Viac ako 40 kryptomenových firiem bije na poplach v súvislosti s bezpečnostnými rozdielmi v oblasti umelej inteligencie

Bitcoin Policy Institute zverejnil 10. augusta otvorený list s názvom „Defenders Need the Frontier“ (Obrancovia potrebujú hranice). Medzi signatármi sú Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor a skupiny podporujúce vývojárov, ako sú Brink, Chaincode Labs, Btrust, OpenSats a BTCPay Server.

Súboj medzi útočníkmi a obrancami

Žiadosť sa zameriava na meniacu sa realitu v oblasti kyberbezpečnosti. Pokročilé systémy umelej inteligencie dokážu prehľadávať obrovské množstvá počítačového kódu, identifikovať možné slabé miesta a pomáhať výskumníkom testovať, či je možné danú chybu zneužiť.

Vďaka tomu môžu byť bezpečnostné kontroly rýchlejšie a dôkladnejšie. Môže to však tiež spôsobiť, že útoky budú lacnejšie a ľahšie škálovateľné. Táto správa nadväzuje na nedávny útok na Coldcard, pri ktorom sa predpokladá, že umelá inteligencia odhalila chybu vo firmvéri hardvérovej peňaženky ešte predtým, ako došlo k útoku.

Koalícia tvrdí, že veľké laboratóriá umelej inteligencie a malá skupina vybraných partnerov často získavajú včasný prehľad o týchto schopnostiach, zatiaľ čo ľudia, ktorí udržiavajú široko používaný finančný softvér s otvoreným zdrojovým kódom, nie. List argumentuje, že v čase, keď sa výkonnejšie nástroje stanú široko dostupnými, útočníci už môžu mať nájdené spôsoby, ako získať prístup, skopírovať alebo vyvinúť porovnateľné schopnosti.

„Frontier AI mení ekonomiku nielen bezpečnostného výskumu, ale aj kybernetických operácií,“ uvádza sa v liste. Varuje, že obrancovia sa často stretávajú s bezpečnostnými obmedzeniami, keď sa pokúšajú využiť verejne dostupné produkty umelej inteligencie na legitímny výskum, čo ich núti „spoliehať sa pri kritických bezpečnostných posudkoch na menej výkonné alternatívy s otvoreným zdrojovým kódom.“

Modely s otvoreným zdrojovým kódom sú systémy umelej inteligencie, ktorých základný softvér si môžu externí vývojári stiahnuť a prispôsobiť. Môžu byť užitočné, ale koalícia tvrdí, že nemusia dosahovať úroveň najvýkonnejších modelov dostupných z veľkých laboratórií. Tento rozdiel je dôležitý, keď malý tím musí kontrolovať komplexný softvér, ktorý spracováva skutočné peniaze.

Čo je ohrozené

Podľa listu samotný bitcoin zabezpečuje hodnotu viac ako 1 bilión dolárov. Širší systém digitálnych aktív závisí tiež od softvéru s otvoreným zdrojovým kódom pre peňaženky, kryptografické knižnice, platobné procesory, burzy, služby úschovy a nástroje siete Lightning Network.

Chyba v ktorejkoľvek z týchto častí môže mať vážne dôsledky. Digitálne aktíva často fungujú ako cenné papiere na doručiteľa: Kontrola nad kryptografickými povereniami môže znamenať kontrolu nad finančnými prostriedkami. Akonáhle sa peniaze presunú, ich získanie späť môže byť ťažké alebo nemožné.

Preto je rýchla detekcia obzvlášť dôležitá pre spotrebiteľov, ktorí majú úspory, obchodníkov prijímajúcich platby v bitcoinoch a podniky, ktoré chránia aktíva svojich klientov. Koalícia tvrdí, že bezpečnostné slabiny môžu ohroziť nielen softvérové systémy, ale aj dôchodkové účty, podnikové fondy, núdzové úspory a inštitucionálny kapitál.

V liste sa uvádza, že táto záťaž je už viditeľná aj medzi malými tímami správcov. Uvádza sa v ňom, že Bitcoin Policy Institute dostal správy o tom, že sofistikovaní aktéri, vrátane možných zahraničných nepriateľov, využívajú pokročilé schopnosti umelej inteligencie na vyvíjanie tlaku na vývojárov open-source softvéru. Aj neúspešné útoky môžu spotrebovať čas a peniaze, ktoré by správcovia inak venovali na vylepšovanie svojho softvéru.

Nedávny audit preukázal obrannú silu umelej inteligencie

Táto iniciatíva nadväzuje na dobrovoľnícky projekt z začiatku augusta s názvom Bitcoin Red Team, ktorý využíval nástroje podporované umelou inteligenciou na audit kódu súvisiaceho s bitcoinom. Medzi účastníkmi boli vývojár Cashu Calle a generálny riaditeľ spoločnosti Anchorwatch Rob Hamilton.

