AI駆動のBitcoin Red Teamが30時間で4,962のセキュリティ問題を発見

自称「Bitcoin Red Team」というボランティアグループが、BitcoinエコシステムのコードベースをAI支援のもとで急速にスキャンし、約30時間のうちに390のプロジェクトに対して4,962件のセキュリティ問題を報告した。 Cashu ecashプロトコルの開発者である仮名の開発者calleが、水曜日にチームの初回状況報告書を公開した。その結果は明確で、85件が「クリティカル」、635件が「高嚴重度」と分類され、合計で全体の14.5%を占めている。これは、プロジェクト1つあたり平均1.85件の深刻な問題、および1時間あたり約166件の報告を意味する。 どのように実行されたか - この取り組みは人間によるレビューとAIツールを組み合わせている。calleによると、チームは24時間365日活動する16人へと拡大しており、報告書には合計17人の貢献者（14人の人間、3人の自動化システム）が記録されている。 - 発見された問題の約91%は自動スキャンパイプラインを通じて収集されたが、calleは自動化ツールの改善に伴い、多くの作業が「AIを手助けする」ものであると強調している。貢献者が独自のプロンプトやエージェント設定を使用できるようにした結果、異なる種類のバグが発見されたという。 - 発見された問題の約21%は、概念実証（PoC）コードを用いて動的に再現された。8件の報告は偽陽性として削除された。 リスクが集中している分野 - 高嚴重度またはクリティカルな発見の割合はカテゴリごとに異なる。プライバシーおよびCoinJoinツールで最も高い割合（24%）を示し、次いでスワップおよび取引所（21%）、支払い／マーチャントツール（17%）が続いた。 - 暗号ライブラリおよびSDKからは最多の発見数（1,101件）が得られたが、そのうち高嚴重度またはクリティカルなものは約10%に過ぎなかった。 開示とコミュニティへの影響 - これまでにスキャン対象のうち、わずか19プロジェクト（5%未満）に対してのみ、発見内容がアップストリームに開示されている。calleは、すでに負荷が重いメンテナーにさらにプレッシャーをかけることへの謝罪を述べるとともに、迅速な報告が不可欠であると主張した。プロジェクト所有者が問題を検証する立場に最も適しており、AIによって検証が安価かつ迅速になるため、防御側が行動しなければ、攻撃者も同じツールで同様のバグを発見するだろう。 より広い文脈：AIは攻撃と防御の両方を加速する このキャンペーンは、AI支援によるコードレビュー時代におけるBitcoinソフトウェアセキュリティへの再評価の最中に行われた。報告書は過去の著名な失敗事例、たとえばCoinkiteのColdcard事件に言及している。2021年3月のファームウェアビルドではエントロピー用にソフトウェアフォールバックが使用され、秘密鍵が推測可能となり、ユーザーに約1億3,000万ドルの損失をもたらしたと推定されている。Coinkiteの事後分析では、「誰かがAIを使って当社の以前のファームウェアをレビューした」と述べられている。 LedgerのCTOであるCharles Guillemetも同様に、AIによって攻撃者が「マシン速度」で脆弱性を特定できるようになり、「オープンソースであることとレビュー済みであることとは異なる」と警告している。Coldcardの脆弱性は、AI駆動の分析によって発見されるまで公開コード上で5年以上も存在していたという事実は、攻撃者が従来のレビューサイクルを上回るツールを有していることを示している。 教訓 Bitcoin Red Teamによる迅速かつAI駆動の監査は、二つの不快な現実を浮き彫りにした。一つは、広く使われている多くのBitcoinプロジェクトに依然として高嚴重度のバグが存在すること。もう一つは、AIによってそれらを発見するのに必要な時間が劇的に短縮されたことである。この出来事は、メンテナーおよびより広いエコシステムが、AI対応型の攻撃者に対応するために、より迅速で継続的なセキュリティプロセスと協調的な開示手法を採用する緊急性を強調している。