บริษัทคริปโตมากกว่า 40 แห่งส่งสัญญาณเตือนถึงความเหลื่อมล้ำด้านความปลอดภัยของ AI

สถาบัน Bitcoin Policy Institute เผยแพร่จดหมายเปิดผนึก ชื่อ “Defenders Need the Frontier” เมื่อวันที่ 10 ส.ค. ผู้ลงนามประกอบด้วย Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor และกลุ่มสนับสนุนนักพัฒนา เช่น Brink, Chaincode Labs, Btrust, OpenSats และ BTCPay Server

การแข่งขันระหว่างผู้โจมตีและผู้ป้องกัน

คำร้องนี้มุ่งไปที่ความเป็นจริงที่กำลังเปลี่ยนแปลงในโลกไซเบอร์ซีเคียวริตี้ ระบบ AI ขั้นสูงสามารถสแกนชุดโค้ดคอมพิวเตอร์จำนวนมหาศาล ระบุจุดอ่อนที่เป็นไปได้ และช่วยให้นักวิจัยทดสอบว่าช่องโหว่สามารถถูกนำไปใช้โจมตีได้หรือไม่

สิ่งนี้ทำให้การทบทวนความปลอดภัยทำได้เร็วขึ้นและครอบคลุมมากขึ้น อีกด้านหนึ่งก็ทำให้การโจมตีมีต้นทุนถูกลงและขยายขนาดได้ง่ายขึ้น ข่าวนี้เกิดขึ้นต่อเนื่องจากเหตุการณ์ถูกเจาะล่าสุดของ Coldcard ซึ่ง มีการสงสัยว่า AI เป็นผู้สังเกตเห็นช่องโหว่เฟิร์มแวร์ของฮาร์ดแวร์วอลเล็ต ก่อนที่เรื่องจะปะทุขึ้น

กลุ่มพันธมิตรระบุว่า ห้องแล็บ AI ขนาดใหญ่และพันธมิตรที่ถูกคัดเลือกเพียงกลุ่มเล็ก ๆ มักได้เห็นขีดความสามารถเหล่านี้ก่อน ขณะที่ผู้ที่ดูแลซอฟต์แวร์การเงินโอเพนซอร์สที่ถูกใช้อย่างแพร่หลายกลับไม่ได้รับโอกาสดังกล่าว โดยจดหมายให้เหตุผลว่า เมื่อเครื่องมือที่ทรงพลังมากขึ้นเปิดให้ใช้อย่างกว้างขวาง ผู้โจมตีอาจหาวิธีเข้าถึง คัดลอก หรือสร้างขีดความสามารถที่ใกล้เคียงกันได้แล้ว

“Frontier AI กำลังเปลี่ยนเศรษฐศาสตร์ของทั้งงานวิจัยด้านความปลอดภัยและปฏิบัติการไซเบอร์” จดหมายระบุ พร้อมเตือนว่า ผู้ป้องกันมักเจอข้อจำกัดด้านความปลอดภัยเมื่อพยายามใช้ผลิตภัณฑ์ AI สาธารณะเพื่อการวิจัยที่ชอบธรรม ทำให้พวกเขา “ต้องพึ่งทางเลือกแบบ open-weight ที่มีความสามารถน้อยกว่าในการทบทวนความปลอดภัยที่สำคัญ”

โมเดลแบบ open-weight คือระบบ AI ที่ซอฟต์แวร์พื้นฐานสามารถดาวน์โหลดและนำไปปรับแต่งโดยนักพัฒนาภายนอกได้ ซึ่งอาจมีประโยชน์ แต่กลุ่มพันธมิตรระบุว่าโมเดลเหล่านี้อาจไม่เทียบเท่ากับโมเดลที่แข็งแกร่งที่สุดจากห้องแล็บรายใหญ่ ความแตกต่างนี้สำคัญเมื่อทีมเล็ก ๆ ต้องตรวจสอบซอฟต์แวร์ที่ซับซ้อนซึ่งเกี่ยวข้องกับเงินจริง

อะไรที่กำลังเสี่ยงอยู่

ตามจดหมาย บิตคอยน์เพียงอย่างเดียวช่วยคุ้มกันมูลค่ามากกว่า 1 ล้านล้านดอลลาร์ ระบบสินทรัพย์ดิจิทัลโดยรวมยังพึ่งพาซอฟต์แวร์โอเพนซอร์สสำหรับวอลเล็ต ไลบรารีคริปโตกราฟี ผู้ประมวลผลการชำระเงิน เอ็กซ์เชนจ์ บริการดูแลสินทรัพย์ และ เครื่องมือของ Lightning Network

