Hơn 40 công ty tiền điện tử gióng lên hồi chuông cảnh báo về lỗ hổng bảo mật liên quan đến trí tuệ nhân tạo

Viện Chính sách Bitcoin đã công bố bức thư ngỏ có tiêu đề “Defenders Need the Frontier” vào ngày 10 tháng 8. Những người ký tên bao gồm Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor và các nhóm hỗ trợ nhà phát triển như Brink, Chaincode Labs, Btrust, OpenSats và BTCPay Server.

Cuộc đua giữa những kẻ tấn công và những người bảo vệ

Yêu cầu này tập trung vào thực tế đang thay đổi trong lĩnh vực an ninh mạng. Các hệ thống AI tiên tiến có thể quét các bộ sưu tập mã máy tính khổng lồ, xác định các điểm yếu tiềm ẩn và giúp các nhà nghiên cứu kiểm tra xem liệu một lỗ hổng có thể bị khai thác hay không.

Điều này có thể giúp quá trình đánh giá bảo mật diễn ra nhanh hơn và kỹ lưỡng hơn. Tuy nhiên, nó cũng có thể khiến các cuộc tấn công trở nên rẻ hơn và dễ mở rộng quy mô hơn. Tin tức này xuất hiện sau vụ vi phạm gần đây của Coldcard, trong đó AI bị nghi ngờ đã phát hiện ra lỗ hổng trong phần mềm cơ sở của ví phần cứng trước khi vụ việc xảy ra.

Liên minh này cho biết các phòng thí nghiệm AI lớn và một nhóm nhỏ các đối tác được chọn lọc thường có quyền truy cập sớm vào những khả năng này, trong khi những người duy trì phần mềm tài chính mã nguồn mở được sử dụng rộng rãi lại không có. Thư này lập luận rằng, đến khi các công cụ mạnh mẽ hơn trở nên phổ biến, những kẻ tấn công có thể đã tìm ra cách để truy cập, sao chép hoặc xây dựng các khả năng tương tự.

“Trí tuệ nhân tạo tiên phong đang thay đổi cơ chế kinh tế của cả nghiên cứu bảo mật lẫn các hoạt động mạng,” lá thư nêu rõ. Lá thư cảnh báo rằng các chuyên gia bảo mật thường phải đối mặt với các hạn chế về an toàn khi cố gắng sử dụng các sản phẩm AI công khai cho mục đích nghiên cứu hợp pháp, buộc họ phải “dựa vào các giải pháp mã nguồn mở có khả năng hạn chế hơn cho các đánh giá bảo mật quan trọng.”

Các mô hình mã nguồn mở là những hệ thống AI có phần mềm nền tảng có thể được các nhà phát triển bên ngoài tải xuống và điều chỉnh. Chúng có thể hữu ích, nhưng liên minh này cho rằng chúng có thể không sánh được với các mô hình mạnh nhất hiện có từ các phòng thí nghiệm lớn. Sự khác biệt này rất quan trọng khi một nhóm nhỏ phải kiểm tra phần mềm phức tạp xử lý tiền thật.

Những gì đang gặp rủi ro

Theo lá thư, riêng Bitcoin đã bảo đảm giá trị hơn 1 nghìn tỷ USD. Hệ thống tài sản kỹ thuật số rộng lớn hơn cũng phụ thuộc vào phần mềm mã nguồn mở cho ví, thư viện mật mã, bộ xử lý thanh toán, sàn giao dịch, dịch vụ lưu ký và các công cụ Lightning Network.

Một lỗ hổng trong bất kỳ thành phần nào trong số đó cũng có thể gây ra hậu quả nghiêm trọng. Tài sản kỹ thuật số thường hoạt động giống như các công cụ thanh toán không ghi tên: Việc kiểm soát các thông tin xác thực mật mã có thể đồng nghĩa với việc kiểm soát các khoản tiền. Một khi tiền đã được chuyển đi, việc thu hồi có thể rất khó hoặc thậm chí là không thể.

Điều này khiến việc phát hiện nhanh chóng trở nên đặc biệt quan trọng đối với người tiêu dùng đang giữ tiền tiết kiệm, các thương nhân chấp nhận thanh toán bằng Bitcoin và các doanh nghiệp bảo vệ tài sản của khách hàng. Liên minh lập luận rằng các lỗ hổng bảo mật có thể đe dọa các tài khoản hưu trí, quỹ kinh doanh, tiền tiết kiệm khẩn cấp và vốn tổ chức, chứ không chỉ đơn thuần là các hệ thống phần mềm.

Bức thư cho biết áp lực này đã rõ ràng đối với các nhóm bảo trì quy mô nhỏ. Bức thư cho biết Viện Chính sách Bitcoin đã nhận được các báo cáo rằng các tác nhân tinh vi, bao gồm cả những đối thủ nước ngoài tiềm năng, đang sử dụng các khả năng AI tiên tiến để duy trì áp lực lên các nhà phát triển mã nguồn mở. Ngay cả những cuộc tấn công không thành công cũng có thể tiêu tốn thời gian và tiền bạc mà các nhà bảo trì lẽ ra có thể dành để cải thiện phần mềm của họ.

Một cuộc kiểm toán gần đây đã cho thấy sức mạnh phòng thủ của AI

Sáng kiến này được đưa ra sau một dự án tình nguyện vào đầu tháng 8 có tên Bitcoin Red Team, dự án này đã sử dụng các công cụ hỗ trợ bởi AI để kiểm toán mã liên quan đến Bitcoin. Những người tham gia bao gồm nhà phát triển Cashu Calle và Giám đốc điều hành Anchorwatch Rob Hamilton.

