代碼總是有漏洞。過去那些深層的漏洞之所以隱藏不露，是因為發現它們需要稀缺且昂貴的人類專業知識——代碼是否乾淨與此無關。 這項成本正在急劇下降。在 OpenAI 和 Paradigm 的 EVMbench 上，六個月前最優秀的模型僅能利用不到 20% 的 Code4rena 關鍵漏洞；而現在 GPT-5.3-Codex 已能發現 70%。 但請留意第二個數字：它在完整代碼庫中的召回率仍僅約 45%。AI 擅長在漏洞被標示後迅速突破，卻不擅長判斷在整個協議中，哪一個漏洞才是真正關鍵的。前者是體力活，後者才是判斷力。 這在鏈上尤為重要，因為沒有「撤銷」按鈕。被駭的銀行可以凍結並回滾交易；但在鏈上，資金一旦轉移，就無法乾淨地修復——那將直接違背去中心化的本質。 而 2026 年揭示了資金真正流失之處。到年中為止，DeFi 已損失超過 7.5 億美元，其中幾乎沒有任何是 AI 發現的代碼漏洞。Kelp DAO 損失 2.92 億美元——並非代碼漏洞，而是驗證者被設為 1-of-1，並接收了偽造資料，而所有交易看起來都合法。Drift 的 2.85 億美元損失源於多重簽名被社交工程攻破。StablR 則是鑄幣密鑰過度集中。 這些都不是你能從代碼中讀出來的問題。你必須透過理解協議本身來發現：權限是否過於寬泛、橋樑驗證器是否過於脆弱、或acles 依賴是否合理、攻擊者從每條路徑實際能獲利多少。AI 能指出上百行可疑代碼，但哪一行值得花數月時間進行社交工程去觸發——這必須由人類判斷。 在這種情況下，審計被分為兩個層級。清單式審計——逐行掃描已知模式——AI 幾小時內就能完成，而這一層級正快速貶值。真正理解協議經濟結構、信任假設與真實攻擊路徑的人，變得越來越稀少且昂貴。當發現漏洞的成本變低時，這種判斷力才真正稀缺，而稀缺性決定價格。 下一個週期中值得付高薪聘請的安全人才，應能審視 AI 發現的結果，並告訴你：這些漏洞是否真能竊取資金。