Współtwórca Bitcoina naprawił błąd powodujący awarię portfela przy użyciu narzędzi AI, ujawniając zarówno potencjał, jak i tarcia w bezpieczeństwie opartym na sztucznej inteligencji
Najważniejsze informacje
- •Pierwszy commit Roba Hamiltona do Bitcoin Core, włączony 20 sierpnia, naprawił błąd związany z portfelem, odkryty dzięki analizie kodu wspomaganej AI.
- •Bitcoin Red Team, składający się z Hamiltona i 16 wolontariuszy, udokumentował 4 962 ustalenia w ponad 390 repozytoriach w około 30 godzin, w tym 85 krytycznych i 635 o wysokiej szkodliwości.
- •Luka w sprzętowym portfelu Coldcard z lipca, skutkująca kradzieżą ponad 1 000 BTC, skłoniła Hamiltona do przekształcenia solowych eksperymentów z AI w skoordynowaną kampanię.
- •OpenAI zablokowała Hamiltonowi analizę bezpieczeństwa Bitcoina swoimi narzędziami około 9 sierpnia, a zespół przeszedł na alternatywne systemy AI, takie jak Kimi K3.
- •Hamilton przyznał, że koordynacja selekcji i łatania ustaleń z wolontariuszami-opiekunami setek repozytoriów jest znacznie większym wyzwaniem niż generowanie ustaleń przez AI.
Rob Hamilton, CEO AnchorWatch i współtwórca Bitcoina, uzyskał włączenie swojego pierwszego commita do Bitcoin Core 20 sierpnia. Poprawka dotyczyła błędu związanego z portfelem, a godne uwagi jest to, jak go odkrył: kierując modele AI na bazę kodu Bitcoina i pozwalając im wypatrywać problemów.
Wysiłek Hamiltona jest częścią szerszej inicjatywy, którą nazywa „Bitcoin Red Team” — kampanii prowadzonej przez wolontariuszy, wykorzystującej AI do systematycznego audytu kodu open source związanego z Bitcoinem. Projekt ujawnił już tysiące potencjalnych problemów, w tym dziesiątki sklasyfikowanych jako krytyczne. Pokazał też coś niepokojącego na temat obecnego stanu badań bezpieczeństwa opartych na AI: potrzebne narzędzia mogą zostać odebrane w trakcie audytu.
Ten rezultat ma znaczenie wykraczające poza jedną poprawkę. Bitcoin Core to implementacja referencyjna protokołu Bitcoina, a zmiany w nim przechodzą szeroki przegląd dokonywany przez niewielką grupę wolontariuszy-opiekunów przed ich włączeniem — proces zaprojektowany ostrożnie, zważywszy że oprogramowanie zabezpiecza setki miliardów dolarów w wartości.
Wewnątrz 30-godzinnego sprintu Bitcoin Red Team
Red Team składa się z Hamiltona i 16 wolontariuszy, którzy rozpoczęli pierwszą dużą ofensywę na początku sierpnia. W ciągu około 30 godzin grupa udokumentowała 4 962 ustaleń w ponad 390 repozytoriach open source związanych z Bitcoinem. Z tego 85 oznaczono jako krytyczne, a 635 jako o wysokiej szkodliwości.
Hamilton eksperymentował z analizą kodu wspomaganą AI na Bitcoin Core już od maja. Katalizatorem, który przekształcił solowy eksperyment w skoordynowaną kampanię, była luka w sprzętowym portfelu Coldcard w lipcu, która doprowadziła do kradzieży ponad 1 000 BTC.
OpenAI wycofuje się, wchodzą alternatywy
Około 9 sierpnia OpenAI zablokowała Hamiltonowi prowadzenie dalszej analizy bezpieczeństwa Bitcoina przy użyciu swoich narzędzi. Grupa przeszła na alternatywne systemy AI, w tym Kimi K3, aby kontynuować pracę.
Ten epizod pokazuje również, jak bardzo niezależni badacze bezpieczeństwa mogą zależeć od garstki dostawców AI i jak szybko warunki dostępu mogą się zmienić w przypadku pracy o charakterze defensywnym.
Wąskim gardłem nie jest już znajdowanie błędów
Sam Hamilton przyznał, że istotnym ograniczeniem podejścia opartego na AI jest koordynacja z opiekunami kodu na dalszym etapie. Odnalezienie prawie 5 000 problemów w 30 godzin robi wrażenie. Nakłonienie opiekunów setek różnych repozytoriów do przejrzenia, selekcji i załatania tych ustaleń to zupełnie inne wyzwanie.
O stosunku świadczy sam wynik: prawie 5 000 ustaleń w 30 godzinach skanowania wobec jednego włączonego commita po tygodniach przeglądu. W przypadku samego Bitcoin Core, gdzie opiekunowie zazwyczaj dokonują przeglądu wkładów na zasadzie wolontariatu, obok innych zobowiązań, nagły napływ ustaleń generowanych maszynowo może sprawdzić, jak istniejąca kultura przeglądu projektu poradzi sobie ze znacznie większą liczbą raportów — oraz czy ujawnianie ustaleń uzyskanych z pomocą AI, tak jak zrobił to Hamilton, zgłaszając błąd portfela przez właściwe kanały, stanie się normą dla podobnych inicjatyw.
