ビットコイン (BTC) の開発コミュニティが実施したAI支援型のコード監査で、 わずか24時間あまりの作業から390プロジェクトにわたり4,962件の脆弱性が洗い出され、そのうち85件が 「クリティカル（致命的）」と判定された。
主なポイント
- 監査で判明したのは、致命的な問題85件と高リスクの問題635件。
- ボランティア監査チームは、開発者1人あたり1時間に約1件の重大バグを発見するペース。計算資源のコストは1日約1万ドル。
- 開発者側は、AIにより脆弱性発見コストが下がった結果、「発見」よりも「検証と適切な担当者への振り分け」が 最大の課題になっていると指摘。
ビットコイン・バグ監査の実態
今回の集中的なレビューには開発者16人が参加し、ウォレットや暗号ライブラリ、その他インフラ系ソフトウェアを対象に AIモデルを投入した。ビットコイン型eキャッシュプロトコル「Cashu」の開発者として知られる匿名開発者Calleによれば、 この取り組みで390プロジェクトに対し4,962件の指摘が提出されたという (出典)。
Calleは現状を「極めて深刻だ」と表現。各プロジェクトの運営者は、クリティカルとされた報告の多くを迅速に確認しており、 研究者らはローカル環境上で実際に悪用可能なPoC（概念実証）を再現したうえで、詳細をメンテナに共有している。 今回の監査では、クリティカルとは別に高リスクの脆弱性が635件見つかっており、ボランティアチームと各プロジェクト運営側の 対応負担は一段と重くなっている。
発見ペースも異例だ。チームは「開発者1人あたり、1時間にクリティカルバグ1件前後」を見つける勢いで作業しており、 必要な計算資源のコストは1日あたり約1万ドルに達している。
こうした“情報の洪水”は混乱も生んでいる。Calleによれば、ボランティア側は有効な指摘と質の低い出力を仕分ける必要がある一方、 報告はあえて早期公開の方針だという。というのも、メンテナは比較的低コストで報告内容を検証できるうえ、 同じ脆弱性を攻撃者側が先に特定してしまうリスクがあるためだ。
関連記事: メタの「Muse Code」、100万トークンあたり1.25ドルでAnthropicとOpenAIを価格攻勢
Calleが鳴らすセキュリティ上の警鐘
自動監査環境の構築を進めている開発者Rob Hamiltonは、いまや「脆弱性を見つけること自体はボトルネックではない」と話す。 代わって最大の難所となっているのは、指摘内容を「誰に、どう振り分けるか」という“ルーティング”だ。
「一番難しいのは、適切な人のところにうまく情報を届ける調整だ」とHamiltonは述べ、現在運用している仕組みは あくまで“バージョン1”に過ぎないと説明する。
この構造変化は、AIが既存ソフトウェアの脆弱性発見に要する時間とコストを劇的に押し下げていることを物語る。 Anthropicは4月、制限付きモデルが27年前から存在していた既知ソフトの脆弱性を特定し、そのコストは50ドル未満だったと明かした。
Googleも5月、同社の脅威インテリジェンスチームが、AIモデルにより特定された脆弱性を起点とした攻撃準備を進める 犯罪グループを発見したと報告している。攻撃側も同等のAIツールを手にしている、という現実を示す事例だ。
今回の監査は、7月30日から発生しているColdcardウォレットの流出事件を背景に行われた。攻撃者は、 物理デバイスにアクセスすることなく、脆弱なファームウェアを突いて最大1億1,400万ドル相当を盗み取ったとされる。 根本原因となったバグは2021年から潜伏していた。
