Haseeb Qureshi dari Dragonfly mengatakan bahwa kerentanan Coldcard menunjukkan bagaimana kecerdasan buatan (AI) sedang mengubah dinamika ekonomi keamanan siber. Seiring dengan turunnya biaya untuk mendeteksi celah keamanan, ia berpendapat bahwa perusahaan kripto harus menerapkan model AI terdepan pada setiap rilis perangkat lunak.
Haseeb Qureshi dari Dragonfly Mengatakan Audit AI Seharga $2 Bisa Saja Mengungkap Kelemahan Coldcard
DITULIS OLEH
BAGIKAN
Poin-Poin Utama
- Coldcard memperbaiki kelemahan pada seed pada 31 Juli setelah AI dilaporkan menemukannya dalam waktu 8 menit.
- Haseeb Qureshi mengatakan audit AI seharga $2 dapat menguntungkan perusahaan kripto dengan anggaran keamanan yang lebih besar.
- Qureshi mendesak agar pemeriksaan AI terdepan dilakukan pada setiap rilis karena waktu penemuan celah kini hanya hitungan menit.
Kelemahan Coldcard Dapat Mendorong Perusahaan Kripto untuk Menguji Setiap Rilis dengan AI
Kecerdasan buatan membuat penemuan kerentanan menjadi sangat murah sehingga keamanan mungkin semakin bergantung pada seberapa besar perusahaan bersedia mengeluarkan dana sebelum penyerang melakukannya.
Itulah peringatan dari mitra pengelola Dragonfly, Haseeb Qureshi, setelah model AI dilaporkan menemukan kembali kelemahan kritis dalam firmware dompet bitcoin Coldcard dalam hitungan menit.
"Keamanan siber kini sepenuhnya bergantung pada anggaran," tulis Qureshi di X. Pertanyaan utamanya, katanya, adalah seberapa besar pengembang berinvestasi dalam pengujian berbasis AI dibandingkan dengan penyerang potensial.
Coldcard mengungkap adanya kelemahan entropi yang memengaruhi seed yang dibuat dengan versi firmware tertentu. Bug tersebut menyebabkan beberapa perangkat mengandalkan generator perangkat lunak deterministik alih-alih sumber keacakan perangkat keras yang seharusnya. Coinkite merilis pembaruan darurat pada 31 Juli dan menyarankan pengguna yang terdampak untuk membuat seed baru serta memindahkan dana mereka. Menginstal firmware baru saja tidak akan memperbaiki seed lama.
Kerentanan Dilaporkan Ditemukan Dalam Hitungan Menit
Sebuah pengujian dilaporkan menemukan kelemahan tersebut dengan Claude Code dari Anthropic setelah sekitar delapan menit. Qureshi mengingatkan bahwa hasil tersebut mungkin dipengaruhi oleh akses internet, yang bisa saja membuat model tersebut terpapar informasi yang sudah ada mengenai bug tersebut. Sebuah pengujian terpisah menonaktifkan akses web dan menggunakan GLM 5.2. Pengujian tersebut berhasil mereproduksi kerentanan tersebut dalam waktu sekitar 20 menit.
Berdasarkan biaya input dan output model, ia memperkirakan bahwa audit tersebut menelan biaya sekitar $2. "Penguatan AI senilai $2 seharusnya sudah bisa mendeteksi bug ini. Tidak ada alasan untuk ini," katanya. Qureshi mengusulkan ukuran baru yang disebut Cost of Discovery, atau CoD. Metrik ini akan memperkirakan berapa biaya yang diperlukan oleh model AI terdepan untuk mereproduksi kerentanan secara mandiri.
Vendor Keamanan Kecil Menghadapi Tekanan yang Semakin Besar
Insiden ini mungkin memiliki konsekuensi yang lebih luas bagi pasar dompet perangkat keras.
Qureshi berpendapat bahwa vendor besar akan memiliki keunggulan karena mereka dapat mengalokasikan lebih banyak dana untuk pengujian otomatis, audit, dan penguatan rilis. Perusahaan kecil mungkin kesulitan bersaing dengan penyerang yang dapat memindai kode secara terus-menerus dengan biaya yang minim.
Startup yang mengembangkan dompet, kontrak pintar, atau produk lain yang melindungi uang sebaiknya melakukan tinjauan keamanan berbasis AI sebelum setiap rilis, sarannya.
Qureshi juga menantang asumsi umum mengenai keamanan open-source. Kode yang terbuka untuk umum dapat melindungi pengguna dari pengembang jahat, katanya, tetapi hal itu tidak secara otomatis melindungi mereka dari penyerang.
AI dapat bermanfaat bagi kedua belah pihak. AI menurunkan biaya untuk menemukan kerentanan, tetapi juga memberikan alat pertahanan yang lebih kuat kepada pengembang.
"Kita tidak punya pilihan selain beradaptasi," kata Qureshi.
Artikel ini diterjemahkan dari bahasa Inggris menggunakan AI. Versi asli berbahasa Inggris adalah sumber yang berwenang; terjemahan otomatis dapat mengandung ketidakakuratan, terutama dalam terminologi hukum dan peraturan.
