Rob Hamilton, CEO di AnchorWatch e contributore di Bitcoin, ha visto il suo primo commit inserito in Bitcoin Core il 20 agosto. La correzione riguardava un bug legato al wallet, e l'aspetto rilevante è come lo abbia scoperto: puntando i modelli di IA sul codebase di Bitcoin e lasciando che cercassero i problemi.

L'impegno di Hamilton fa parte di un'iniziativa più ampia che lui chiama "Bitcoin Red Team", una campagna basata su volontari che utilizza l'IA per controllare sistematicamente il codice open source legato a Bitcoin. Il progetto ha già portato alla luce migliaia di potenziali problemi, decine dei quali classificati come critici. Ha anche rivelato qualcosa di scomodo sull'attuale stato della ricerca di sicurezza basata sull'IA: gli strumenti necessari possono essere revocati a metà di un'analisi.

Il risultato ha un peso che va oltre una singola patch. Bitcoin Core è l'implementazione di riferimento del protocollo Bitcoin e le modifiche apportate subiscono un'ampia revisione da parte di un piccolo gruppo di maintainer volontari prima di essere inserite — un processo costruito per la prudenza, dato che il software protegge centinaia di miliardi di dollari di valore.

Interno della sprint di 30 ore del Bitcoin Red Team

Il Red Team è composto da Hamilton e 16 volontari, che hanno lanciato il primo grande sforzo all'inizio di agosto. In circa 30 ore, il gruppo ha documentato 4.962 rilievi su oltre 390 repository open source legati a Bitcoin. Di questi, 85 sono stati segnalati come critici e 635 come di alta gravità.

Hamilton sperimentava l'analisi del codice assistita dall'IA su Bitcoin Core già da maggio. Il catalizzatore che ha trasformato un esperimento solitario in una campagna coordinata è stata una vulnerabilità del wallet hardware Coldcard a luglio, che ha portato al furto di oltre 1.000 BTC.

OpenAI stacca la spina, entrano le alternative

Intorno al 9 agosto, OpenAI ha bloccato Hamilton dall'utilizzare i suoi strumenti per ulteriori analisi di sicurezza su Bitcoin. Il gruppo è passato a sistemi di IA alternativi, tra cui Kimi K3, per continuare il lavoro.

L'episodio illustra anche quanto i ricercatori di sicurezza indipendenti possano dipendere da un pugno di provider di IA, e quanto velocemente le condizioni di accesso possano cambiare per un lavoro di natura difensiva.

Il collo di bottiglia non è più trovare i bug

Hamilton stesso ha riconosciuto una limitazione significativa dell'approccio IA-first: il coordinamento a valle con i maintainer. Trovare quasi 5.000 problemi in 30 ore è impressionante. Far sì che i maintainer di centinaia di repository diversi esaminino, classifichino e correggano quei rilievi è una sfida completamente diversa.

Il rapporto racconta la storia: quasi 5.000 rilievi in 30 ore di scansione, contro un solo commit inserito dopo settimane di revisione. Per Bitcoin Core in particolare, dove i maintainer in genere esaminano i contributi su base volontaria alongside altri impegni, un'ondata di rilievi generati automaticamente potrebbe mettere alla prova la capacità della cultura di revisione esistente del progetto di assorbire un volume di segnalazioni molto più ampio — e stabilire se la divulgazione dei rilievi assistiti dall'IA, come Hamilton ha fatto segnalando il bug del wallet attraverso i canali appropriati, diventerà una norma per iniziative simili.