Üle 40 krüptovaluutaettevõtte hoiatab tehisintellekti turvalisuse lõhe eest

Bitcoin Policy Institute avaldas 10. augustil avatud kirja pealkirjaga „Defenders Need the Frontier“ („Kaitsjad vajavad piire“). Allakirjutanute hulka kuuluvad Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor ning arendajaid toetavad rühmad, nagu Brink, Chaincode Labs, Btrust, OpenSats ja BTCPay Server.

Võidujooks ründajate ja kaitsjate vahel

Taotlus keskendub küberjulgeoleku muutuvale olukorrale. Arenenud tehisintellekti süsteemid suudavad skannida tohutuid arvutikoodi kogusid, tuvastada võimalikke nõrkusi ja aidata teadlastel testida, kas viga on võimalik ära kasutada.

See võib muuta turvaülevaatusi kiiremaks ja põhjalikumaks. Samuti võib see muuta rünnakuid odavamaks ja kergemini mastaapsemaks. Uudis järgneb Coldcardi hiljutisele turvalisuse rikkumisele, kus kahtlustati, et tehisintellekt avastas riistvarakoti püsivara vea enne, kui see plahvatas.

Koalitsiooni sõnul saavad suured tehisintellekti laborid ja väike rühm valitud partnereid sageli varakult ülevaate nendest võimekustest, samas kui laialdaselt kasutatavat avatud lähtekoodiga finantstarkvara haldavad inimesed seda ei saa. Kirjas väidetakse, et ajaks, mil võimsamad tööriistad muutuvad laialdaselt kättesaadavaks, on ründajad võib-olla juba leidnud viise, kuidas neile juurde pääseda, neid kopeerida või luua võrreldavaid võimekusi.

„Frontier AI muudab nii turbeuuringute kui ka küberoperatsioonide majanduslikku olemust,“ öeldakse kirjas. Selles hoiatatakse, et kaitsjad seisavad sageli silmitsi turvalisuspiirangutega, kui nad püüavad kasutada avalikult kättesaadavaid tehisintellekti tooteid seaduslikuks uurimistööks, mistõttu nad on sunnitud „kriitiliste turvaülevaatuste tegemisel tuginema vähem võimekatele avatud lähtekoodiga alternatiividele“.

Avatud kaaluga mudelid on tehisintellekti süsteemid, mille aluseks olevat tarkvara saavad välised arendajad alla laadida ja kohandada. Need võivad olla kasulikud, kuid koalitsiooni sõnul ei pruugi need vastata suurimate laborite pakutavatele kõige võimsamatele mudelitele. See erinevus on oluline, kui väike meeskond peab kontrollima keerukat tarkvara, millega käideldakse pärisraha.

Mis on ohus

Kirja kohaselt on ainuüksi bitcoini väärtus üle 1 triljoni dollari. Laiem digivara süsteem sõltub samuti avatud lähtekoodiga tarkvarast, mida kasutatakse rahakottides, krüptograafilistes raamatukogudes, makseprotsessorites, vahetusplatvormidel, hoiuteenustes ja Lightning Networki tööriistades.

Viga üheski neist osadest võib kaasa tuua tõsiseid tagajärgi. Digitaalsed varad toimivad sageli kandja väärtpaberitena: krüptograafiliste volituste kontrollimine võib tähendada rahaliste vahendite kontrolli. Kui raha on kord üle kantud, võib selle tagasisaamine olla raske või võimatu.

Seetõttu on kiire avastamine eriti oluline sääste hoidvatele tarbijatele, bitcoini makseid vastu võtvatele kaupmeestele ja klientide varasid kaitsvatele ettevõtetele. Koalitsioon väidab, et turvaprobleemid võivad ohustada mitte ainult tarkvarasüsteeme, vaid ka pensionikontosid, ettevõtete rahalisi vahendeid, hädaolukorraks kogutud sääste ja institutsioonilist kapitali.

Kirjas märgitakse, et koormus on juba nähtav väikeste hooldusmeeskondade seas. Selles öeldakse, et Bitcoin Policy Institute on saanud teateid, et kogenud osapooled, sealhulgas võimalikud välismaised vaenlased, kasutavad arenenud tehisintellekti võimeid, et avatud lähtekoodiga arendajatele survet avaldada. Isegi ebaõnnestunud rünnakud võivad kulutada aega ja raha, mida hooldajad muidu kulutaksid oma tarkvara täiustamisele.

Hiljutine audit näitas tehisintellekti kaitsvat jõudu

Selle algatuse taustal on augusti alguses toimunud vabatahtlik projekt nimega „Bitcoin Red Team“, mille raames kasutati tehisintellekti abil loodud tööriistu Bitcoiniga seotud koodi auditeerimiseks. Osalejate hulgas olid Cashu arendaja Calle ja Anchorwatchi tegevjuht Rob Hamilton.