V jednom z prvých prehľadov zverejnených na X skupina preskúmala 390 projektov za približne 27,5 hodiny a zaznamenala zhruba 4 962 zistení. Medzi nimi boli desiatky klasifikovaných ako kritické a stovky považované za veľmi závažné. Tím využil viacero systémov umelej inteligencie, vrátane Kimi K3 od Moonshot, systémov OpenAI a variantov Claude od Anthropic, pričom spoločnosť Opensats pomohla financovať náklady na výpočtový výkon, ktoré sa pohybovali v desiatkach tisíc dolárov.

Takéto zistenia nie sú automaticky potvrdenými zraniteľnosťami. Správy generované umelou inteligenciou stále vyžadujú, aby ich overili skúsení odborníci, posúdili ich závažnosť a koordinovali opravy. Rozsah tohto úsilia však ukázal, ako rýchlo môže umelá inteligencia pomôcť bezpečnostným výskumníkom prechádzať zložitý kód, ktorého preskúmanie by inak mohlo trvať oveľa dlhšie.

Koalícia uvádza, že obmedzenia prístupu donútili skupinu počas počiatočnej fázy práce vo veľkej miere spoliehať sa na dostupné modely. Jej širším argumentom je, že kvalifikovaní odborníci v oblasti bezpečnosti by mali mať možnosť využívať najvýkonnejšie systémy skôr, než sa tieto systémy stanú bežnými nástrojmi pre zločincov alebo nepriateľské vlády.

Skutočné narušenie bezpečnosti zvýšilo tlak

Diskusia nabrala na naliehavosti po tom, čo BTCPay Server zverejnil kritickú chybu ovplyvňujúcu verzie staršie ako 2.4.2. BTCPay je softvér s otvoreným zdrojovým kódom, ktorý pomáha obchodníkom prijímať platby v bitcoinoch.

Táto zraniteľnosť mohla umožniť neautentifikovanému vzdialenému útočníkovi získať citlivé prihlasovacie údaje správcu pre LND, bežne používanú implementáciu siete Lightning Network. Tieto prihlasovacie údaje mohli útočníkovi poskytnúť kontrolu nad pripojenými peňaženkami a umožniť vyprázdnenie prostriedkov. Chyba bola aktívne zneužívaná a niektorí prevádzkovatelia nahlásili straty.

Tento incident poskytol argumentom uvedeným v liste konkrétny príklad. Členovia Bitcoin Red Teamu pomohli analyzovať tento problém, zatiaľ čo vývojár peňaženky Sparrow Wallet Craig Raw zohral kľúčovú úlohu pri jeho identifikácii po tom, čo bol sám postihnutý, ako uvádza zdrojová správa. Spoločnosť BTCPay uviedla, že umelá inteligencia mení rovnováhu medzi útočníkmi a obrancami tým, že znižuje náklady na kontrolu rozsiahlych kódových báz.

Koalícia nežiada o verejné sprístupnenie

Signatári nežiadajú neobmedzený verejný prístup k najschopnejším modelom umelej inteligencie v oblasti kybernetiky. Namiesto toho chcú trvalé programy dôveryhodného prístupu pre osoby a skupiny, ktoré dokážu preukázať legitímne bezpečnostné zodpovednosti.

Ich navrhované programy by ponúkali včasný, kontrolovaný prístup k pokročilým modelom, vrátane predbežných verzií systémov, ak to bude vhodné. Usilujú sa tiež o dostatočnú výpočtovú kapacitu pre dlhodobé úlohy umelej inteligencie, bezpečné priestory na kontrolu súkromného alebo embargovaného kódu a priame komunikačné kanály s bezpečnostnými tímami laboratórií.

List konkrétne žiada laboratóriá, aby neobmedzovali oprávnenosť na veľké spoločnosti a vlády. Malé neziskové organizácie, nezávislí správcovia a dobrovoľní vývojári často chránia softvér, ktorý používajú milióny ľudí, uvádza sa v ňom, napriek tomu im však môžu chýbať zdroje alebo inštitucionálne väzby potrebné na vstup do existujúcich programov.

„Obrancovia potrebujú nové obzory,“ uzatvára list. „Prosím, dajte im spravodlivý náskok.“

Ďalší vývoj bude závisieť od toho, či popredné laboratóriá v oblasti umelej inteligencie rozšíria špecializované programy prístupu v oblasti kyberbezpečnosti a či do svojich pravidiel oprávnenosti zahrnú finančnú infraštruktúru s otvoreným zdrojovým kódom. List je naďalej otvorený pre ďalšie podpisy a používatelia bitcoinu, obchodníci a investori by mali sledovať reakcie laboratórií, nové výsledky auditov a ďalšie zverejnenia zo softvérových projektov, ktoré sa spoliehajú na bezpečnostné kontroly podporované umelou inteligenciou.