Pinalawak ng Bitcoin Red Team ang pagsusuri nito sa seguridad na tinulungan ng AI sa 501 proyektong open-source na may kaugnayan sa Bitcoin, na nagtala ng 7,958 natuklasan sa pinakabagong detalyadong tala pagkatapos ng 108 oras ng trabaho.
Sinabi ni Calle, isang pseudonymous na developer ng Bitcoin na kasama sa pagsisikap, noong Agosto 13 na natapos na ng team ang isang batayang pag-scan sa halos buong open-source ecosystem ng Bitcoin at marami sa mga mas madaling matagpuang kahinaan ay nasuri na.
Ang mga headline na numero ay nangangailangan ng mahalagang paglilinaw. Ang 7,958 natuklasan ay hindi kumakatawan sa 7,958 kumpirmadong exploitable na kahinaan. Inuri ng team ang 1,280 bilang mataas o kritikal, habang 24.7% ng lahat ng natuklasan ay na-reproduce na nang dinamiko at 29.4% ay naiulat na sa mga maintainer sa ika-108 oras. Ang pagsusuri ng maintainer at pag-reproduce ng tao ay nananatiling bahagi ng proseso ng beripikasyon.
Sinabi ni Calle na dalawang linggo ng pagtatrabaho sa Kimi K3 ng Moonshot AI ang naglantad kung gaano kabilis masusuri ng mga modernong modelo ang mga taon ng naipon na open-source code. Inilarawan niya ang sitwasyon bilang isang “malaking banggaan” sa pagitan ng mas lumang software at frontier AI, idinagdag na “lahat ay sira, nasusunog ang bitcoin.” Ang pahayag ay kanyang paglalarawan at hindi dapat basahin bilang ebidensya na ang Bitcoin Core o bawat proyekto ng Bitcoin ay nakompromiso.
Sinusuportahan ng independiyenteng pagsubok ang mas limitadong punto na may makabuluhang kakayahan sa cybersecurity si Kimi K3. Natuklasan ng pinagsamang pagtatasa ng U.K. AI Security Institute at U.S. CAISI na mas mahusay ang modelo kaysa sa GLM-5.2 sa pagsubok ng pagbuo ng exploit ngunit nanatili itong nahuhuli sa pinakamalakas na saradong modelo ng U.S. Nakakuha si Kimi K3 ng 32% sa ExploitBench at umabot sa arbitrary code execution sa wala sa 41 na sample sa pagsubok na iyon.
Natuklasan ng naunang paghahanap ng Bitcoin Red Team ang 4,962 potensyal na isyu sa 390 proyekto ng Bitcoin, kabilang ang 720 na inuri noon bilang mataas o kritikal. Ipinapakita ng mas bagong tala na kapansin-pansing lumawak ang pagsusuri pagkatapos ng unang yugto.
Lumampas na ang kampanya sa automated scanning. Kinilala ng opisyal na paglabas ng BTCPay Server sa GitHub ang mga mananaliksik ng Bitcoin Red Team na sina Bruno Garcia at Ben Carman sa pag-uulat ng isang kritikal na kahinaan na pinagsasamantalahan na. Inayos ng Bersyon 2.4.2 ang isang bypass sa two-factor authentication na nakaaapekto sa Greenfield Basic Authentication.
Kinumpirma kalaunan ng BTCPay na nakuha ng mga umaatake ang LND admin macaroon credentials mula sa mga apektadong instalasyon at ginamit ang mga ito upang ma-access ang konektadong mga Lightning wallet. Sinabi ng proyekto na pinoproseso nito ang karagdagang mga ulat mula sa Bitcoin Red Team, Project Loupe, Magic Grants at mga independiyenteng mananaliksik habang pinapalakas ang mga proseso nito sa pag-scan at pagsusuri.
Noong Agosto 14, inihayag ng BTCPay ang isa pang release candidate na nakatuon sa seguridad, v2.4.3-rc4, na tumutugon sa mga kahinaan na iniulat ng mga grupong iyon. Sa kaugnay na balita, sinuportahan ng mga tagasuporta ng BTCPay ang isang recovery bounty pagkatapos ng naunang exploit at nangako ang pundasyon ng 0.21 BTC sa pondo ng Bitcoin Red Team.
Ang mga pag-aayos na iyon ay nagbibigay ng konkretong ebidensya na pinapatunayan ng mga maintainer ang hindi bababa sa ilang seryosong ulat ng Red Team. Hindi nila pinapatunayan ang bawat item sa 7,958-finding dataset. Ang mga AI-assisted audit ay maaaring magdulot ng mga false positive, duplicate na ulat at pagtatasa ng kalubhaan na nagbabago pagkatapos ng manu-manong imbestigasyon, na ginagawang sentral ang beripikasyon sa pagpapakahulugan ng mga numero.
Nagtalo si Calle na ang mga proyektong hindi na inaalagaan ay dapat ngayong tratuhin nang mas may pag-iingat dahil lubhang binaba ng AI ang gastos sa paghahanap at pagsubok ng mga kahinaan. Sinabi rin niya na ang oras ng pagtugon ay nagiging kapaki-pakinabang na indikasyon ng kalusugan ng proyekto at na ang mga maintainer ay lalong mangangailangan ng sarili nilang patuloy na AI audit pipelines sa halip na paminsan-minsang panlabas na pagsusuri. Iyan ang mga konklusyon ni Calle mula sa kampanya sa halip na mga unibersal na panuntunan sa seguridad.
Ang mas malawak na ecosystem ay kumikilos na sa direksyong iyon. Gumawa ang OpenSats ng isang fast-tracked na ruta ng grant para sa red-teaming na nakatuon, sa bahagi, sa pagbabayad sa mga mananaliksik para sa mga gastos ng LLM. Mahigit 40 organisasyon ng Bitcoin at digital-asset ang humiling din sa mga nangungunang laboratoryo ng AI na bigyan ng kontroladong access ang mga sinuring open-source defender sa mga frontier model.
Gaya ng iniulat ng crypto.news, nagbabala ang koalisyon ng industriya na maaaring mahuli ang mga developer ng Bitcoin sa mga umaatake nang walang access sa mga advanced na modelo ng AI. Hindi humihingi ang kahilingan ng walang limitasyong access. Iminumungkahi nito ang mga sinuring mananaliksik, ligtas na kapaligiran, sapat na compute at direktang channel ng komunikasyon sa mga AI security team.
Ang susunod na yugto ay malamang na mas mabagal kaysa sa paunang paghahanap. Mabilis na makakapagpalawak ang awtomatikong pagtuklas, habang ang pag-reproduce, responsableng paglalabas ng impormasyon, pagbuo ng patch at pagsubok ng regresyon ay nangangailangan ng mas maraming oras. Kailangang tukuyin ng mga proyektong nakakatanggap ng mga ulat kung aling mga natuklasan ang maaaring samantalahin, gaano kabilis kailangan ng mga user ang mga update at kailan ligtas na mailalabas sa publiko ang mga teknikal na detalye.
Para sa mga gumagamit ng Bitcoin, ang pangunahing punto ay mas limitado kaysa sa iminumungkahi ng pinakamalaking numero. Nag-ulat ang Red Team ng malaking dami ng potensyal na kahinaan sa mga software na may kaugnayan sa Bitcoin, hindi ebidensya na nabigo ang base consensus protocol ng Bitcoin. Nakatuon ang agarang alalahanin sa seguridad sa mga wallet, imprastraktura ng Lightning, software sa pagbabayad at mga library na may dalang mas lumang o bahagyang nasuring code.
BTC