Разработчик Bitcoin Никлас Гёгге заявил, что сканирование на основе языковых моделей сгенерировало более 1 000 отчётов о безопасности, связанных с Bitcoin Core, подчеркнув, что ИИ следует использовать для усиления автоматизированного тестирования, но не считать самостоятельной стратегией безопасности.

Гёгге сообщил, что за потоком отчётов стояли такие инициативы, как Project Loupe и Bitcoin Red Team. Он добавил, что большинство представленных материалов были ложными срабатываниями или гипотетическими проблемами и что критических уязвимостей до сих пор не выявлено.

Его позиция не заключалась в том, что ИИ-сканирование не нужно. Напротив, он выступил за его использование в качестве вспомогательного слоя в рамках более широкого процесса обеспечения безопасности. В частности, он указал на фаззинг — метод тестирования, при котором программное обеспечение обрабатывает большое количество входных данных для выявления сбоев. Bitcoin Core и криптографическая библиотека secp256k1 уже много лет охвачены фаззингом, и Гёгге предположил, что языковые модели могут помочь снизить затраты на создание и совершенствование таких инструментов.

Эти комментарии прозвучали на фоне того, как ИИ делает масштабную проверку кода дешевле и быстрее во всём программном обеспечении с открытым исходным кодом, включая инфраструктуру Bitcoin. По словам Гёгге, исторически программное обеспечение Bitcoin привлекало меньше внимания злоумышленников, чем некоторые другие отрасли, однако эта динамика может меняться по мере того, как модели всё лучше анализируют крупные кодовые базы при низких затратах.

Имеющиеся вспомогательные отчёты по более широкой экосистеме Bitcoin показывают, что главная операционная проблема заключается не только в поиске ошибок, но и в обработке последующей нагрузки на проверку. Она может включать отсеивание ложных срабатываний, подтверждение реальности проблемы, подготовку исправлений и управление сроками раскрытия информации в широко используемых репозиториях с открытым исходным кодом.

Почему это важно

Это важно, поскольку Bitcoin Core находится близко к базовому уровню программного стека Bitcoin, и любое изменение в способах выявления уязвимостей затрагивает не один репозиторий. Аудит с помощью ИИ может расширить охват и сократить время, необходимое для обнаружения недостатков, но также повышает риск того, что сопровождающие будут тратить больше времени на фильтрацию шумных отчётов, чем на исправление значимых проблем.

Этот эпизод также подчёркивает более широкий сдвиг в безопасности криптовалютной инфраструктуры. Поскольку ИИ снижает стоимость сканирования кода, преимущество может перейти от простого поиска ошибок к дисциплинированным системам тестирования, процессам раскрытия информации и ресурсам сопровождающих. Для критически важных проектов с открытым исходным кодом устойчивость безопасности может зависеть не столько от того, используется ли ИИ, сколько от того, как его результаты интегрируются в существующие рабочие процессы проверки.