Rob Hamilton, CEO von AnchorWatch und Bitcoin-Contributor, hatte am 20. August seinen ersten Commit in Bitcoin Core gemergt. Die Korrektur betraf einen Wallet-bezogenen Bug, und bemerkenswert ist, wie er ihn entdeckte: indem er KI-Modelle auf Bitcoins Codebasis ansetzte und sie nach Problemen suchen ließ.

Hamiltons Arbeit ist Teil einer breiteren Initiative, die er „Bitcoin Red Team“ nennt – eine ehrenamtlich getragene Kampagne, die KI nutzt, um systematisch Bitcoin-bezogenen Open-Source-Code zu prüfen. Das Projekt hat bereits Tausende potenzielle Probleme zutage gefördert, Dutzende davon als kritisch eingestuft. Es zeigte auch etwas Unangenehmes über den aktuellen Stand KI-gestützter Sicherheitsforschung: Die benötigten Werkzeuge können mitten in einer Prüfung entzogen werden.

Das Ergebnis hat Gewicht über den einzelnen Patch hinaus. Bitcoin Core ist die Referenzimplementierung des Bitcoin-Protokolls, und Änderungen durchlaufen vor dem Mergen eine umfangreiche Überprüfung durch eine kleine Gruppe ehrenamtlicher Maintainer – ein bewusst vorsichtiger Prozess, da die Software Werte von Hunderten Milliarden Dollar absichert.

Im 30-Stunden-Sprint des Bitcoin Red Team

Das Red Team besteht aus Hamilton und 16 Freiwilligen, die Anfang August ihre erste große Offensive starteten. In rund 30 Stunden dokumentierte die Gruppe 4.962 Ergebnisse in mehr als 390 Bitcoin-bezogenen Open-Source-Repositories. Davon wurden 85 als kritisch und 635 als hochkritisch eingestuft.

Hamilton experimentierte bereits ab Mai mit KI-gestützter Codeanalyse an Bitcoin Core. Der Auslöser, der das Solo-Experiment in eine koordinierte Kampagne verwandelte, war eine Coldcard-Hardware-Wallet-Schwachstelle im Juli, die zum Diebstahl von über 1.000 BTC führte.

OpenAI zieht den Stecker, Alternativen rücken nach

Etwa am 9. August sperrte OpenAI Hamilton für weitere Bitcoin-Sicherheitsanalysen mit seinen Tools. Die Gruppe wich auf alternative KI-Systeme aus, darunter Kimi K3, um ihre Arbeit fortzusetzen.

Der Vorfall zeigt auch, wie abhängig unabhängige Sicherheitsforscher von einer Handvoll KI-Anbietern sein können – und wie schnell sich Nutzungsbedingungen selbst für defensiv ausgerichtete Arbeit ändern können.

Der Engpass liegt nicht mehr beim Finden von Bugs

Hamilton selbst räumte eine wesentliche Grenze des KI-zentrierten Ansatzes ein: die nachgelagerte Koordination mit den Maintainern. Fast 5.000 Probleme in 30 Stunden zu finden, ist beeindruckend. Die Maintainer von Hunderten verschiedener Repositories dazu zu bewegen, diese Ergebnisse zu prüfen, einzuordnen und zu patchen, ist eine völlig andere Herausforderung.

Das Verhältnis sagt alles: fast 5.000 Ergebnisse in 30 Stunden Scanning stehen ein einziger gemergter Commit nach wochenlanger Überprüfung gegenüber. Für Bitcoin Core insbesondere, wo Maintainer Beiträge typischerweise ehrenamtlich neben anderen Verpflichtungen prüfen, könnte eine Flut maschinell erzeugter Ergebnisse zeigen, wie gut die bestehende Review-Kultur des Projekts eine deutlich größere Menge an Berichten verkraftet – und ob die Offenlegung KI-gestützter Ergebnisse, wie Hamilton sie beim Melden des Wallet-Bugs über die richtigen Kanäle befolgte, zum Standard für ähnliche Initiativen wird.