«Красная команда» Bitcoin использует ИИ для обнаружения критических уязвимостей в ключевых проектах
Ключевые выводы
- •Команда безопасности на волонтёрской основе просканировала около 150 репозиториев Bitcoin с использованием передовых моделей ИИ, что привело к более чем дюжине раскрытий уязвимостей.
- •Инициатива потратила примерно 20 000 долларов на ИИ-сервисы на данный момент, при текущих затратах около 10 000 долларов в день.
- •Красная команда применяет множество моделей ИИ, включая Kimi K3, GPT Sol от OpenAI, модели Claude Fable и Opus от Anthropic, а также GLM 5.2 от Z.ai для выявления уязвимостей системы и создания сопроводительной документации.
- •Разработчики не раскрыли конкретные затронутые проекты или технические детали, следуя практике ответственного раскрытия, чтобы дать мейнтейнерам время на исправление проблем.
- •ИИ-ассистируемые аудиты безопасности становятся всё более критичными в криптосекторе, поскольку недавние инциденты с участием Zcash, Coldcard и Boltz показывают, что как атакующие, так и защитники теперь используют схожие возможности ИИ.
Инициатива по безопасности, основанная на волонтёрах, сообщает, что использовала передовые модели искусственного интеллекта для сканирования примерно 150 репозиториев Bitcoin, в результате чего было сделано более дюжины раскрытий уязвимостей. Эти усилия подчёркивают, как разработчики всё чаще полагаются на ИИ для аудита блокчейн-инфраструктуры, обеспечивающей безопасность сотен миллиардов долларов стоимости.
В недавнем посте на X CEO AnchorWatch Роб Гамильтон заявил, что группа потратила около 20 000 долларов на ИИ-сервисы для создания платформы «красной команды Bitcoin». Красная команда обычно состоит из специалистов по кибербезопасности, которые оценивают программное обеспечение с точки зрения злоумышленника, проактивно ища уязвимости до того, как они могут быть использованы.
«Мы работали круглосуточно, потратив на данный момент около 20 000 долларов на различные сервисы», — написал Гамильтон (https://x.com/Rob1Ham/status/2084523368783438198?s=20). «Финансирование обеспечено, я ценю все предложения о пожертвованиях, но в этом нет необходимости. Счёт оплачен».
По словам Гамильтона, красная команда использует Kimi K3 наряду с GPT Sol от OpenAI, моделями Claude Fable и Opus от Anthropic, а также GLM 5.2 от Z.ai для выявления уязвимостей системы и создания необходимой сопроводительной документации.
«Мы также связались с OpenAI для получения помощи, чтобы запустить Cyber Harness», — пояснил он. «Это гораздо более дорогое сканирование, но оно того стоит для несущих элементов экосистемы Bitcoin и уже принесло хорошие результаты».
Псевдонимный разработчик Bitcoin Calle упомянул, что команда создала несколько ИИ-управляемых систем проверки, специально нацеленных на кошельки Bitcoin, криптографические библиотеки, ключевую инфраструктуру и различные другие проекты.
«В среднем мы находим порядка одного критического эксплойта в час на человека», — сообщил Calle на X (https://x.com/callebtc/status/2084561246305542617?s=20). «За последние 12 часов мы сообщили о критических уязвимостях в несколько проектов. К счастью, это очень дорогое мероприятие. Мы сжигаем 10 000 долларов в день».
Разработчики не раскрыли конкретные затронутые проекты и не предоставили более подробной технической информации о найденных уязвимостях, что согласуется с практикой ответственного раскрытия, дающей мейнтейнерам время на исправление проблем до того, как детали станут достоянием общественности.
Результаты инициативы появляются на фоне того, как ИИ играет всё более заметную роль в обнаружении недостатков безопасности в криптосекторе. Ранее в этом году исследователи с помощью Claude Opus 4.8 от Anthropic обнаружили четырёхлетнюю уязвимость в Zcash, которая потенциально позволяла злоумышленникам чеканить неограниченное количество поддельных ZEC. Кроме того, в августе Coinkite высказала предположение, что злоумышленники использовали ИИ для выявления уязвимости в кошельке Coldcard. Аналогичным образом, Bitcoin-мост Boltz временно приостановил свой сервис обмена после того, как отметил, что злоумышленники использовали ИИ для обнаружения уязвимостей быстрее, чем разработчики могли выпускать исправления. Эта тенденция подчёркивает расширяющуюся гонку вооружений, в которой одни и те же возможности ИИ доступны как злоумышленникам, так и защитникам, что делает проактивные аудиты безопасности всё более критичными для проектов с открытым исходным кодом в криптосфере.