一項以 Kimi K3(北京 AI 實驗室 Moonshot AI 推出的前沿模型)為核心的比特幣紅隊計畫,已完成對比特幣開源生態系的全面安全掃描,在支援該網路的軟體堆疊中發現數千個潛在漏洞。

在為期兩週的期間,研究人員在約 390 個專案中記錄了 7,958 項發現,其中 1,280 項被歸類為高或嚴重等級。團隊將這次行動描述為數十年累積、由人類撰寫的開源程式碼,與現代前沿 AI 模型分析速度之間的碰撞,並指出大部分「唾手可得」的漏洞面如今已受到檢視。

英國 AI 安全研究所(U.K. AI Security Institute)與美國人工智慧安全標準與創新中心(CAISI)——這兩個負責評估前沿 AI 模型的政府機構——所做的獨立評估,已證實該模型與網路安全工作的相關性,但同時指出,它在某些漏洞利用開發基準測試上仍落後於美國最強的閉源模型。

這項行動已產生具體驗證的成果。BTCPay Server 是一款廣泛使用的自架開源支付處理器,讓商家無需第三方仲介即可接受比特幣;在研究人員通報該缺陷後,專案方於 2.4.2 版修補了一個關鍵的雙因素驗證繞過漏洞,隨後並證實攻擊者已利用該漏洞竊取閃電網路錢包憑證。隨著專案方處理來自多個研究團隊的後續報告,又進行了多次協調發布。

數據需要審慎解讀

儘管如此,這些數字仍需要脈絡。截至報導時,全部問題中約有四分之一已完成動態重現,而通報給上游維護者的比例略低於 30%。這份資料集並不代表 7,958 個已確認可利用的漏洞:自動化掃描可能產生誤報與重複報告,且初步的嚴重性評級在人工調查期間經常變動。

研究人員強調,這次掃描鎖定的是錢包、閃電網路基礎設施、支付函式庫及相鄰工具等更廣泛的生態系,而非比特幣的核心共識協定本身。閃電網路是建構在比特幣之上的第二層支付網路,新增了位於基礎協定共識規則之外的通道管理與路由邏輯。漏洞特別集中在較舊或鮮少受審的程式碼庫,其中閃電網路技術棧被形容為相對其他元件呈現不成比例的複雜度與曝險。以 C 語言為基礎的實作在受審專案中也被標記為持續性的結構風險因子,呼應業界長期以來的疑慮:C 程式碼中的記憶體安全錯誤是最常見的關鍵漏洞來源之一,這項認知已推動 Rust 等記憶體安全語言在安全敏感軟體中日益普及。

該計畫的一名參與者在 X 上以 calle 之名發文,描述了這樣的動態:

gained a ton of new insights working in bitcoin red team that i wish i could share without vague posting. but this is what i got anon. – we're experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good) – everything is…

— calle (@callebtc), August 13, 2026

生態系加速因應,AI 重新定義資安時程

這項行動象徵開源網路安全更廣泛的轉折點。前沿 AI 模型大幅壓縮了漏洞發現的成本與時程,使數年累積的程式碼得以在數週內完成審查。這種加速對缺乏維護的專案構成急迫風險:隨著攻擊能力變得更容易為更廣泛的行為者所取得,舊有程式碼如今面臨更高的曝險。

主辦單位強調,對已通報問題的回應速度已成為衡量專案健康的關鍵指標,並建議開發團隊建立持續運作的 AI 輔助稽核管道,而非僅依賴定期的外部審查。他們也強調協調揭露——即私下向維護者通報缺陷、並在公開前預留修復時間的既有做法——的重要性,並指出研究人員與維護者之間的信任仍是有效安全協作的關鍵。

整個生態系正動員起來,以避免攻擊者與防禦者之間的能力差距擴大。資助自由與開源比特幣開發的非營利組織 OpenSats 已設立快速通行的補助管道,專門補償研究人員的大語言模型成本,降低持續進行 AI 驅動資安工作的門檻。此外,一個由 40 多個比特幣與數位資產組織組成的聯盟,已向主要 AI 實驗室提出請願,要求在安全研究環境中,為經審核的開源防禦者提供前沿模型的受控存取權,並配備足夠的運算資源以及與 AI 資安團隊直接溝通的管道。該聯盟警告,若缺乏同等工具,合法防禦者恐將落後於不受此類存取限制的惡意行為者。

BTCPay 的支持者也已支持復原工作,並承諾資助比特幣紅隊計畫,反映出外界日益體認到,外部安全審查是生態系的長期需求,而非一時之需。

對一般使用者而言,直接的啟示比標題數字所暗示的更為有限:基礎比特幣協定尚未被證實遭到入侵,但周邊的軟體基礎設施需要更高的警覺,首先是讓錢包與伺服器軟體保持最新。隨著自動化發現持續擴大規模,加密貨幣安全的核心瓶頸正從「找出缺陷」轉向以匹配現代 AI 速度的步調,來驗證、揭露與修補缺陷。值得關注的具體指標可從這次行動本身的數據推得:尚未通報上游的約 70% 發現中,有多少會送達維護者;AI 實驗室是否核准所請求的防禦者存取權;以及 BTCPay Server 等專案能多快將後續揭露轉化為已修補的版本。

來源:Metaverse Post