ช่องโหว่ในส่วนใดส่วนหนึ่งอาจก่อให้เกิดผลกระทบร้ายแรง สินทรัพย์ดิจิทัลมักทำงานคล้ายตราสารผู้ถือ: การควบคุมข้อมูลรับรองทางคริปโตกราฟีอาจหมายถึงการควบคุมเงินทุน และเมื่อเงินถูกย้ายออกไปแล้ว การกู้คืนอาจทำได้ยากหรือเป็นไปไม่ได้

นี่ทำให้การตรวจพบอย่างรวดเร็วมีความสำคัญเป็นพิเศษสำหรับผู้บริโภคที่ถือเงินออม ร้านค้าที่รับชำระด้วยบิตคอยน์ และธุรกิจที่ปกป้องสินทรัพย์ของลูกค้า กลุ่มพันธมิตรโต้แย้งว่า จุดอ่อนด้านความปลอดภัยอาจเปิดความเสี่ยงให้บัญชีเกษียณ เงินทุนธุรกิจ เงินออมฉุกเฉิน และเงินทุนสถาบัน ไม่ใช่แค่ระบบซอฟต์แวร์เท่านั้น

จดหมายระบุว่าความตึงเครียดเริ่มเห็นได้ชัดแล้วในทีมบำรุงรักษาขนาดเล็ก โดยกล่าวว่า Bitcoin Policy Institute ได้รับรายงานว่า ผู้เล่นที่มีความซับซ้อน รวมถึงอาจมีฝ่ายตรงข้ามจากต่างชาติ กำลังใช้ขีดความสามารถ AI ขั้นสูงเพื่อกดดันนักพัฒนาโอเพนซอร์สอย่างต่อเนื่อง แม้การโจมตีจะไม่สำเร็จ ก็ยังสามารถกินเวลาและเงินที่ผู้ดูแลควรนำไปใช้ปรับปรุงซอฟต์แวร์ได้

การตรวจสอบล่าสุดแสดงพลังป้องกันของ AI

แรงผลักดันนี้เกิดขึ้นตามหลังโครงการอาสาสมัครช่วงต้นเดือนสิงหาคมที่ชื่อ Bitcoin Red Team ซึ่งใช้เครื่องมือที่มี AI ช่วยในการตรวจสอบโค้ดที่เกี่ยวข้องกับบิตคอยน์ ผู้เข้าร่วมรวมถึง Calle นักพัฒนา Cashu และ Rob Hamilton ซีอีโอของ Anchorwatch

ในภาพสรุปช่วงต้นที่โพสต์บน X กลุ่มได้ทบทวน 390 โครงการในเวลาประมาณ 27.5 ชั่วโมง และยื่นข้อค้นพบราว 4,962 รายการ ซึ่งรวมถึงหลายสิบรายการที่จัดว่า “วิกฤต” และอีกหลายร้อยรายการที่ถือว่ามีความรุนแรงสูง ทีมใช้ระบบ AI หลายตัว รวมถึง Kimi K3 ของ Moonshot ระบบของ OpenAI และชุด Claude ของ Anthropic ขณะที่ Opensats ช่วยสนับสนุนค่าใช้จ่ายด้านคอมพิวต์ซึ่งรายงานว่าอยู่ในระดับหลายหมื่นดอลลาร์

ข้อค้นพบลักษณะนี้ไม่ได้เป็นช่องโหว่ที่ยืนยันแล้วโดยอัตโนมัติ รายงานที่สร้างโดย AI ยังต้องอาศัยผู้มีประสบการณ์ในการตรวจสอบยืนยัน ประเมินระดับความรุนแรง และประสานงานการแก้ไข แต่ขนาดของความพยายามแสดงให้เห็นว่า AI สามารถช่วยให้นักวิจัยด้านความปลอดภัยคัดแยกโค้ดที่ซับซ้อนได้รวดเร็วเพียงใด ซึ่งมิฉะนั้นอาจต้องใช้เวลานานกว่ามากในการตรวจสอบ

กลุ่มพันธมิตรระบุว่า ข้อจำกัดด้านการเข้าถึงทำให้กลุ่มต้องพึ่งพาโมเดลที่มีอยู่เป็นอย่างมากในงานช่วงแรก และข้อโต้แย้งในวงกว้างของพวกเขาคือ ผู้ป้องกันที่มีคุณสมบัติเหมาะสมควรสามารถใช้ระบบที่มีความสามารถสูงสุดได้ก่อนที่ระบบเหล่านั้นจะกลายเป็นเครื่องมือทั่วไปของอาชญากรหรือรัฐบาลที่เป็นปฏิปักษ์

