فريق ريد تيم للبيتكوين المدعوم بالذكاء الاصطناعي يكتشف 4,962 مشكلة أمنية خلال 30 ساعة

مجموعة متطوعين تُعرف نفسها باسم فريق البيتكوين الأحمر أكملت مسحًا سريعًا بمساعدة الذكاء الاصطناعي لقواعد كود نظام البيتكوين، وسجلت 4,962 اكتشافًا أمنيًا عبر 390 مشروعًا في حوالي 30 ساعة. نشر المطور المجهول calle — مبتكر بروتوكول Cashu للنقد الإلكتروني — تقرير الحالة الأول للفريق يوم الأربعاء. النتائج صارخة: 85 اكتشافًا مصنّفة كحرجة و635 بدرجة خطورة عالية، تمثل معًا 14.5% من الإجمالي. وهذا يعادل متوسط 1.85 مشكلة خطيرة لكل مشروع، وحوالي 166 اكتشافًا تم الإبلاغ عنها كل ساعة. كيف تم ذلك: - يجمع الجهد بين المراجعة البشرية وأدوات الذكاء الاصطناعي. يقول calle إن المجموعة نمت إلى 16 شخصًا يعملون على مدار الساعة؛ سجّل التقرير 17 مساهمًا إجمالاً (14 بشريًا، 3 آليين). - تم استقبال حوالي 91% من الاكتشافات عبر أنابيب مسح آلية، لكن calle يؤكد أن جزءًا كبيرًا من العمل لا يزال يتطلب "إرشاد الذكاء الاصطناعي" بينما تتحسن الأدوات الآلية. وقد أدى السماح للمساهمين باستخدام إعدادات التحفيز والوكلاء الخاصة بهم إلى كشف فئات مختلفة من الأخطاء. - تم إعادة إنتاج حوالي 21% من الاكتشافات ديناميكيًا باستخدام كود إثبات المفهوم (PoC). تم إيقاف ثمانية مشكلات مبلغ عنها كإيجابيات كاذبة. أين تتركز المخاطر: - تختلف نسبة الاكتشافات عالية أو الحرجة حسب الفئة. أظهرت أدوات الخصوصية وCoinJoin أعلى معدل (24%)، تليها عمليات التبادل والبورصات (21%)، وأدوات الدفع/التجار (17%). - أنتجت مكتبات التشفير وSDKs أكبر حجم خام من الاكتشافات (1,101)، لكن حوالي 10% فقط منها كانت عالية أو حرجة. الإفصاح والأثر المجتمعي: - حتى الآن، تم الإفصاح عن الاكتشافات في 19 مشروعًا فقط — أقل من 5% من المشاريع التي تم مسحها. اعترف calle بالضغط الإضافي على المطورين المنهكين بالفعل، واعتذر عن أي إجهاد، لكنه أشار إلى أن الإبلاغ السريع ضروري: أصحاب المشاريع هم الأفضل موقعًا للتحقق من المشكلات، والذكاء الاصطناعي يجعل التحقق أرخص وأسرع، والمهاجمون الذين يستخدمون نفس الأدوات سيكتشفون نفس الثغرات إذا لم يتحرك المدافعون. السياق الأوسع: الذكاء الاصطناعي يُسرّع الهجوم والدفاع معًا يأتي هذا الحملة في ظل طرح أسئلة جديدة حول أمان برمجيات البيتكوين في عصر مراجعة الكود بمساعدة الذكاء الاصطناعي. يشير التقرير إلى فشلات سابقة بارزة مثل حادثة Coldcard الخاصة بـ Coinkite: حيث استخدمت بنية البرمجيات في مارس 2021 احتياطيًا برمجيًا للعشوائية جعل المفاتيح الخاصة قابلة للتخمين، ويعتقد أنه تسبب في خسائر قدرها حوالي 130 مليون دولار للمستخدمين. وفي تحليل ما بعد الحادث، اقترح Coinkite أن "شخصًا ما استخدم الذكاء الاصطناعي لمراجعة الإصدارات السابقة من برمجياتنا" لاكتشاف العيب. وحذر شارل غيليميه، الرئيس التنفيذي التقني لشركة Ledger، أيضًا من أن الذكاء الاصطناعي يسمح للخصوم بتحديد الثغرات "بسرعة الآلة"، وأن "المفتوح المصدر والمراجَع ليسا شيئًا واحدًا". ووفقًا للتقارير، كان العيب في Coldcard موجودًا في الكود العام لأكثر من خمس سنوات قبل اكتشافه عبر تحليل مدعوم بالذكاء الاصطناعي — تذكير بأن المهاجمين يمتلكون الآن أدوات يمكنها تجاوز دورات المراجعة التقليدية. الاستنتاج: يُبرز التدقيق السريع الذي قام به فريق البيتكوين الأحمر باستخدام الذكاء الاصطناعي حقيقتين غير مريحتين: لا تزال العديد من مشاريع البيتكوين المستخدمة على نطاق واسع تحتوي على أخطاء خطيرة، والذكاء الاصطناعي قلل بشكل كبير الوقت اللازم لاكتشافها. ويشير الحادث إلى ضرورة عاجلة للمطورين والبيئة الأوسع لتبني عمليات أمنية مستمرة وأسرع وممارسات إفصاح منسقة للحفاظ على وتيرة المهاجمين المدعومين بالذكاء الاصطناعي.