Le aziende Bitcoin chiedono ai laboratori AI un accesso migliore agli strumenti di sicurezza

Coinbase, Block e BitGo vogliono che i laboratori AI diano prima accesso ai modelli più potenti ai ricercatori open-source di sicurezza. L’appello arriva dopo recenti vulnerabilità di Bitcoin e Lightning.

In breve

• Più di tre dozzine di aziende bitcoin e crypto chiedono ai laboratori AI di dare prima accesso ai modelli più potenti ai ricercatori open-source di sicurezza.
• I firmatari pensano che gli sviluppatori di Bitcoin Core abbiano oggi strumenti più deboli degli attaccanti e vogliono anche più compute, ambienti sicuri e canali diretti per le segnalazioni.
• La lettera arriva dopo recenti incidenti di sicurezza su Bitcoin e dopo il crescente uso dell’AI per trovare più velocemente le vulnerabilità nei codebase.

Più di tre dozzine di aziende bitcoin e crypto chiedono ai più grandi AI-labs di dare ai ricercatori open-source di sicurezza accesso anticipato ai loro modelli più potenti. Secondo i firmatari, le persone che devono difendere un’infrastruttura da migliaia di miliardi di dollari lavorano con strumenti più deboli rispetto agli attaccanti che la prendono di mira.

La lettera, organizzata dal Bitcoin Policy Institute e pubblicata all’inizio di questa settimana, è stata firmata tra gli altri da Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa ed Exodus. In lista ci sono anche fondi di sviluppo nonprofit come Brink, Chaincode e Btrust. Il punto centrale della loro obiezione è che gli sviluppatori di Bitcoin Core, il piccolo gruppo che mantiene il software su cui gira la rete, non possono accedere ai programmi che i laboratori invece aprono ai partner di sicurezza fidati.

Gli strumenti di sicurezza restano indietro

Chi si sposta allora verso modelli disponibili al pubblico, secondo la lettera, si scontra con filtri di sicurezza pensati per bloccare il malware. Gli stessi filtri rendono più difficile trovare le vulnerabilità prima che lo facciano i criminali. Per questo i ricercatori spesso devono affidarsi a modelli open-weight, che si possono scaricare liberamente ma che di solito sono meno capaci.

I firmatari vogliono quindi cinque cose: accesso anticipato ai modelli cyber più capaci, anche prima del rilascio pubblico, compute sufficiente per fare revisioni serie, ambienti sicuri per esaminare codice privato, accesso per i maintainer piccoli e indipendenti e una linea diretta con i team di sicurezza dei laboratori per segnalare i risultati.

Gli attaccanti non hanno freni

Secondo la lettera, i laboratori e una manciata di partner vedono nuove capacità offensive mesi prima del resto del mercato, mentre quelle stesse capacità si diffondono comunque in modo ampio tramite modelli pubblici, accessi rubati ad ambienti aziendali e strumenti di hacking costruiti apposta. Questo tocca una realtà più ampia nella cybersecurity: la stessa AI che aiuta i difensori può anche essere usata per rendere gli attacchi più veloci e più scalabili.

Questa tensione riguarda anche il settore crypto stesso. A giugno, per esempio, OpenAI ha lanciato la sua iniziativa Daybreak per la cybersecurity con due livelli di accesso per compiti difensivi e più avanzati, mentre altri laboratori testano i modelli contro l’abuso e la resilienza. Allo stesso tempo, ricerche recenti mostrano che i modelli frontier a volte riescono a trovare da soli zero-day gravi, alzando ancora di più l’asticella per i difensori.

Perché questo conta per Bitcoin

Il tempismo della lettera è notevole, perché due firmatari hanno già visto nelle ultime settimane il lato pratico di questo dibattito. BTCPay Server ha segnalato la scorsa settimana un errore critico che era già stato sfruttato per svuotare i Lightning node dei merchant. Foundation, il creatore di hardware wallet, ha perso anche il proprio node in quell’attacco.

BTCPay ha poi scritto che l’AI sta cambiando l’equilibrio tra attaccanti e difensori, perché i modelli rendono più veloce ed economico scandagliare grandi codebase alla ricerca di punti deboli. Un gruppo di volontari, il Bitcoin Red Team, questo mese ha già messo modelli AI sulle codebase bitcoin e ha inviato migliaia di segnalazioni a centinaia di progetti. La richiesta delle aziende quindi non è solo teorica, ma tocca direttamente il modo in cui il software Bitcoin e i wallet collegati vengono protetti nella pratica.

La recente BTCPay-flaw mostra quanto in fretta una vulnerabilità nell’infrastruttura di pagamento possa tradursi in perdite reali. Per molte aziende bitcoin, questo rende l’appello ai laboratori AI soprattutto una questione pratica di sicurezza.