Ühes X-i postitatud varases ülevaates vaatas rühm umbes 27,5 tunni jooksul läbi 390 projekti ja esitas ligikaudu 4962 leiutist. Nende hulgas oli kümneid kriitilise tähtsusega ja sadu kõrge tõsidusastmega leiutisi. Meeskond kasutas mitmeid tehisintellekti süsteeme, sealhulgas Moonshoti Kimi K3, OpenAI süsteeme ja Anthropicu Claude’i variante, samal ajal kui Opensats aitas katta arvutusvõimsuse kulusid, mille suuruseks teatati kümneid tuhandeid dollareid.

Sellised leiud ei ole automaatselt kinnitatud turvaauke. Tehisintellekti poolt koostatud aruandeid peavad ikkagi kogenud spetsialistid kontrollima, hindama nende tõsidust ja koordineerima parandamistöid. Kuid selle töö ulatus näitas, kui kiiresti võib tehisintellekt aidata turvauurijatel läbi vaadata keerulist koodi, mille uurimine võtaks muidu palju kauem aega.

Koalitsioon väidab, et juurdepääsupiirangud sundisid rühma esialgse töö käigus suuresti tuginema olemasolevatele mudelitele. Nende laiem argument on, et kvalifitseeritud kaitsjatel peaks olema võimalus kasutada kõige võimekamaid süsteeme enne, kui need muutuvad kurjategijate või vaenulike valitsuste tavapärasteks tööriistadeks.

Tõeline turvalisuse rikkumine tõstis panuseid

Arutelu muutus veelgi pakilisemaks pärast seda, kui BTCPay Server avalikustas kriitilise turvaaugu, mis mõjutab versioone enne 2.4.2. BTCPay on avatud lähtekoodiga tarkvara, mis aitab kaupmeestel vastu võtta Bitcoin-makseid.

See turvaauk võimaldaks autentimata kaugrünnaku tegijal hankida tundlikke administraatori kasutajatunnuseid LND-le, mis on laialt kasutatav Lightning Networki rakendus. Need kasutajatunnused võivad anda ründajale kontrolli ühendatud rahakottide üle ja võimaldada rahaliste vahendite äravõtmist. Viga kasutati aktiivselt ära ja mõned operaatorid teatasid kahjudest.

See intsident andis kirjas esitatud argumendile konkreetse näite. Allika aruande kohaselt aitasid Bitcoin Red Teami liikmed probleemi analüüsida, samas kui Sparrow Walleti arendaja Craig Raw mängis selle tuvastamisel võtmerolli, olles ise selle ohvriks langenud. BTCPay väitis, et tehisintellekt muudab ründajate ja kaitsjate vahelist tasakaalu, vähendades suurte koodibaaside läbivaatamise kulusid.

Koalitsioon ei nõua avalikku avaldamist

Allakirjutanud ei nõua piiramatut avalikku juurdepääsu kõige kübervõimekamatele tehisintellekti mudelitele. Selle asemel soovivad nad püsivaid usaldusjuurdepääsu programme inimestele ja rühmadele, kes suudavad tõendada oma õiguspäraseid turvalisusega seotud kohustusi.

Nende pakutud programmid pakuksid varajast, kontrollitud juurdepääsu arenenud mudelitele, sealhulgas vajaduse korral ka eelväljalaskesüsteemidele. Samuti soovivad nad piisavat arvutusvõimsust pikaajaliste tehisintellekti ülesannete jaoks, turvalisi ruume privaatse või embargoga kaitstud koodi uurimiseks ning otseseid suhtluskanaleid laborite turvalisusmeeskondadega.

Kirjas palutakse laboritel konkreetselt mitte piirata osalemise õigust vaid suurettevõtetele ja valitsustele. Väikesed mittetulundusühingud, sõltumatud hooldajad ja vabatahtlikud arendajad kaitsevad sageli tarkvara, mida kasutavad miljonid inimesed, kuid neil võib puududa olemasolevatesse programmidesse pääsemiseks vajalikud ressursid või institutsionaalsed sidemed.

„Kaitsjad vajavad uut piiri,“ lõpetab kiri. „Palun andke neile õiglane eelise.“

Edasine areng sõltub sellest, kas juhtivad tehisintellekti laborid laiendavad spetsialiseeritud küberturvalisuse juurdepääsuprogramme ja kas nad kaasavad oma osalemisreeglitesse avatud lähtekoodiga finantsinfrastruktuuri. Kiri on endiselt avatud täiendavate allkirjade jaoks ning bitcoini kasutajad, kaupmehed ja investorid peaksid jälgima laborite vastuseid, uusi auditi tulemusi ja täiendavaid avalikustusi tarkvaraprojektidelt, mis tuginevad tehisintellekti abil läbiviidavatele turvaülevaadetele.