Page 372 - 《软件学报》2026年第1期

揭晚晴 等: 智能合约与 DeFi 协议漏洞检测技术综述 369

4.1 现存挑战
(1) 多模态特征整合与分析难
智能合约的多模态特征主要包括源代码、字节码、操作码、控制流图、抽象语法树、注释以及交易产生的
数据. 这些特征不仅在结构和语义上存在显著差异, 其相互作用也复杂且多样化. 由于特征间的高度异质性, 传统
的单模态检测方法难以充分捕捉智能合约的全貌, 导致表征能力的局限性. 目前, 多模态特征的整合与分析 [33,49,116]
仍处于初期探索阶段, 研究在深度与广度上均存在局限性, 这在很大程度上限制了对智能合约潜在漏洞的全面分
析与检测.
(2) 缺乏对现实世界漏洞的评估
现实世界智能合约是指实际部署在区块链网络中的智能合约. 相较于实验环境中的合约, 现实世界合约具有
数据分布不平衡、结构复杂、漏洞少见等特点. 由于实际智能合约中漏洞较为稀少、数据样本的不均衡性, 现有
检测工具 [33,34] 在训练过程中往往依赖于较为简单的合约来提高其性能表现, 这可能导致在面对复杂的现实世界合
约时, 出现检测能力不足的情况, 从而难以有效应对实际场景中的潜在漏洞.
(3) 业务逻辑漏洞研究不足且准确率低
业务逻辑漏洞自 2023 年被正式提出以来引起了学术界的关注 [10] , 通常源于合约实现过程中复杂的业务规则
不当设置, 导致攻击者能够通过规避或滥用业务逻辑来获取不正当利益. 由于其隐蔽性强、形式多样, 目前针对该
类漏洞的研究相对较少, 亟需更多深入的探索. 此外, 已有的检测工具 [62] 在面对业务逻辑漏洞时, 表现出较低的检
测准确率, 无法有效应对复杂的业务流程和条件逻辑.
(4) LLM 泛化性与稳定性不足
目前 LLM 作为主要检测引擎和与传统方法结合的方式用于智能合约漏洞检测的方法中, 已展现出一定的潜
力. 然而, 现有研究 [118,119,121] 在不同类型漏洞检测上的泛化性仍显不足, 基础模型在处理大规模和复杂智能合约样
本时推理能力有限 [17,18] , 亟需提升模型的性能和检测精度. 此外, 不同的 LLM 模型以及提示设计对漏洞检测效果
的影响较大 [121] , 导致在面对多样化智能合约场景时, 其检测结果表现出较大的波动性和不稳定性.
(5) 在攻击发生前检测 DeFi 协议层漏洞难度高
由于 DeFi 协议层漏洞通常涉及多个合约和 DeFi 平台, 其交互逻辑复杂, 且伴随 DeFi 协议独有的设计特性,
传统智能合约漏洞检测方法难以应对这类漏洞的复杂性 [25] . 尤其在漏洞利用过程中, 攻击者的行为往往隐藏在庞
大的交易数据中, 通过闪电贷等手段迅速实施攻击、获取利润并转移资产, 进一步增加了检测难度. 因此, 在检测
此类攻击时, 不仅需要具备较快的反应速度, 还需具备高效的检测能力, 以应对瞬息万变的攻击态势.
4.2 未来研究方向
(1) 多模态特征高效融合策略设计
针对智能合约多模态特征的日益复杂化与异构化的挑战, 如何高效融合这些特征以提升漏洞检测的性能至关
重要. 未来研究应着重探索更高效的特征融合方法, 主要从多模态特征整合、多角度特征融合、自适应模型训练
和高精度决策分析这 4 个方面入手. 利用多模态学习、集成学习、多尺度融合和自适应权重等技术, 从不同层次
挖掘特征间的语义和结构关联性, 提高多模态特征的整合与协同分析能力, 从而更全面地捕捉合约中的潜在漏洞特征.
(2) 现实世界漏洞检测方案
当前针对现实世界智能合约漏洞的自动化检测仍然面临诸多挑战, 现有检测工具在处理现实世界漏洞时表现
不足. 未来的研究应着力于开发能够应对复杂合约结构和数据分布不均衡问题的高效检测模型, 使用数据增强技
术、改进特征提取方法或引入生成对抗网络来生成更多模拟现实世界场景的漏洞样本, 从而提高检测工具在实际
场景中的适用性和检测准确率.
(3) 业务逻辑漏洞自动化检测方案
针对智能合约业务逻辑漏洞的检测目前仍处于初步阶段, 现有的自动化检测工具较为匮乏. 未来研究应重点
开发抽象的漏洞模型, 这些模型可以作为检测业务逻辑漏洞的自动化“测试准则”, 从而提高检测效率与准确性. 同
时, 自动化检测工具的开发应加强与区块链生态系统的兼容性, 确保其在多种区块链平台上的适用性, 并通过持续