Rob Hamilton, CEO de AnchorWatch y contribuidor de Bitcoin, logró que su primer commit se fusionara en Bitcoin Core el 20 de agosto. La corrección abordaba un error relacionado con la cartera, y lo destacable es cómo lo descubrió: apuntando modelos de IA al código de Bitcoin y dejándolos buscar problemas.

El esfuerzo de Hamilton forma parte de una iniciativa más amplia que él denomina "Bitcoin Red Team", una campaña impulsada por voluntarios que usa IA para auditar sistemáticamente el código abierto relacionado con Bitcoin. El proyecto ya ha revelado miles de posibles problemas, incluidas decenas clasificados como críticos. También expuso algo incómodo sobre el estado actual de la investigación de seguridad con IA: las herramientas que necesitas pueden retirarse a mitad de la auditoría.

El resultado tiene un peso que va más allá de un parche. Bitcoin Core es la implementación de referencia del protocolo de Bitcoin, y los cambios en él pasan por una extensa revisión de un pequeño grupo de mantenedores voluntarios antes de fusionarse: un proceso diseñado con precaución, dado que el software protege cientos de miles de millones de dólares en valor.

Dentro del sprint de 30 horas del Bitcoin Red Team

El Red Team está formado por Hamilton y 16 voluntarios, que lanzaron su primer gran esfuerzo a principios de agosto. En aproximadamente 30 horas, el grupo documentó 4,962 hallazgos en más de 390 repositorios de código abierto relacionados con Bitcoin. De estos, 85 fueron marcados como críticos y 635 como de alta gravedad.

Hamilton había estado experimentando con análisis de código asistido por IA en Bitcoin Core desde mayo. El catalizador que convirtió un experimento individual en una campaña coordinada fue una vulnerabilidad en la cartera de hardware Coldcard en julio que provocó el robo de más de 1,000 BTC.

OpenAI corta el acceso y las alternativas entran en escena

Alrededor del 9 de agosto, OpenAI bloqueó a Hamilton para que no realizara más análisis de seguridad de Bitcoin con sus herramientas. El grupo recurrió a sistemas de IA alternativos, incluido Kimi K3, para continuar su trabajo.

El episodio también ilustra cuán dependientes pueden ser los investigadores de seguridad independientes de un puñado de proveedores de IA, y qué tan rápido pueden cambiar los términos de acceso para un trabajo de naturaleza defensiva.

El cuello de botella ya no es encontrar errores

El propio Hamilton reconoció una limitación significativa del enfoque basado primero en IA: la coordinación posterior con los mantenedores. Encontrar casi 5,000 problemas en 30 horas es impresionante. Lograr que los mantenedores de cientos de repositorios diferentes revisen, clasifiquen y corrijan esos hallazgos es un desafío completamente distinto.

La proporción lo dice todo: casi 5,000 hallazgos en 30 horas de escaneo, frente a un solo commit fusionado tras semanas de revisión. Para Bitcoin Core en particular, donde los mantenedores suelen revisar contribuciones de forma voluntaria junto con otros compromisos, un aumento de hallazgos generados por máquinas podría poner a prueba cómo la cultura de revisión existente del proyecto absorbe un volumen mucho mayor de informes, y si la divulgación de hallazgos asistidos por IA, como Hamilton siguió al reportar el error de la cartera por los canales adecuados, se convierte en una norma para esfuerzos similares.