Lebih dari 40 Perusahaan Kripto Mengingatkan Bahaya Kesenjangan Keamanan dalam AI

Bitcoin Policy Institute menerbitkan surat terbuka berjudul “Defenders Need the Frontier” pada 10 Agustus. Para penandatangan surat tersebut antara lain Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor, serta kelompok pendukung pengembang seperti Brink, Chaincode Labs, Btrust, OpenSats, dan BTCPay Server.

Perlombaan Antara Penyerang dan Pembela

Permintaan ini berfokus pada realitas yang terus berubah dalam dunia keamanan siber. Sistem AI canggih dapat memindai kumpulan kode komputer yang sangat besar, mengidentifikasi kemungkinan kelemahan, dan membantu para peneliti menguji apakah suatu celah dapat dieksploitasi.

Hal ini dapat membuat tinjauan keamanan menjadi lebih cepat dan lebih menyeluruh. Namun, hal ini juga dapat membuat serangan menjadi lebih murah dan lebih mudah untuk diperluas. Berita ini muncul setelah insiden pelanggaran keamanan yang baru-baru ini menimpa Coldcard, di mana AI diduga telah mendeteksi kelemahan firmware dompet perangkat keras tersebut sebelum akhirnya terjadi ledakan.

Koalisi tersebut menyatakan bahwa laboratorium AI besar dan sekelompok kecil mitra terpilih sering kali mendapatkan akses awal terhadap kemampuan tersebut, sementara para pengembang perangkat lunak keuangan sumber terbuka yang banyak digunakan tidak mendapatkannya. Surat tersebut berargumen bahwa pada saat alat-alat yang lebih canggih tersedia secara luas, penyerang mungkin sudah menemukan cara untuk mengakses, menyalin, atau mengembangkan kemampuan serupa.

“Frontier AI sedang mengubah dinamika ekonomi baik dalam penelitian keamanan maupun operasi siber,” kata surat tersebut. Surat itu memperingatkan bahwa para pertahanan sering kali menghadapi batasan keamanan saat mencoba menggunakan produk AI publik untuk penelitian yang sah, sehingga mereka “terpaksa mengandalkan alternatif open-source yang kurang mumpuni untuk tinjauan keamanan kritis.”

Model open-source adalah sistem AI yang perangkat lunak dasarnya dapat diunduh dan diadaptasi oleh pengembang eksternal. Model ini bisa berguna, tetapi koalisi tersebut menyatakan bahwa model tersebut mungkin tidak sebanding dengan model terkuat yang tersedia dari laboratorium besar. Perbedaan ini menjadi penting ketika tim kecil harus memeriksa perangkat lunak kompleks yang menangani uang sungguhan.

Apa yang Berisiko

Bitcoin sendiri mengamankan aset senilai lebih dari $1 triliun, menurut surat tersebut. Sistem aset digital yang lebih luas juga bergantung pada perangkat lunak sumber terbuka untuk dompet, pustaka kriptografi, pemroses pembayaran, bursa, layanan kustodi, dan alat Lightning Network.

Kelemahan pada salah satu komponen tersebut dapat menimbulkan konsekuensi serius. Aset digital sering kali berfungsi seperti instrumen atas unjuk: Pengendalian atas kredensial kriptografi dapat berarti pengendalian atas dana tersebut. Begitu uang dipindahkan, pemulihannya bisa jadi sulit atau bahkan mustahil.

Hal itu membuat deteksi cepat menjadi sangat penting bagi konsumen yang menyimpan tabungan, pedagang yang menerima pembayaran Bitcoin, dan bisnis yang melindungi aset klien. Koalisi tersebut berpendapat bahwa kelemahan keamanan dapat membahayakan rekening pensiun, dana bisnis, tabungan darurat, dan modal institusional, bukan sekadar sistem perangkat lunak.

Surat tersebut menyebutkan bahwa tekanan tersebut sudah terlihat di kalangan tim pemeliharaan kecil. Disebutkan pula bahwa Bitcoin Policy Institute telah menerima laporan bahwa pelaku yang canggih, termasuk kemungkinan musuh asing, menggunakan kemampuan AI tingkat lanjut untuk terus menekan pengembang open-source. Bahkan serangan yang gagal pun dapat menghabiskan waktu dan uang yang seharusnya dapat digunakan oleh pengelola untuk meningkatkan perangkat lunak mereka.

Audit Terbaru Menunjukkan Kekuatan AI dalam Pertahanan

Upaya ini menyusul proyek sukarela pada awal Agustus yang disebut Bitcoin Red Team, yang menggunakan alat bantu AI untuk mengaudit kode terkait Bitcoin. Peserta proyek tersebut antara lain pengembang Cashu, Calle, dan CEO Anchorwatch, Rob Hamilton.

