web3: Red Team Bitcoin використовує китайські AI-моделі для виявлення вразливостей у відкритому коді

Добровольча команда, яка спеціалізується на виявленні вразливостей у Bitcoin-програмному забезпеченні, повідомила, що за допомогою китайських AI-моделей виконала базове сканування майже всієї відкритої екосистеми Bitcoin і надіслала розробникам значну кількість звітів про безпеку.

Голова Bitcoin Red Team, розробник під псевдонімом Calle, заявив на соціальній платформі, що команда поєднує AI-інструменти з ручною перевіркою для аудиту таких проектів, як гаманці, застосунки Lightning Network, програмні бібліотеки тощо. У разі підтвердження вразливості команда спершу приватно повідомляє розробників для усунення, а вже потім вирішує, чи публікувати деталі.

Охоплено 390 проектів

Calle розкрив, що у серпні команда подала 4962 звернення щодо 390 проектів: з них 85 — критичні вразливості, 635 — високого ризику, інші — проблеми безпеки різних рівнів.

Він зазначив, що розробники вже підтвердили наявність багатьох реальних критичних та високоризикових вразливостей. Однак команда наразі не розголошує назви уражених проектів і не оприлюднює технічних деталей.

Китайські моделі використовуються для аудиту коду

Серед моделей, які команда застосовує, є Kimi K3 від китайського стартапу Moonshot AI, а також GLM 5.2 платформи Z.ai, окрім того використовуються моделі від OpenAI та Anthropic.

За словами Calle, американські моделі мають обмеження у сфері безпекових досліджень, і команда не раз стикалася із такими обмеженнями під час аудиту, тому перейшла на китайські моделі з можливістю локального запуску. Kimi K3 характеризується здатністю працювати з великими кодовими базами та виконувати довготривалі аналітичні завдання з мінімальним втручанням людини.

Аудит Lightning Network складніший

Calle повідомив, що через складну структуру програмне забезпечення Lightning Network, яке підтримує швидкі платежі Bitcoin, потребує більш складної перевірки, а кількість проблем у таких проектах перевищує середній рівень.

Він також наголосив, що на проєктах, які рано впровадили AI для аудиту, прогрес значно кращий, ніж на тих, хто не використовує такі інструменти. У майбутньому командам доведеться створювати власні AI-процедури аудиту, а програмам, які довго не обслуговуються, не слід сліпо довіряти.

З його слів, AI підвищує ефективність пошуку вразливостей, але й одночасно збільшує навантаження на розробників для підтримки безпеки. Хоча він і характеризує ситуацію як “Bitcoin у вогні”, Calle вважає, що масштабний аудит сприятиме зміцненню екосистеми Bitcoin.