การละเมิดจริงทำให้เดิมพันสูงขึ้น

การถกเถียงยิ่งเร่งด่วนหลังจาก BTCPay Server เปิดเผยช่องโหว่วิกฤต ที่กระทบเวอร์ชันก่อน 2.4.2 โดย BTCPay เป็นซอฟต์แวร์โอเพนซอร์สที่ช่วยให้ร้านค้ารับชำระเงินด้วยบิตคอยน์

ช่องโหว่นี้อาจทำให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถได้มาซึ่งข้อมูลรับรองผู้ดูแลระบบที่อ่อนไหวสำหรับ LND ซึ่งเป็นการติดตั้ง Lightning Network ที่ใช้กันอย่างแพร่หลาย ข้อมูลรับรองดังกล่าวอาจทำให้ผู้โจมตีควบคุมวอลเล็ตที่เชื่อมต่ออยู่และดูดเงินออกไปได้ ช่องโหว่นี้ถูกนำไปใช้โจมตีจริง และผู้ให้บริการบางรายรายงานความเสียหาย

เหตุการณ์นี้ทำให้ข้อโต้แย้งในจดหมายมีตัวอย่างที่จับต้องได้ สมาชิก Bitcoin Red Team ช่วยวิเคราะห์ประเด็นดังกล่าว ขณะที่ Craig Raw นักพัฒนา Sparrow Wallet มีบทบาทสำคัญในการระบุปัญหาหลังได้รับผลกระทบ ตามรายงานต้นทาง BTCPay ระบุว่า AI กำลังเปลี่ยนดุลระหว่างผู้โจมตีและผู้ป้องกันด้วยการลดต้นทุนของการทบทวนฐานโค้ดขนาดใหญ่

กลุ่มพันธมิตรไม่ได้ขอให้ปล่อยแบบเปิดสู่สาธารณะ

ผู้ลงนามไม่ได้เรียกร้องให้เปิดให้สาธารณชนเข้าถึงอย่างไร้ข้อจำกัดสำหรับ โมเดล AI ที่มีความสามารถด้านไซเบอร์สูงที่สุด แต่ต้องการให้มีโครงการเข้าถึงแบบเชื่อถือได้ (trusted-access) ถาวรสำหรับบุคคลและกลุ่มที่สามารถแสดงความรับผิดชอบด้านความปลอดภัยที่ชอบธรรมได้

โครงการที่เสนอจะมอบการเข้าถึงโมเดลขั้นสูงก่อนแบบควบคุม รวมถึงระบบก่อนเปิดตัวเมื่อเหมาะสม พวกเขายังต้องการกำลังประมวลผลเพียงพอสำหรับงาน AI ที่ต้องรันยาวนาน พื้นที่ที่ปลอดภัยเพื่อการตรวจสอบโค้ดส่วนตัวหรือโค้ดที่อยู่ภายใต้การห้ามเผยแพร่ (embargoed) และช่องทางสื่อสารโดยตรงกับทีมความปลอดภัยของห้องแล็บ

จดหมายขอให้ห้องแล็บไม่จำกัดคุณสมบัติไว้เฉพาะบริษัทขนาดใหญ่และรัฐบาล โดยระบุว่า องค์กรไม่แสวงกำไรขนาดเล็ก ผู้ดูแลซอฟต์แวร์อิสระ และนักพัฒนาอาสาสมัคร มักคุ้มครองซอฟต์แวร์ที่มีผู้ใช้นับล้านคน แต่กลับอาจขาดทรัพยากรหรือสายสัมพันธ์เชิงสถาบันที่จำเป็นในการเข้าร่วมโครงการที่มีอยู่

“ผู้ป้องกันต้องการแนวหน้า” จดหมายสรุป “โปรดให้พวกเขาได้เปรียบอย่างเป็นธรรมตั้งแต่เริ่มต้น”

สิ่งที่จะเกิดขึ้นต่อไปจะขึ้นอยู่กับว่า ห้องแล็บ AI ชั้นนำ จะขยายโครงการการเข้าถึงด้านไซเบอร์ซีเคียวริตี้แบบเฉพาะทางหรือไม่ และจะรวมโครงสร้างพื้นฐานทางการเงินแบบโอเพนซอร์สไว้ในเกณฑ์คุณสมบัติหรือไม่ จดหมายยังเปิดรับลายเซ็นเพิ่มเติม และผู้ใช้บิตคอยน์ ร้านค้า และนักลงทุนควรติดตามการตอบสนองจากห้องแล็บ ผลการตรวจสอบใหม่ ๆ และการเปิดเผยเพิ่มเติมจากโครงการซอฟต์แวร์ที่พึ่งพาการทบทวนความปลอดภัยด้วย AI