Bitcoin (BTC) – deweloperzy zgłosili 85 krytycznych luk po tym, jak audyt wspierany przez AI wygenerował w nieco ponad 24 godziny 4 962 zgłoszenia w 390 projektach.
Najważniejsze ustalenia:
- W ramach audytu wykryto 85 luk krytycznych i 635 podatności o wysokiej wadze.
- Wolontariusze znajdują średnio około jednego krytycznego błędu na osobę na godzinę, przy kosztach obliczeniowych rzędu 10 000 dol. dziennie.
- Zdaniem deweloperów głównym wyzwaniem nie jest już wykrywanie, lecz weryfikacja i przekazanie informacji właściwym zespołom – to efekt obniżenia kosztu wyszukiwania błędów przez AI.
Audyt błędów w ekosystemie Bitcoina
Szesnastu deweloperów wzięło udział w skoordynowanym przeglądzie, kierując modele AI na portfele, biblioteki kryptograficzne i inne elementy infrastruktury. Zespół zgłosił łącznie 4 962 potencjalne problemy w 390 projektach, poinformował Calle, pseudonimowy twórca protokołu ecash Cashu.
Calle określił sytuację jako „ekstremalnie złą”. Właściciele projektów szybko potwierdzili większość najpoważniejszych zgłoszeń, a badacze odtwarzali działające proof-of-concept w lokalnych środowiskach testowych, zanim przekazali szczegóły do zespołów utrzymujących kod. Audyt zidentyfikował też 635 podatności o wysokiej wadze, co dodatkowo zwiększa presję na zespoły wolontariuszy i operatorów projektów.
Tempo prac jest nietypowo wysokie – grupa znajduje średnio około jednego krytycznego błędu na osobę w każdej godzinie pracy, wydając jednocześnie około 10 000 dol. dziennie na moc obliczeniową.
Skala zgłoszeń wprowadza jednak spore zamieszanie. Calle podkreśla, że wolontariusze muszą oddzielać trafne znaleziska od niskiej jakości wyników pracy modeli, ale mimo to publikują raporty szybko, ponieważ utrzymujący projekty mogą tanio je zweryfikować, a w międzyczasie te same luki mogą zostać odkryte przez atakujących.
Zobacz także: Kodujący agent Muse od Meta obniża koszty względem Anthropic i OpenAI do 1,25 dol. za milion tokenów wejściowych
Ostrzeżenie bezpieczeństwa od Calle
Rob Hamilton, odpowiedzialny za budowę zautomatyzowanego środowiska audytowego, twierdzi, że wyszukiwanie podatności przestało być głównym wąskim gardłem. Najtrudniejszym zadaniem stało się obecnie właściwe „routowanie” zgłoszeń. „Najtrudniejsze jest skoordynowanie działań tak, aby informacje trafiły do odpowiednich osób” – napisał, zaznaczając, że obecny system to dopiero pierwsza wersja.
Ta zmiana jest istotna, ponieważ AI radykalnie obniża czas i koszt potrzebny na wykrywanie nawet bardzo starych błędów w oprogramowaniu. Anthropic podał w kwietniu, że ograniczona wersja modelu odnalazła 27-letnią lukę w powszechnie używanym oprogramowaniu, przy koszcie poniżej 50 dol.
Google opisał z kolei osobny przypadek z maja: jego zespół wywiadu zagrożeń wykrył grupę przestępczą przygotowującą atak oparty na luce zidentyfikowanej przy wykorzystaniu modelu AI. Atakujący dysponują więc porównywalnymi narzędziami.
Audyt odbywa się w cieniu głośnych kradzieży z portfeli Coldcard, które rozpoczęły się 30 lipca i sięgnęły kwoty około 114 mln dol., gdy atakujący wykorzystali błędne firmware bez fizycznego dostępu do urządzeń. Leżący u podstaw błąd pozostawał w kodzie nieaktywny od 2021 r.
Czytaj dalej: Wieloryby Bitcoina odbudowują pozycje po spadku do 60 tys. dol., ale dno wciąż niepewne