Trong một bản tóm tắt ban đầu được đăng trên X, nhóm đã rà soát 390 dự án trong khoảng 27,5 giờ và ghi nhận khoảng 4.962 phát hiện. Trong số đó, có hàng chục phát hiện được phân loại là nghiêm trọng và hàng trăm phát hiện được coi là có mức độ nghiêm trọng cao. Nhóm đã sử dụng một số hệ thống AI, bao gồm Kimi K3 của Moonshot, các hệ thống OpenAI và các biến thể Claude của Anthropic, trong khi Opensats hỗ trợ chi phí tính toán được báo cáo lên đến hàng chục nghìn đô la.

Những phát hiện này không tự động được xác nhận là lỗ hổng bảo mật. Các báo cáo do AI tạo ra vẫn cần những người có kinh nghiệm để xác minh, đánh giá mức độ nghiêm trọng và phối hợp khắc phục. Tuy nhiên, quy mô của nỗ lực này đã cho thấy AI có thể giúp các nhà nghiên cứu bảo mật phân tích mã nguồn phức tạp nhanh chóng như thế nào – công việc mà nếu không có AI, có thể mất nhiều thời gian hơn rất nhiều.

Liên minh này cho biết các hạn chế về quyền truy cập đã buộc nhóm phải phụ thuộc rất nhiều vào các mô hình có sẵn trong giai đoạn làm việc ban đầu. Lập luận rộng hơn của họ là các chuyên gia bảo mật đủ trình độ nên được phép sử dụng các hệ thống mạnh mẽ nhất trước khi những hệ thống đó trở thành công cụ phổ biến cho tội phạm hoặc các chính phủ thù địch.

Một vụ vi phạm thực tế đã làm tăng mức độ nghiêm trọng

Cuộc tranh luận trở nên cấp bách hơn sau khi BTCPay Server tiết lộ một lỗ hổng nghiêm trọng ảnh hưởng đến các phiên bản trước 2.4.2. BTCPay là phần mềm mã nguồn mở giúp các thương nhân chấp nhận thanh toán bằng Bitcoin.

Lỗ hổng này có thể cho phép một kẻ tấn công từ xa chưa được xác thực lấy được thông tin đăng nhập quản trị viên nhạy cảm của LND, một triển khai phổ biến của Mạng Lightning. Những thông tin đăng nhập này có thể giúp kẻ tấn công kiểm soát các ví kết nối và rút cạn số tiền trong đó. Lỗ hổng này đã bị khai thác tích cực, và một số nhà điều hành đã báo cáo thiệt hại.

Vụ việc này đã cung cấp một ví dụ cụ thể cho lập luận trong bức thư. Các thành viên của Bitcoin Red Team đã giúp phân tích vấn đề, trong khi nhà phát triển ví Sparrow, Craig Raw, đã đóng vai trò quan trọng trong việc xác định lỗ hổng sau khi bị ảnh hưởng, theo báo cáo nguồn tin. BTCPay cho biết trí tuệ nhân tạo (AI) đang thay đổi cán cân giữa kẻ tấn công và người phòng thủ bằng cách giảm chi phí kiểm tra các kho mã nguồn lớn.

Liên minh không yêu cầu công bố công khai

Những người ký tên không kêu gọi quyền truy cập công khai không giới hạn vào các mô hình AI có khả năng mạng cao nhất. Thay vào đó, họ muốn có các chương trình truy cập đáng tin cậy thường trực dành cho những cá nhân và nhóm có thể chứng minh trách nhiệm bảo mật hợp pháp.

Các chương trình mà họ đề xuất sẽ cung cấp quyền truy cập sớm và có kiểm soát vào các mô hình tiên tiến, bao gồm cả các hệ thống trước khi phát hành khi thích hợp. Họ cũng mong muốn có đủ năng lực tính toán cho các tác vụ AI kéo dài, không gian an toàn để kiểm tra mã nguồn riêng tư hoặc bị cấm, và các kênh liên lạc trực tiếp với các đội ngũ bảo mật của phòng thí nghiệm.

Thư này đặc biệt yêu cầu các phòng thí nghiệm không giới hạn đối tượng tham gia chỉ dành cho các công ty lớn và chính phủ. Thư nêu rõ, các tổ chức phi lợi nhuận nhỏ, các nhà duy trì độc lập và các nhà phát triển tình nguyện thường bảo vệ phần mềm được hàng triệu người sử dụng, nhưng có thể thiếu nguồn lực hoặc mối quan hệ tổ chức cần thiết để tham gia các chương trình hiện có.

“Những người bảo vệ cần có không gian tiên phong,” lá thư kết luận. “Xin hãy tạo cho họ một khởi đầu công bằng.”

Những diễn biến tiếp theo sẽ phụ thuộc vào việc các phòng thí nghiệm AI hàng đầu có mở rộng các chương trình truy cập chuyên biệt về an ninh mạng hay không, và liệu họ có đưa cơ sở hạ tầng tài chính mã nguồn mở vào các quy định về điều kiện tham gia hay không. Bức thư vẫn đang mở để thu thập thêm chữ ký, và người dùng, thương nhân cũng như nhà đầu tư bitcoin nên theo dõi phản hồi từ các phòng thí nghiệm, kết quả kiểm toán mới và các thông tin tiết lộ tiếp theo từ các dự án phần mềm dựa vào các đánh giá bảo mật có sự hỗ trợ của AI.