ビットコイン (BTC) の開発者らは、AIを用いたコード監査でわずか24時間強のあいだに390プロジェクトから計4,962件の問題が指摘され、そのうち85件が「クリティカル（致命的）」な脆弱性だったと報告した。
重要ポイント
- 監査では致命的85件、高リスク635件を含む脆弱性を検出。
- ボランティアによる作業ペースは、開発者1人あたり1時間に致命的バグ1件の発見ペース。
- 計算資源コストは1日あたり約1万ドルに達している。
- AIにより「発見コスト」が激減する一方で、検証と報告経路の整備が新たなボトルネックに。
ビットコイン「バグ監査」の全容
この監査には16人の開発者が参加し、ウォレット、暗号ライブラリ、基盤インフラなどに対してAIモデルを集中的に適用した。匿名開発者でありCashuエキャッシュ・プロトコルの創設者でもある Calle によると、グループは390プロジェクトにわたり4,962件の指摘を提出したという（投稿参照）。
Calleは現状を「極めて深刻だ」と表現。プロジェクト側は致命的な報告の多くを素早く確認し、研究者らはローカルのテスト環境でPoC（概念実証）を再現したうえで、詳細情報をメンテナーに共有している。監査では、負担をさらに増やすかたちで高リスク635件も新たに特定されている。
作業ペースは異例の速さで、参加者は「1人あたり1時間に致命的バグ1件」という水準で検出を続けている。これを支える計算資源のコストは、1日あたり約1万ドルに達している。
ただし、この「量」が混乱も招いている。Calleは、ボランティアが有効な指摘と、質の低いAI出力とをふるい分ける必要があると説明。それでも、攻撃者側に先手を取られないよう、またメンテナー側が低コストで検証できることから、グループは報告を迅速に公開しているという。
関連記事: Metaの「Muse Code」、100万トークンあたり1.25ドルでAnthropicやOpenAIを価格面で圧迫
Calleが鳴らす「セキュリティ警鐘」
自動監査環境を構築している開発者 Rob Hamilton は、いまや「脆弱性を見つけること自体は、もはや最大のボトルネックではない」と指摘する。最大の難所は、発見された問題を適切な担当者に届ける「ルーティング（経路付け）」だという。
「一番難しいのは、正しい情報を正しい人たちにどう届けるか、その調整だ」とHamiltonは述べ、現在の仕組みは「まだ初期バージョン」にすぎないと位置づける。
この変化は、AIが既存ソフトウェアに潜む古いバグを発見するための時間とコストを大幅に引き下げていることを意味する。Anthropic は4月、制限付きモデルが27年前から存在する広範に使われたソフトウェアの脆弱性を突き止めたと発表。かかった費用は50ドル未満だった。
Google も5月、脅威インテリジェンスチームがAIモデルを用いて特定した脆弱性をめぐり、サイバー犯罪グループが攻撃準備を進めていた事例を報告している。攻撃者側も同レベルのツールをすでに手にしているという現実が浮かび上がる。
今回の大規模監査は、7月30日から発生したColdcardウォレットの不正流出事案を受けた動きでもある。攻撃者は物理デバイスに触れることなく、ファームウェアの欠陥を突くことで最大1億1,400万ドル相当が盗まれたとされる。根本原因となったバグは、2021年から潜伏していた。
