Rob Hamilton, CEO van AnchorWatch en Bitcoin-bijdrager, kreeg op 20 augustus zijn eerste commit merged in Bitcoin Core. De fix betrof een bug in de wallet, en het opvallende is hoe hij die ontdekte: door AI-modellen op de codebase van Bitcoin los te laten en ze problemen te laten opsporen.

Hamiltons inspanning maakt deel uit van een breder initiatief dat hij de "Bitcoin Red Team" noemt, een door vrijwilligers gedreven campagne die AI inzet om Bitcoin-gerelateerde open-sourcecode systematisch te auditen. Het project heeft al duizenden mogelijke problemen aan het licht gebracht, waarvan tientallen als kritisch zijn geclassificeerd. Het toonde ook iets ongemakkelijks over de huidige stand van AI-gestuurde beveiligingsonderzoek: de tools die je nodig hebt, kunnen midden in een audit bij je worden weggehaald.

Het resultaat weegt zwaarder dan één patch. Bitcoin Core is de referentie-implementatie van het Bitcoin-protocol, en wijzigingen ondergaan vóór de merge uitgebreide review door een kleine groep vrijwillige maintainers — een proces dat op voorzichtigheid is gebouwd, aangezien de software honderden miljarden dollars aan waarde beveiligt.

Binnen de 30-uurs sprint van het Bitcoin Red Team

Het Red Team bestaat uit Hamilton en 16 vrijwilligers, die begin augustus hun eerste grote push lanceerden. In ongeveer 30 uur documenteerde de groep 4.962 bevindingen in meer dan 390 Bitcoin-gerelateerde open-source repositories. Daarvan werden 85 als kritiek gemarkeerd en 635 als high-severity.

Hamilton experimenteerde al in mei met AI-ondersteunde code-analyse op Bitcoin Core. De katalysator die een solo-experiment omvormde tot een gecoördineerde campagne, was een kwetsbaarheid in de Coldcard hardware wallet in juli die leidde tot de diefstal van meer dan 1.000 BTC.

OpenAI trekt de stekker eruit, alternatieven stappen in

Rond 9 augustus blokkeerde OpenAI Hamilton voor het uitvoeren van verdere Bitcoin-beveiligingsanalyse met zijn tools. De groep schakelde over op alternatieve AI-systemen, waaronder Kimi K3, om hun werk voort te zetten.

Deze episode illustreert ook hoe afhankelijk onafhankelijke beveiligingsonderzoekers kunnen zijn van een handjevol AI-aanbieders, en hoe snel toegangsvoorwaarden kunnen veranderen voor werk dat defensief van aard is.

De bottleneck is niet langer het vinden van bugs

Hamilton erkende zelf een belangrijke beperking van de AI-first aanpak: de downstream coördinatie met maintainers. Bijna 5.000 problemen vinden in 30 uur is indrukwekkend. Maintainers van honderden verschillende repositories zover krijgen dat ze die bevindingen reviewen, triagen en patchen, is een volledig andere uitdaging.

De verhouding zegt genoeg: bijna 5.000 bevindingen in 30 uur scannen, tegenover één gemergde commit na weken van review. Vooral voor Bitcoin Core, waar maintainers bijdragen doorgaans op vrijwillige basis naast andere verplichtingen reviewen, zou een golf van machinaal gegenereerde bevindingen kunnen testen hoe de bestaande reviewcultuur van het project een veel groter volume aan rapporten verwerkt — en of het openbaar maken van AI-ondersteunde bevindingen, zoals Hamilton toepaste bij het rapporteren van de wallet-bug via de juiste kanalen, de norm wordt voor vergelijkbare initiatieven.