ฮาซีบ คูเรชี แห่ง Dragonfly กล่าวว่า ช่องโหว่ของ Coldcard แสดงให้เห็นว่า ปัญญาประดิษฐ์ (AI) กำลังเขียนเศรษฐศาสตร์ของความปลอดภัยไซเบอร์ขึ้นใหม่อย่างไร เมื่อค่าใช้จ่ายในการค้นหาข้อบกพร่องทรุดลง เขาโต้แย้งว่าบริษัทคริปโตต้องนำโมเดล AI ระดับแนวหน้ามาใช้ตรวจทุกการปล่อยซอฟต์แวร์
ฮาซีบ คูเรชี แห่ง Dragonfly กล่าวว่า การตรวจสอบด้วย AI มูลค่า 2 ดอลลาร์ อาจตรวจพบช่องโหว่ของ Coldcard ได้
เขียนโดย
แชร์
ประเด็นสำคัญ
- Coldcard แก้ไขข้อบกพร่องของ seed เมื่อวันที่ 31 กรกฎาคม หลังมีรายงานว่า AI พบภายใน 8 นาที
- ฮาซีบ คูเรชี ระบุว่า การออดิทด้วย AI ราคา 2 ดอลลาร์ อาจเอื้อบริษัทคริปโตที่มีงบความปลอดภัยมากกว่า
- คูเรชีเรียกร้องให้ใช้ AI ระดับแนวหน้าตรวจทุกรีลีส เมื่อการค้นพบข้อบกพร่องลดเหลือเพียงไม่กี่นาที
ข้อบกพร่องของ Coldcard อาจผลักดันให้บริษัทคริปโตทดสอบทุกรีลีสด้วย AI
ปัญญาประดิษฐ์กำลังทำให้การค้นหาช่องโหว่มีราคาถูกมากจนความปลอดภัยอาจยิ่งขึ้นอยู่กับว่าบริษัทเต็มใจจ่ายมากแค่ไหนก่อนที่ผู้โจมตีจะลงมือ
นี่คือคำเตือนจาก ฮาซีบ คูเรชี หุ้นส่วนผู้จัดการของ Dragonfly หลังมีรายงานว่าโมเดล AI ค้นพบจุดอ่อนวิกฤตในเฟิร์มแวร์กระเป๋าเงินบิตคอยน์ของ Coldcard ซ้ำได้ภายในไม่กี่นาที
“ความปลอดภัยไซเบอร์ตอนนี้คือเรื่องของการทุ่มงบทั้งหมด” คูเรชีเขียนบน X โดยเขากล่าวว่าคำถามสำคัญคือ นักพัฒนาลงทุนกับการทดสอบที่ใช้ AI มากน้อยเพียงใดเมื่อเทียบกับผู้โจมตีที่เป็นไปได้
Coldcard เปิดเผยข้อบกพร่องด้านเอนโทรปี ที่ส่งผลต่อ seed ที่สร้างด้วยเฟิร์มแวร์บางเวอร์ชัน บั๊กดังกล่าวทำให้อุปกรณ์บางเครื่องพึ่งพาเครื่องกำเนิดแบบซอฟต์แวร์ที่กำหนดผลลัพธ์ได้ (deterministic) แทนแหล่งความสุ่มจากฮาร์ดแวร์ตามที่ตั้งใจไว้ Coinkite ได้ปล่อยอัปเดตฉุกเฉินเมื่อวันที่ 31 กรกฎาคม และแจ้งให้ผู้ใช้ที่ได้รับผลกระทบสร้าง seed ใหม่และย้ายเงินทุนของตน การติดตั้งเฟิร์มแวร์ใหม่เพียงอย่างเดียวไม่สามารถซ่อมแซม seed เดิมได้
มีรายงานว่าพบช่องโหว่ภายในไม่กี่นาที
มีรายงานว่าการทดสอบหนึ่งพบข้อบกพร่องด้วย Claude Code ของ Anthropic หลังผ่านไปราวแปดนาที คูเรชีเตือนว่าผลลัพธ์อาจได้รับอิทธิพลจากการเข้าถึงอินเทอร์เน็ต ซึ่งอาจทำให้โมเดลเห็นข้อมูลที่มีอยู่แล้วเกี่ยวกับบั๊กนี้ ส่วน การทดสอบอีกชุด ปิดการเข้าถึงเว็บและใช้ GLM 5.2 โดยสามารถทำซ้ำช่องโหว่ได้ในราว 20 นาที
จากต้นทุนอินพุตและเอาต์พุตของโมเดล เขาประเมินว่าการออดิทมีค่าใช้จ่ายราว 2 ดอลลาร์ “การเสริมความแข็งแกร่งด้วย AI มูลค่า 2 ดอลลาร์ก็น่าจะจับบั๊กนี้ได้แล้ว ไม่มีข้อแก้ตัวสำหรับเรื่องนี้” เขากล่าว คูเรชีเสนอเกณฑ์ใหม่ชื่อ Cost of Discovery หรือ CoD ซึ่งเป็นตัวชี้วัดเพื่อประเมินว่าการให้โมเดล AI ระดับแนวหน้าทำซ้ำช่องโหว่ได้อย่างอิสระนั้นต้องใช้เงินเท่าไร
ผู้ให้บริการด้านความปลอดภัยรายเล็กเผชิญแรงกดดันที่เพิ่มขึ้น
เหตุการณ์นี้อาจส่งผลกว้างต่อ ตลาดกระเป๋าเงินฮาร์ดแวร์
คูเรชีโต้แย้งว่าผู้ขายรายใหญ่จะได้เปรียบ เพราะสามารถทุ่มงบมากกว่าในด้านการทดสอบอัตโนมัติ การออดิท และการทำให้รีลีสแข็งแกร่งขึ้น บริษัทเล็กๆ อาจยากที่จะตามทันผู้โจมตีที่สามารถสแกนโค้ดได้อย่างต่อเนื่องด้วยต้นทุนต่ำมาก
เขาแนะนำว่าสตาร์ทอัปที่สร้างกระเป๋าเงิน สัญญาอัจฉริยะ หรือผลิตภัณฑ์อื่นๆ ที่ทำหน้าที่ปกป้องเงิน ควรทำการรีวิวความปลอดภัยด้วย AI ก่อนทุกการปล่อยเวอร์ชัน
คูเรชียังท้าทายสมมติฐานที่พบได้บ่อยเกี่ยวกับความปลอดภัยของโอเพนซอร์ส โดยกล่าวว่าโค้ดสาธารณะสามารถช่วยปกป้องผู้ใช้จากนักพัฒนาที่ประสงค์ร้ายได้ แต่ไม่ได้หมายความว่าจะปกป้องพวกเขาจากผู้โจมตีโดยอัตโนมัติ
AI สามารถรับใช้ได้ทั้งสองฝ่าย มันลดราคาการค้นหาช่องโหว่ แต่ก็ทำให้นักพัฒนามีเครื่องมือป้องกันที่แข็งแกร่งขึ้น
“เราไม่มีทางเลือกอื่นนอกจากต้องปรับตัว” คูเรชีกล่าว
บทความนี้แปลจากภาษาอังกฤษโดยใช้ AI เวอร์ชันภาษาอังกฤษต้นฉบับเป็นแหล่งข้อมูลที่เชื่อถือได้ การแปลอัตโนมัติอาจมีความไม่ถูกต้อง โดยเฉพาะอย่างยิ่งในคำศัพท์ทางกฎหมายและข้อบังคับ
