حسيب قريشي من شركة «دراغونفلاي» يقول إن تدقيقًا في الذكاء الاصطناعي بتكلفة دولار واحد كان من الممكن أن يكشف عن ثغرة «كولدكارد»

قد يدفع عيب Coldcard شركات العملات المشفرة إلى اختبار كل إصدار باستخدام الذكاء الاصطناعي

أصبح اكتشاف الثغرات الأمنية بفضل الذكاء الاصطناعي رخيصًا للغاية، لدرجة أن الأمن قد يعتمد بشكل متزايد على المبلغ الذي ترغب الشركات في إنفاقه قبل أن يفعل المهاجمون ذلك.

هذا هو التحذير الذي أطلقه هاسيب قريشي، الشريك الإداري في شركة Dragonfly، بعد أن أعادت نماذج الذكاء الاصطناعي، وفقًا للتقارير، اكتشاف ثغرة خطيرة في البرنامج الثابت لمحفظة البيتكوين الخاصة بشركة Coldcard في غضون دقائق.

وكتب قريشي على X: «أصبح الأمن السيبراني الآن مسألة إنفاق بحتة». وقال إن السؤال الأساسي هو مقدار ما يستثمره المطورون في الاختبارات القائمة على الذكاء الاصطناعي مقارنة بالمهاجمين المحتملين.

كشفت «كولدكارد» عن عيب في الانتروبيا يؤثر على «البذور» التي تم إنشاؤها باستخدام إصدارات معينة من البرامج الثابتة. تسبب هذا الخلل في اعتماد بعض الأجهزة على مولد برمجي حتمي بدلاً من مصدر العشوائية المادي المقصود. أصدرت Coinkite تحديثات طارئة في 31 يوليو وطلبت من المستخدمين المتضررين إنشاء بذور جديدة ونقل أموالهم. لا يؤدي تثبيت البرنامج الثابت الجديد وحده إلى إصلاح البذور القديمة.

تم اكتشاف الثغرة الأمنية في غضون دقائق حسبما ورد

أفادت التقارير أن أحد الاختبارات اكتشف الثغرة باستخدام «Claude Code» من شركة «Anthropic» بعد حوالي ثماني دقائق. وحذر «قريشي» من أن النتيجة ربما تأثرت بالاتصال بالإنترنت، مما قد يكون عرّض النموذج لمعلومات موجودة مسبقًا عن الثغرة. أما في اختبار آخر، فقد تم تعطيل الوصول إلى الإنترنت واستخدام GLM 5.2، وتم إعادة إنتاج الثغرة الأمنية في غضون 20 دقيقة تقريبًا.

واستنادًا إلى تكاليف الإدخال والإخراج للنموذج، قدر أن تكلفة التدقيق بلغت حوالي 2 دولار. وقال: «كان من الممكن اكتشاف هذا الخلل بتكلفة 2 دولار لتعزيز أمان الذكاء الاصطناعي. لا يوجد عذر لهذا"، كما أشار. اقترح قريشي مقياسًا جديدًا يسمى «تكلفة الاكتشاف» (Cost of Discovery) أو CoD. سيُقدّر هذا المقياس التكلفة التي يتكبدها نموذج الذكاء الاصطناعي الرائد لإعادة إنتاج الثغرة الأمنية بشكل مستقل.

موردو حلول الأمان الصغار يواجهون ضغوطاً متزايدة

قد يكون لهذا الحادث عواقب أوسع نطاقًا على سوق المحافظ المادية.

جادل قريشي بأن الشركات الكبرى ستتمتع بميزة لأنها تستطيع إنفاق المزيد على الاختبارات الآلية وعمليات التدقيق وتعزيز أمان الإصدارات. وقد تواجه الشركات الصغيرة صعوبة في مجاراة المهاجمين القادرين على فحص الكود باستمرار بتكلفة ضئيلة.

وأوصى بأن تقوم الشركات الناشئة التي تعمل على تطوير المحافظ أو العقود الذكية أو غيرها من المنتجات التي تحمي الأموال بإجراء مراجعات أمنية باستخدام الذكاء الاصطناعي قبل كل إصدار.

كما طعن قريشي في افتراض شائع حول أمن البرمجيات مفتوحة المصدر. وقال إن الكود المفتوح يمكن أن يحمي المستخدمين من المطورين الخبثاء، لكنه لا يحميهم تلقائيًا من المهاجمين.

يمكن للذكاء الاصطناعي أن يخدم كلا الجانبين. فهو يقلل من تكلفة اكتشاف الثغرات الأمنية، ولكنه يمنح المطورين أيضًا أدوات دفاعية أقوى.

قال قريشي: «ليس لدينا خيار سوى التكيف».