우리는 $199에 AI smart contract auditor를 만들었습니다 — 방법은 다음과 같습니다

Source: Dev.to

Introduction

스마트 계약 보안은 수십억 달러 규모의 문제입니다. 해킹, 악용, 그리고 러그 풀(rug pull)로 인해 Web3 생태계는 매년 수억 달러를 잃고 있으며, 그 대부분은 신중한 감사를 통해 잡을 수 있었던 버그에서 비롯됩니다. 최고 수준의 전문 감사는 $20,000에서 $100,000 이상이 들 수 있어 인디 개발자와 소규모 팀에게는 접근하기 어렵습니다.

우리는 이를 바꾸기로 했습니다. 아이오와 주 보이시를 기반으로 하는 Snake River AI 팀은 감사당 $199라는 고정 가격으로 완전 자동화된 스마트 계약 감사를 구축했습니다. 아래는 우리가 어떻게 구현했는지와 그 과정에서 배운 점을 정리한 개요입니다.

Infrastructure Choices

사람들은 AI 인프라라 하면 실리콘밸리 서버 팜이나 AWS 데이터 센터를 떠올립니다. 우리는 다른 길을 선택했습니다:

• 아이오와는 전국에서 에너지 비용이 가장 낮은 편에 속합니다.
• 주의 재생 가능 에너지(수력 및 풍력) 투자 덕분에 GPU 작업을 지속 가능하게 운영하기에 매력적이었습니다.
• 트레저 밸리(Treasure Valley)에 자체 로컬 추론 클러스터를 구축해 데이터를 온프레미스에 보관하고, 지연 시간을 낮추며, 비용을 예측 가능하게 유지했습니다.

로컬 AI 인프라를 운영함으로써 클라우드 제공업체에 토큰당 API 비용을 지불하지 않아도 되었고, 이것이 $199 감사를 경제적으로 가능하게 만든 핵심 요소였습니다.

Auditing Pipeline

개발자가 계약을 제출하면 우리의 파이프라인은 다음과 같이 진행됩니다:

1. Parse Solidity 소스 코드를 파싱하고 추상 구문 트리(AST)를 생성합니다.
2. Static analysis 일반적인 문제를 탐지합니다: 재진입(reentrancy), 정수 오버플로, 검증되지 않은 외부 호출, 부적절한 접근 제어 등.
3. LLM reasoning – 로컬에 호스팅된 LLM에 AST와 소스를 전달해 정적 도구가 놓치는 논리 수준의 취약점을 식별합니다.
4. Cross‑reference 발견 사항을 알려진 CVE와 DeFi 악용 패턴 데이터베이스와 교차 검증합니다.
5. Generate report – 심각도 등급(Critical / High / Medium / Low / Informational)과 일반 언어로 된 해결 방안을 포함한 구조화된 보고서를 생성합니다.

전체 파이프라인은 대부분의 계약에 대해 90초 이하에 완료됩니다.

Tech Stack

• Models: 아이오와 GPU 클러스터에서 vLLM으로 제공되는 파인‑튜닝된 Mistral 및 CodeLlama 변형 모델.
• Static analysis: Slither + 커스텀 Semgrep 규칙.
• Backend: FastAPI (Python), PostgreSQL, 작업 큐를 위한 Redis.
• Frontend: 깔끔하고 개발자 친화적인 UI를 갖춘 Next.js.
• Infrastructure: 아이오와의 베어‑메탈 서버, Ansible로 관리.

Beta Results

• ERC‑20 토큰, NFT 민팅 계약, DeFi 볼트 등 300개 이상의 계약을 처리했습니다.
• 모델이 테스트 계약에 삽입된 알려진 취약점의 **91 %**를 정확히 탐지했습니다.
• 개발자들이 놓친 실제 프로덕션 코드베이스의 여러 문제를 발견했습니다.

Case study: 작은 DeFi 팀이 스테이킹 계약에서 중요한 재진입 취약점을 출시 전에 발견했습니다. $199 감사 덕분에 수백만 달러 규모의 악용을 방지할 수 있었습니다.

How to Use the Auditor

감사 서비스는 audit.snakeriverai.com 에서 이용할 수 있습니다. 계약 주소를 붙여넣거나 Solidity 소스를 업로드하면 몇 분 안에 전체 보고서를 받아볼 수 있습니다.

Future Plans

• Vyper 계약 지원 확대.
• GitHub Actions와의 통합을 구축해 CI/CD 파이프라인에서 자동으로 감사를 실행할 수 있게 함.
• 사용자 피드백과 새로운 취약점 데이터를 기반으로 지속적인 모델 개선 진행.

Call to Action

보안은 사치가 되어서는 안 됩니다. 스마트 계약을 배포한다면 한 번 사용해 보고, 의견을 댓글에 남겨 주세요.