Команда Bitcoin Red Team розширила свій аудит безпеки за допомогою ШІ на 501 пов'язаний з Біткоїном проєкт з відкритим вихідним кодом, зафіксувавши 7 958 виявлених недоліків у своєму останньому детальному підрахунку після 108 годин роботи.
Калле, псевдонімний розробник Біткоїна, залучений до цієї роботи, 13 серпня заявив, що команда наразі завершила базове сканування майже всієї екосистеми Біткоїна з відкритим вихідним кодом, і більша частина легкодоступної поверхні вразливостей вже була досліджена.
Зазначені цифри потребують важливого уточнення. 7 958 виявлених недоліків не є 7 958 підтвердженими експлуатованими вразливостями. Команда класифікувала 1 280 як високі або критичні, тоді як 24,7% усіх недоліків були динамічно відтворені, а 29,4% були повідомлені розробникам на 108-й годині роботи. Перевірка розробниками та ручне відтворення залишаються частиною процесу верифікації.
Калле зазначив, що два тижні роботи з Kimi K3 від Moonshot AI показали, як швидко сучасні моделі можуть аналізувати роки накопиченого коду з відкритим вихідним кодом. Він описав ситуацію як «масштабне зіткнення» між старішим програмним забезпеченням та передовим ШІ, додавши: «все зламано, біткоїн горить». Це формулювання є його характеристикою і не повинно тлумачитися як доказ того, що Bitcoin Core або кожен проєкт Біткоїна скомпрометований.
Незалежне тестування підтверджує більш вузький аспект того, що Kimi K3 має значні можливості в галузі кібербезпеки. Спільна оцінка Британського інституту безпеки ШІ та Американського CAISI виявила, що модель перевершила GLM-5.2 у тестуванні розробки експлойтів, але залишалася позаду найсильніших закритих моделей США. Kimi K3 набрала 32% на ExploitBench і досягла довільного виконання коду на нулі з 41 зразка в цьому тесті.
Попереднє сканування Bitcoin Red Team виявило 4 962 потенційні проблеми у 390 проєктах Біткоїна, включаючи 720, які тоді були класифіковані як високі або критичні. Новіший підрахунок показує, що перевірка значно розширилася після першої хвилі.
Кампанія вийшла за межі автоматичного сканування. В офіційному релізі BTCPay Server на GitHub було зазначено, що дослідники Bitcoin Red Team Бруно Гарсія та Бен Карман повідомили про критичну вразливість, яка вже експлуатувалася. Версія 2.4.2 виправила обхід двофакторної автентифікації, що впливав на базову автентифікацію Greenfield.
Пізніше BTCPay підтвердив, що зловмисники отримали облікові дані LND admin macaroon з уражених інсталяцій і використовували їх для доступу до підключених Lightning гаманців. Проєкт заявив, що опрацьовує додаткові звіти від Bitcoin Red Team, Project Loupe, Magic Grants та незалежних дослідників, одночасно посилюючи свої процеси сканування та перевірки.
14 серпня BTCPay оголосив про випуск ще одного реліз-кандидата, орієнтованого на безпеку, v2.4.3-rc4, що усуває вразливості, про які повідомили ці групи. У супутньому матеріалі прихильники BTCPay підтримали винагороду за відновлення після попереднього експлойту, а фонд пообіцяв виділити 0,21 BTC до фонду Bitcoin Red Team.
Ці виправлення є конкретним доказом того, що супровідники перевіряють принаймні деякі серйозні звіти Red Team. Вони не перевіряють кожен елемент у наборі даних з 7 958 виявлених недоліків. Аудити за допомогою ШІ можуть створювати хибні спрацювання, дубльовані звіти та оцінки серйозності, які змінюються після ручного розслідування, що робить верифікацію центральною для інтерпретації цих цифр.
Калле стверджував, що до проєктів, що не підтримуються, тепер слід ставитися з більшою обережністю, оскільки ШІ значно знизив вартість виявлення та тестування вразливостей. Він також зазначив, що час реагування стає корисним показником стану проєкту, і що супровідники все частіше потребуватимуть власних постійних конвеєрів аудиту ШІ, а не випадкових зовнішніх перевірок. Це висновки Калле з кампанії, а не універсальні правила безпеки.
Ширша екосистема вже рухається в цьому напрямку. OpenSats створив прискорений шлях грантів для red-teaming, частково орієнтований на відшкодування дослідникам витрат на LLM. Понад 40 організацій Біткоїна та цифрових активів також звернулися до провідних лабораторій ШІ з проханням надати перевіреним захисникам відкритого коду контрольований доступ до передових моделей.
Як повідомляє crypto.news, галузева коаліція попередила, що розробники Біткоїна можуть відстати від зловмисників без доступу до передових моделей ШІ. Запит не передбачає необмеженого доступу. Він пропонує перевірених дослідників, безпечні середовища, достатні обчислювальні потужності та прямі канали зв'язку з командами безпеки ШІ.
Наступний етап, ймовірно, буде розвиватися повільніше, ніж початкове сканування. Автоматичне виявлення може швидко масштабуватися, тоді як відтворення, відповідальне розкриття інформації, розробка патчів та регресійне тестування вимагають більше часу. Проєкти, які отримують звіти, повинні визначити, які виявлені недоліки є експлуатованими, наскільки терміново користувачам потрібні оновлення та коли технічні деталі можуть безпечно стати загальнодоступними.
Для користувачів Біткоїна висновок є вужчим, ніж можуть свідчити найбільші цифри. Red Team повідомила про велику кількість потенційних вразливостей у програмному забезпеченні, пов'язаному з Біткоїном, але це не є доказом того, що базовий консенсусний протокол Біткоїна вийшов з ладу. Безпосереднє занепокоєння щодо безпеки стосується гаманців, інфраструктури Lightning, платіжного програмного забезпечення та бібліотек, що містять старий або недостатньо перевірений код.
BTC
