Analiza kodu wspomagana przez sztuczną inteligencję uczyniła oprogramowanie open source Bitcoina szybszym i tańszym celem dla atakujących, a obecnie organizuje się dedykowany red team, który ma odnajdywać te błędy jako pierwszy. Ta zmiana sprawia, że bezpieczeństwo powiązanego z AI oprogramowania Bitcoina przestaje być problemem hipotetycznym, a staje się problemem operacyjnym, ponieważ modele językowe skracają pracę związaną z czytaniem i badaniem baz kodu, na których działają portfele, węzły i szlaki płatnicze sieci.

Dlaczego AI zmienia model zagrożeń dla oprogramowania Bitcoina

Oprogramowanie Bitcoina to infrastruktura o wysokich stawkach. Podstawowy kod Bitcoina jest otwarty do wglądu od momentu uruchomienia sieci w 2009 roku, a jego model bezpieczeństwa od dawna opiera się na założeniu właściwym modelowi open source, że szeroka publiczna ocena ujawnia błędy szybciej, niż ukrywa je tajemnica. Te same klienty, biblioteki i procesory płatności, które przemieszczają wartość, są open source i w pełni czytelne, co czyni je idealnym materiałem wejściowym do zautomatyzowanej analizy. Taka otwartość zawsze była mocną stroną bezpieczeństwa, oznacza jednak również, że atakujący może wprowadzić dokładnie ten sam kod do modelu. Innymi słowy, transparentność, która pozwala każdemu audytować ten stos technologiczny, pozwala także każdemu wybrać go za cel.

Kluczowa zmiana dotyczy nakładu pracy. Zadania, które kiedyś wymagały wyspecjalizowanego ludzkiego recenzenta — czytania nieznanego kodu, mapowania przepływów danych i formułowania hipotez, gdzie obsługę danych wejściowych można wykonać błędnie — można teraz częściowo delegować na AI, co pozwala pojedynczemu podmiotowi objąć większą część bazy kodu w krótszym czasie. To właśnie tej presji — jak donosi Decrypt — doświadczać mają obecnie opiekunowie kodu Bitcoina.

To historia o bezpieczeństwie, a nie szeroki trend AI, ponieważ powierzchnia ataku jest konkretna. Prawdziwe biuletyny bezpieczeństwa pokazują już, gdzie tkwi ryzyko: biuletyn bezpieczeństwa dotyczący BTCPay Server w wersji 2.4.2 dokumentuje rodzaj samodzielnie hostowanego oprogramowania płatniczego, które znajduje się bezpośrednio na drodze przepływu środków i zależy od nielicznej grupy opiekunów wprowadzających poprawki. Tak ograniczone zasoby opiekunów nie są zjawiskiem wyjątkowym dla Bitcoina: luka Log4j z 2021 roku pokazała w skali całej branży, jak szeroko używany kod open source prowadzony przez wolontariuszy może znajdować się w centrum systemów krytycznych przy niewielkim dedykowanym finansowaniu.

Odpowiedź red teamu i jej znaczenie

Przeciwwagą są zorganizowane testy adwersarialne. Zadaniem red teamu jest atakowanie oprogramowania tak, jak zrobiłby to wrogi podmiot: ujawnianie słabych miejsc, zanim zostaną one wykorzystane w rzeczywistości, a następnie kierowanie tych ustaleń do programistów, którzy mogą je naprawić. Takie przekazywanie zwykle odbywa się zgodnie z praktyką skoordynowanego ujawniania, w której badacze zgłaszają luki prywatnie, aby poprawki mogły zostać wydane, zanim szczegóły staną się publiczne. Zamiast czekać, aż luka ujawni się sama, zespół bada oprogramowanie proaktywnie.

Ta funkcja jest teraz finansowana bezpośrednio. OpenSats prowadzi dedykowany fundusz Bitcoin Red Team wspierający badaczy bezpieczeństwa, którzy badają krytyczną infrastrukturę Bitcoina — co stanowi uznanie, że proaktywne testowanie musi być traktowane i finansowane jak program, a nie pozostawione wolontariuszom reagującym po fakcie. Organizacja jest naturalnym miejscem dla takiej pracy: OpenSats finansuje już Bitcoin Core i innych programistów open source, więc granty na bezpieczeństwo ofensywne rozszerzają istniejący model opłacania mniej widocznej pracy inżynieryjnej ekosystemu.

OpenSats uzasadnił to rozumowanie we własnym tekście na temat tego przedsięwzięcia, opisując grupę jako pierwszych respondentów ekosystemu — gotowych do szybkiego działania, gdy pojawi się poważna luka. Sygnał dla programistów i opiekunów ma charakter strukturalny: w miarę jak AI obniża atakującym koszt wyszukiwania błędów, obrońcy potrzebują stałych zdolności, aby znajdować je pierwsi.

Nic z tego nie oznacza, że problem został rozwiązany. Finansowany red team zawęża okno, w którym przyspieszany przez AI atakujący utrzymuje przewagę, ale go nie zamyka, a te same kwestie powiernictwa i infrastruktury, które kształtują debaty takie jak federalna polityka powiernictwa Bitcoina, wciąż zależą od tego, czy podstawowe oprogramowanie wytrzyma presję adwersarialną.

Dla szerszego stosu AI-krypto kierunek zmian jest jasny: w miarę jak analiza kodu oparta na modelach staje się standardowym narzędziem po obu stronach, parytet bezpieczeństwa zależy od tego, czy obrońcy wdrożą tę samą automatyzację, którą atakujący już posiadają, oraz od finansowania ludzkich badaczy, którzy nią kierują. Bliskoterminowe wskaźniki są konkretne, a nie abstrakcyjne — częstotliwość biuletynów takich jak te dotyczące BTCPay, zasięg beneficjentów funduszu red teamu w portfelach, węzłach i szlakach płatniczych oraz to, czy przegląd kodu wspomagany AI stanie się dla opiekunów równie zwykłym narzędziem obronnym, jakim dla atakujących jest narzędziem ofensywnym.

Zastrzeżenie: Ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Przed podjęciem decyzji zawsze przeprowadź własne badania.