Bitcoin-bedrijven vragen AI-labs om betere securitytoegang

Coinbase, Block en BitGo willen dat AI-labs open-source securityonderzoekers eerder toegang geven tot krachtige modellen. De oproep volgt na recente Bitcoin- en Lightning-kwetsbaarheden.

Korte samenvatting

• Meer dan drie dozijn bitcoin- en cryptobedrijven roepen AI-labs op om open-source securityonderzoekers eerder toegang te geven tot krachtige modellen.
• De ondertekenaars vinden dat Bitcoin Core-ontwikkelaars nu met zwakkere tools werken dan aanvallers en vragen ook om meer compute, veilige omgevingen en directe meldkanalen.
• De brief volgt op recente Bitcoin-securityincidenten en op het toenemende gebruik van AI om kwetsbaarheden sneller in codebases op te sporen.

Meer dan drie dozijn bitcoin- en cryptobedrijven vragen de grootste AI-labs om open-source securityonderzoekers eerder toegang te geven tot hun krachtigste modellen. Volgens de ondertekenaars verdedigen de mensen die een infrastructuur van biljoenen dollars moeten beschermen zich nu met zwakkere tools dan de aanvallers die daarop mikken.

De brief, georganiseerd door het Bitcoin Policy Institute en eerder deze week gepubliceerd, is onder meer ondertekend door Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa en Exodus. Ook nonprofit ontwikkelfondsen als Brink, Chaincode en Btrust staan op de lijst. De kern van hun bezwaar is dat Bitcoin Core-ontwikkelaars, de kleine groep die de software onderhoudt waarop het netwerk draait, niet terechtkunnen in de programma’s die labs wel openstellen voor vertrouwde securitypartners.

Veiligheidstools lopen achter

Wie dan uitwijkt naar publiek beschikbare modellen, loopt volgens de brief tegen veiligheidsfilters aan die bedoeld zijn om malware te blokkeren. Diezelfde filters maken het lastiger om kwetsbaarheden te vinden voordat criminelen dat doen. Daardoor zijn onderzoekers vaak aangewezen op open-weight modellen, die vrij te downloaden zijn maar doorgaans minder capabel.

De ondertekenaars willen daarom vijf dingen: vroegtijdige toegang tot de sterkste cybercapabele modellen, ook vóór publieke release, voldoende compute om serieuze reviews uit te voeren, veilige omgevingen om private code te bekijken, toegang voor kleine en onafhankelijke maintainers en een directe lijn naar de securityteams van de labs om bevindingen te melden.

Aanvallers hebben geen rem

Volgens de brief zien labs en een handvol partners nieuwe offensieve mogelijkheden maanden eerder dan de rest van de markt, terwijl die capaciteiten alsnog breed verspreiden via publieke modellen, gestolen toegang tot bedrijfsomgevingen en speciaal gebouwde hackingtools. Dat raakt aan een bredere realiteit in cybersecurity: dezelfde AI die verdedigers helpt, kan ook worden ingezet om aanvallen sneller en schaalbaarder te maken.

Die spanning speelt ook rond de cryptosector zelf. In juni lanceerde OpenAI bijvoorbeeld zijn Daybreak-cybersecurityinitiatief met twee toegangslagen voor defensieve en meer geavanceerde taken, terwijl andere labs modellen testen op misbruik en weerbaarheid. Tegelijkertijd laten recente onderzoeken zien dat frontier-modellen soms zelfstandig ernstige zero-days kunnen vinden, wat de lat voor verdedigers verder verhoogt.

Waarom dit voor Bitcoin telt

De timing van de brief is opvallend, omdat twee ondertekenaars de afgelopen weken al de praktijkkant van dat debat zagen. BTCPay Server meldde vorige week een kritieke fout die al was misbruikt om Lightning nodes van merchants leeg te trekken. Foundation, de maker van hardware wallets, verloor in die aanval ook zijn eigen node.

BTCPay schreef daarna dat AI de balans tussen aanvallers en verdedigers verandert, omdat modellen het sneller en goedkoper maken om grote codebases op zwakke plekken te doorzoeken. Een vrijwillige groep, de Bitcoin Red Team, heeft deze maand al AI-modellen op bitcoin-codebases gezet en duizenden meldingen ingediend bij honderden projecten. De vraag van de bedrijven is daarmee niet alleen theoretisch, maar raakt direct aan hoe Bitcoin-software en bijbehorende wallets in de praktijk worden beveiligd.

De recente BTCPay-flaw laat zien hoe snel een kwetsbaarheid in betalingsinfrastructuur kan doorwerken naar echte verliezen. Dat maakt de oproep aan AI-labs voor veel bitcoinbedrijven vooral een praktische veiligheidskwestie.