جس سے منطقی خطاوں، ایکسس کنٹرول کے خالی جگہوں اور غیر محفوظ فرضیات کو مین نیٹ تک پہنچنے سے روکا جا سکتا ہے۔ پروٹوکول اپگریڈز کے دوران مسلسل خطرہ ماڈلنگ سے ہر آرکیٹیکچر اپڈیٹ، آرکل ڈیپینڈنسی، برج ڈیزائن یا گورننس میکانزم کے ذریعے نئے حملے کے امکانات کا جائزہ لیا جائے گا۔

ڈیپینڈنسی اور اوریکل کا خطرہ تجزیہ وہ وقت نشان زد کرے گا جب کوئی تیسری طرف کی اندراج پروٹوکول کے سیکورٹی ماڈل کو کمزور کر دے جو اس پر انحصار کرتا ہے۔

حکومتی اجراء سے پہلے پیچ تصدیق سے تصدیق ہوگی کہ پیش کیے گئے اصلاحات کمزوری کو ختم کرتی ہیں اور اصلاحات خود مخالف حالات کے تحت بھی محفوظ ہیں۔

مُلتی سِگس، سائنرز، فرِنٹ-اینڈ ڈیپلوyments، اور کسٹڈی سسٹمز کے لیے خصوصی رسائی کا جائزہ معیاری آپریٹنگ پروسیجرز کے حصے کے طور پر منظم طور پر چلایا جائے گا۔ غیر معمولی سرگرمیوں کو فنڈز کے باہر جانے سے پہلے پکڑنے والی نگرانی، تشخیص اور جواب کے درمیان کا وقت کم کر دے گی۔

وسیع آڈٹ ریکارڈ والے کریپٹو پروٹوکولز کے پاس ابھی بھی غیر منظور فرنٹ-اینڈ ڈیپلویمنٹس یا غلط ترتیب دیے گئے ملٹی-سگنیچر ہو سکتے ہیں، جس سے وہ ایک آپریشنل بلو اسپاٹ میں چھوٹ جاتے ہیں جہاں 2025 کے سب سے بڑے نقصانات ہوئے۔

اوپن اے آئی نے کہا کہ برے افراد وسیع سائبر صلاحیت کا غلط استعمال کر سکتے ہیں، اور ڈے براک اپنے دفاعی ٹولز کو تصدیق، محدود رسائی، حفاظتی اقدامات، غلط استعمال کی نگرانی اور مضبوط اکاؤنٹ کنٹرولز کے ساتھ جوڑتا ہے۔

وہی AI صلاحیتیں جو دفاعی افراد کو کوڈ کا جائزہ لینے، پیچھ کی تصدیق کرنے اور خطرات کا ماڈل بنانے میں مدد کرتی ہیں، حملہ آوروں کو فشنگ کو تیز کرنے، قانوں کے جعلی فرانت اینڈز تخلیق کرنے، قانونی پروٹوکولز کو کلون کرنے، قابل استعمال کمزوریوں کے لیے منابع کے سلسلوں کا تجزیہ کرنے اور سوشل انجینئرنگ کو کسٹوڈینز، سائنرز اور سپورٹ چینلز پر بڑھانے میں مدد کر سکتی ہیں۔

ہیکن کے ڈیٹا نے فشنگ کو سب سے اہم حملوں میں سے ایک کے طور پر درج کیا، اور سرٹیک کے ڈیٹا نے جسمانی زبردستی پر اٹھائے گئے حملوں کو ظاہر کیا جس میں حملہ آورین براہ راست افراد کو ٹارگٹ کرتے ہیں۔ دونوں شرحوں میں سماجی اور عملی دھوکہ دہی شامل ہے، اور دونوں میں AI بڑے پیمانے پر کام کرتا ہے۔

بُل کیس یہ ہے کہ "ڈیزائن کے مطابق لچکدار" ایک مقابلہ کی معیار بن جائے۔

پروٹوکولز مسلسل کوڈ جائزہ، سائنر پالیسی کی جانچ، منابع کی جانچ، فرانت اینڈ کی مکملیت کی نگرانی اور حکومتی اجرائی کی تصدیق کو پروٹوکول کے دوران معیاری ضروریات کے طور پر سمجھنے لگتے ہیں۔

اس ماڈل میں، آڈٹ سرٹیفیکیشن کی جگہ دستخط کرنے والوں، اپ گریڈز، منحصرہ، اور ایکسس کنٹرولز کے مکمل آپریشنل اسٹیک کی ہوتی ہے جو اجراء سے پہلے مضبوطی ثابت کرتے ہیں۔

اوپن اے آئی کا اپنا طریقہ، جس میں زیادہ صلاحیت والے ٹولز کو مضبوط تصدیق اور عملی کنٹرولز کے ساتھ جوڑا جاتا ہے، اس سمت کے لیے ایک بیرونی ماڈل ہے۔

TRM کے ڈیٹا کے مطابق، اگر 76% نقصانات بنیادی ڈھانچے سے آتے ہیں، تو اسی جگہ اگلی سیکورٹی معیار کام کرنا چاہیے۔ وہ پروٹوکول جو مستقل عملی استحکام کا ثبوت پیش کر سکیں، بیمہ دہندگان، ریگولیٹرز اور ادارتی الائوکیٹرز کے سامنے صرف آڈٹ سرٹیفکیٹس کا ڈھیر پیش کرنے والوں کے مقابلے میں اپنا کیس آسانی سے قائم کر سکتے ہیں۔

بیئر کیس یہ ہے کہ AI کی مدد سے سیکیورٹی صرف ایک مارکیٹنگ لیئر رہے گی۔

پروٹوکولز اپنے دستاویزات میں AI سپورٹڈ سیکیورٹی زبان شامل کرتے ہیں، اور بنیادی عملی ماڈل پر لانچ سے پہلے آڈٹس اور post-exploit post-mortems میں مستقل رہتا ہے۔

حملہ آور وہی ٹولز استعمال کرتے ہیں جن سے فشنگ کو بڑھایا جا سکتا ہے، فرانت اینڈز کو تیزی سے کلون کیا جا سکتا ہے، اور سپورٹ چینلز کو زیادہ قانع کن انداز میں متاثر کیا جا سکتا ہے، جبکہ دفاعی افراد اپنے ورک فلوز کو بہتر بنانے میں پیچھے رہ جاتے ہیں۔

ہیکن کی دریافت کہ ایک حملہ آور نے کسی بھی کنٹریکٹ کوڈ کی ایک لائن کو چھونے کے بغیر 282 ملین امریکی ڈالر چھین لیے، یہ ظاہر کرتی ہے کہ حملے کا سطح کنٹریکٹ لیئر سے آگے بھی پھیلا ہوا ہے، اور صنعت کا موجودہ سیکورٹی فریم ورک صرف اس کا ایک حصہ ہی کور کرتا ہے۔

کرپٹو صنعت نے اپنی سیکورٹی ماڈل کو ایکسپلوٹ کے بعد کے جواب اور وقت کے ایک نقطے پر جائزہ پر مرکوز کیا ہے، اور حملے کا سطح اب اس فریم سے کافی آگے بڑھ چکا ہے۔

پوسٹ اوپن اے آئی کا نیا سائبر سیکیورٹی کا اقدام کرپٹو کے لیے ایک سبق رکھتا ہے: ہیک کا انتظار کرنا بند کر دیں پہلے CryptoSlate پر ظاہر ہوئی۔