Bitcoin (BTC) odnotował 85 krytycznych luk bezpieczeństwa po tym, jak wspierany sztuczną inteligencją audyt wygenerował łącznie 4 962 zgłoszenia w 390 projektach w niewiele ponad 24 godziny.
Najważniejsze ustalenia:
- Audyt wykazał 85 krytycznych i 635 wysokiego ryzyka podatności.
- Wolontariusze wykrywają średnio około jednego krytycznego błędu na osobę na godzinę, przy kosztach obliczeniowych sięgających ok. 10 000 USD dziennie.
- Według deweloperów głównym wyzwaniem stała się weryfikacja i przekazywanie zgłoszeń, a nie samo wykrywanie, ponieważ AI znacząco obniża koszt znajdowania luk.
Bitcoin Bug Audit
Szesnastu deweloperów wzięło udział w skoordynowanym przeglądzie, kierując modele AI na portfele, biblioteki kryptograficzne i inne elementy infrastruktury. Zespół zarejestrował 4 962 zgłoszenia dotyczące 390 projektów, wynika z danych opublikowanych przez Calle, pseudonimowego twórcę protokołu e-gotówki Cashu.
Calle określił sytuację jako „skrajnie złą”. Właściciele projektów szybko potwierdzili większość raportów oznaczonych jako krytyczne, a badacze odtwarzali działające proof‑of‑concept w lokalnych środowiskach testowych, zanim przekazali szczegóły opiekunom projektów. Audyt wykrył też 635 luk o wysokiej istotności, dodatkowo zwiększając obciążenie zespołów wolontariuszy i operatorów projektów.
Tempo jest niezwykle wysokie – grupa wykrywa średnio około jednego krytycznego błędu na osobę na godzinę, wydając przy tym blisko 10 000 USD dziennie na moc obliczeniową.
Skala zgłoszeń powoduje jednak chaos. Calle przyznał, że wolontariusze muszą oddzielać wartościowe zgłoszenia od niskiej jakości wyników modeli, ale grupa publikuje raporty szybko, ponieważ opiekunowie mogą tanio je zweryfikować, a atakujący mogą w międzyczasie odnaleźć te same luki.
Zobacz też: Kod Muse od Meta obniża ceny względem Anthropic i OpenAI do 1,25 USD za milion tokenów wejściowych
Ostrzeżenie Calle dotyczące bezpieczeństwa
Rob Hamilton, odpowiedzialny za budowę zautomatyzowanej infrastruktury audytu, podkreśla, że samo wykrywanie luk nie jest już głównym wąskim gardłem. Najtrudniejsze stało się ich „routowanie”, czyli przekazanie do odpowiednich osób. „Największym wyzwaniem jest skoordynowanie procesu tak, by informacje trafiły do właściwych zespołów” – napisał, opisując obecny system jako dopiero pierwszą wersję.
Ta zmiana ma znaczenie, bo AI radykalnie ogranicza czas i koszty potrzebne do ujawniania nawet bardzo starych błędów w oprogramowaniu. Anthropic informował w kwietniu, że ograniczony model AI wykrył 27‑letnią lukę w szeroko stosowanym programie. Koszt operacji nie przekroczył 50 USD.
Google podał z kolei w maju przykład, gdy zespół wywiadu zagrożeń wykrył grupę przestępczą przygotowującą atak oparty na luce zidentyfikowanej przez model AI. Atakujący dysponują więc porównywalnymi narzędziami.
Audyt nastąpił po serii kradzieży z portfeli Coldcard, które rozpoczęły się 30 lipca i sięgnęły nawet 114 mln USD, gdy atakujący wykorzystali wadliwe oprogramowanie sprzętowe bez fizycznego dostępu do urządzeń. Podstawowa luka pozostawała nieaktywna od 2021 r.
Czytaj dalej: Wieloryby Bitcoina znów akumulują po spadku poniżej 60 tys. USD, ale dołek wciąż niepewny
