ড্রাগনফ্লাই-এর হাসিব কুরেশি বলেছেন, ২ ডলারের এআই অডিট কোল্ডকার্ডের ত্রুটি ধরতে পারত

কোল্ডকার্ডের ত্রুটি ক্রিপ্টো প্রতিষ্ঠানগুলোকে AI দিয়ে প্রতিটি রিলিজ পরীক্ষা করতে বাধ্য করতে পারে

কৃত্রিম বুদ্ধিমত্তা দুর্বলতা আবিষ্কারকে এতটাই সস্তা করে দিচ্ছে যে, নিরাপত্তা ক্রমেই নির্ভর করতে পারে আক্রমণকারীরা করার আগেই কোম্পানিগুলো কতটা খরচ করতে রাজি—তার ওপর।

এটাই হলো ড্রাগনফ্লাইয়ের ম্যানেজিং পার্টনার হাসিব কুরেশির সতর্কবার্তা, AI মডেলগুলো নাকি কোল্ডকার্ডের বিটকয়েন ওয়ালেট ফার্মওয়্যারের একটি গুরুতর দুর্বলতা মিনিটের মধ্যেই পুনরায় আবিষ্কার করেছে—এমন প্রতিবেদনের পর।

“সাইবারসিকিউরিটি এখন পুরোপুরি খরচের খেলা,” কুরেশি X-এ লিখেছেন। তিনি বলেন, মূল প্রশ্ন হলো—সম্ভাব্য আক্রমণকারীদের তুলনায় ডেভেলপাররা AI-ভিত্তিক টেস্টিংয়ে কতটা বিনিয়োগ করছে।

কোল্ডকার্ড একটি এনট্রপি ত্রুটির কথা প্রকাশ করে, যা কিছু নির্দিষ্ট ফার্মওয়্যার ভার্সন দিয়ে তৈরি সিডকে প্রভাবিত করে। বাগটির কারণে কিছু ডিভাইস প্রত্যাশিত হার্ডওয়্যার র‌্যান্ডমনেস সোর্সের বদলে একটি নির্ধারিত (deterministic) সফটওয়্যার জেনারেটরের ওপর নির্ভর করছিল। কোইনকাইট ৩১ জুলাই জরুরি আপডেট প্রকাশ করে এবং প্রভাবিত ব্যবহারকারীদের নতুন সিড তৈরি করে তাদের ফান্ড স্থানান্তর করতে বলে। শুধু নতুন ফার্মওয়্যার ইনস্টল করলে পুরনো সিড মেরামত হয় না।

দুর্বলতাটি নাকি মিনিটের মধ্যেই পাওয়া গেছে

একটি পরীক্ষায় নাকি Anthropic-এর Claude Code দিয়ে প্রায় আট মিনিট পর ত্রুটিটি পাওয়া যায়। কুরেশি সতর্ক করেন যে, ফলাফলটি ইন্টারনেট অ্যাক্সেসের কারণে প্রভাবিত হতে পারে, যা মডেলকে বাগটি সম্পর্কে বিদ্যমান তথ্যের সংস্পর্শে আনতে পারে। একটি আলাদা পরীক্ষা ওয়েব অ্যাক্সেস বন্ধ রেখে GLM 5.2 ব্যবহার করে। সেটি প্রায় ২০ মিনিটে দুর্বলতাটি পুনরুত্পাদন করে।

মডেলটির ইনপুট ও আউটপুট খরচের ভিত্তিতে তিনি আন্দাজ করেন যে অডিটটির খরচ ছিল প্রায় $2। তিনি মন্তব্য করেন, “$2-এর AI হার্ডেনিংই এই বাগটি ধরতে পারত। এর কোনো অজুহাত নেই।” কুরেশি Cost of Discovery বা CoD নামে একটি নতুন মাপকাঠি প্রস্তাব করেন। এই মেট্রিকটি অনুমান করবে, কোনো ফ্রন্টিয়ার AI মডেলের কাছে স্বতন্ত্রভাবে একটি দুর্বলতা পুনরুত্পাদন করতে কত খরচ হয়।

ছোট নিরাপত্তা বিক্রেতারা ক্রমবর্ধমান চাপের মুখে

এই ঘটনাটি হার্ডওয়্যার ওয়ালেট বাজারের জন্য আরও বিস্তৃত পরিণতি ডেকে আনতে পারে।

কুরেশির মতে, বড় বিক্রেতাদের সুবিধা থাকবে, কারণ তারা স্বয়ংক্রিয় টেস্টিং, অডিট এবং রিলিজ হার্ডেনিংয়ে বেশি খরচ করতে পারবে। ছোট কোম্পানিগুলোর পক্ষে কম খরচে লাগাতার কোড স্ক্যান করতে সক্ষম আক্রমণকারীদের সঙ্গে তাল মেলানো কঠিন হতে পারে।

ওয়ালেট, স্মার্ট কন্ট্র্যাক্ট বা টাকা সুরক্ষিত রাখে এমন অন্যান্য পণ্য তৈরি করা স্টার্টআপগুলোর উচিত প্রতিটি রিলিজের আগে AI নিরাপত্তা রিভিউ চালানো—তিনি এমন সুপারিশ করেন।

কুরেশি ওপেন-সোর্স নিরাপত্তা সম্পর্কে প্রচলিত একটি ধারণাকেও চ্যালেঞ্জ করেন। তিনি বলেন, পাবলিক কোড ব্যবহারকারীদের ক্ষতিকর ডেভেলপারদের থেকে রক্ষা করতে পারে, কিন্তু তা স্বয়ংক্রিয়ভাবে আক্রমণকারীদের থেকে তাদের রক্ষা করে না।

AI দুই পক্ষকেই সহায়তা করতে পারে। এটি দুর্বলতা খুঁজে পাওয়ার দাম কমায়, তবে ডেভেলপারদের আরও শক্তিশালী প্রতিরক্ষামূলক টুলও দেয়।

“আমাদের মানিয়ে নেওয়া ছাড়া কোনো উপায় নেই,” কুরেশি বলেন।