Dalam salah satu cuplikan awal yang diposting di X, kelompok tersebut meninjau 390 proyek dalam waktu sekitar 27,5 jam dan melaporkan sekitar 4.962 temuan. Temuan tersebut mencakup puluhan yang diklasifikasikan sebagai kritis, dan ratusan yang dianggap memiliki tingkat keparahan tinggi. Tim tersebut menggunakan beberapa sistem AI, termasuk Kimi K3 dari Moonshot, sistem OpenAI, dan varian Claude dari Anthropic, sementara Opensats membantu mendanai biaya komputasi yang dilaporkan mencapai puluhan ribu dolar.

Temuan-temuan tersebut belum secara otomatis dikonfirmasi sebagai kerentanan. Laporan yang dihasilkan AI masih memerlukan orang-orang berpengalaman untuk memverifikasinya, menilai tingkat keparahannya, dan mengoordinasikan perbaikan. Namun, skala upaya ini menunjukkan seberapa cepat AI dapat membantu peneliti keamanan memilah kode yang kompleks, yang jika tidak menggunakan AI mungkin akan memakan waktu jauh lebih lama untuk diperiksa.

Koalisi tersebut menyatakan bahwa batasan akses memaksa kelompok tersebut untuk sangat bergantung pada model yang tersedia selama tahap awal kerja mereka. Argumen yang lebih luas dari mereka adalah bahwa para pertahanan yang berkualifikasi harus dapat menggunakan sistem yang paling mumpuni sebelum sistem tersebut menjadi alat umum bagi para penjahat atau pemerintah yang bermusuhan.

Sebuah Insiden Pelanggaran Nyata Meningkatkan Taruhannya

Perdebatan ini menjadi semakin mendesak setelah BTCPay Server mengungkap celah kritis yang memengaruhi versi sebelum 2.4.2. BTCPay adalah perangkat lunak sumber terbuka yang membantu pedagang menerima pembayaran Bitcoin.

Kerentanan tersebut memungkinkan penyerang jarak jauh yang tidak terotentikasi memperoleh kredensial administrator sensitif untuk LND, sebuah implementasi Lightning Network yang umum digunakan. Kredensial tersebut dapat memberikan kendali kepada penyerang atas dompet yang terhubung dan memungkinkan dana dikuras. Celah tersebut dieksploitasi secara aktif, dan beberapa operator melaporkan kerugian.

Insiden tersebut memberikan contoh konkret bagi argumen dalam surat tersebut. Anggota Bitcoin Red Team membantu menganalisis masalah ini, sementara pengembang Sparrow Wallet, Craig Raw, memainkan peran kunci dalam mengidentifikasinya setelah menjadi korban, menurut laporan sumber. BTCPay menyatakan bahwa AI mengubah keseimbangan antara penyerang dan pertahanan dengan menurunkan biaya peninjauan basis kode yang besar.

Koalisi Ini Tidak Meminta Rilis Terbuka

Para penandatangan tidak menyerukan akses publik tanpa batasan terhadap model AI yang paling canggih secara siber. Sebaliknya, mereka menginginkan program akses tepercaya permanen bagi individu dan kelompok yang dapat menunjukkan tanggung jawab keamanan yang sah.

Program yang mereka usulkan akan menawarkan akses awal dan terkendali ke model-model canggih, termasuk sistem pra-rilis jika diperlukan. Mereka juga mengupayakan kapasitas komputasi yang memadai untuk tugas-tugas AI yang berjalan dalam jangka panjang, ruang aman untuk memeriksa kode pribadi atau yang diembargo, serta saluran komunikasi langsung dengan tim keamanan laboratorium.

Surat tersebut secara khusus meminta laboratorium-laboratorium untuk tidak membatasi kelayakan hanya pada perusahaan besar dan pemerintah. Organisasi nirlaba kecil, pengelola independen, dan pengembang sukarela sering kali melindungi perangkat lunak yang digunakan oleh jutaan orang, demikian tertulis dalam surat tersebut, namun mungkin tidak memiliki sumber daya atau hubungan kelembagaan yang diperlukan untuk bergabung dengan program yang ada.

“Para pelindung membutuhkan ruang eksplorasi,” demikian kesimpulan surat tersebut. “Mohon berikan mereka kesempatan awal yang adil.”

Langkah selanjutnya akan bergantung pada apakah laboratorium AI terkemuka memperluas program akses khusus untuk keamanan siber dan apakah mereka memasukkan infrastruktur keuangan sumber terbuka ke dalam aturan kelayakannya. Surat tersebut masih terbuka untuk tanda tangan tambahan, dan pengguna, pedagang, serta investor bitcoin disarankan untuk memantau tanggapan dari laboratorium-laboratorium tersebut, hasil audit terbaru, serta pengungkapan lebih lanjut dari proyek-proyek perangkat lunak yang mengandalkan tinjauan keamanan yang didukung AI.