Firmy bitcoinowe proszą laboratoria AI o lepszy dostęp dla specjalistów ds. bezpieczeństwa

Coinbase, Block i BitGo chcą, aby laboratoria AI wcześniej udostępniały specjalistom open source ds. bezpieczeństwa dostęp do swoich najpotężniejszych modeli. Apel pojawia się po niedawnych podatnościach związanych z Bitcoinem i Lightning.

Najważniejsze informacje

• Ponad trzy tuziny firm z sektora Bitcoina i kryptowalut proszą laboratoria AI, aby wcześniej udostępniały specjalistom open source ds. bezpieczeństwa dostęp do swoich najpotężniejszych modeli.
• Sygnatariusze uważają, że deweloperzy Bitcoin Core mają dziś słabsze narzędzia niż atakujący, i chcą także większej mocy obliczeniowej, bezpiecznych środowisk oraz bezpośrednich kanałów zgłaszania.
• List pojawia się po niedawnych incydentach bezpieczeństwa związanych z Bitcoinem oraz wraz z rosnącym wykorzystaniem AI do szybszego wykrywania podatności w bazach kodu.

Ponad trzy tuziny firm z sektora bitcoina i kryptowalut proszą największe laboratoria AI, aby wcześniej udostępniały open-source badaczom bezpieczeństwa dostęp do swoich najpotężniejszych modeli. Zdaniem sygnatariuszy osoby, które mają bronić infrastruktury wartej biliony dolarów, pracują z narzędziami słabszymi niż atakujący, którzy ją obierają za cel.

List, przygotowany przez Bitcoin Policy Institute i opublikowany wcześniej w tym tygodniu, podpisali między innymi Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa i Exodus. Na liście znalazły się też non-profitowe fundusze rozwojowe, takie jak Brink, Chaincode i Btrust. Sednem ich zastrzeżeń jest to, że deweloperzy Bitcoin Core, niewielka grupa utrzymująca oprogramowanie, na którym działa sieć, nie mają dostępu do programów, które laboratoria udostępniają zaufanym partnerom ds. bezpieczeństwa.

Narzędzia bezpieczeństwa pozostają w tyle

Jeśli badacze sięgają po publicznie dostępne modele, według listu napotykają filtry bezpieczeństwa, które mają blokować malware. Te same filtry utrudniają wykrywanie podatności, zanim zrobią to przestępcy. W efekcie badacze często muszą korzystać z modeli open-weight, które można swobodnie pobrać, ale które zazwyczaj są mniej zaawansowane.

Sygnatariusze chcą więc pięciu rzeczy: wcześniejszego dostępu do najmocniejszych modeli zdolnych do zadań cyberbezpieczeństwa, także przed publiczną premierą, wystarczającej mocy obliczeniowej do przeprowadzania poważnych analiz, bezpiecznych środowisk do przeglądania prywatnego kodu, dostępu dla małych i niezależnych maintainerów oraz bezpośredniego kontaktu z zespołami bezpieczeństwa laboratoriów, aby zgłaszać ustalenia.

Atakujący nie mają hamulców

Według listu laboratoria i garstka partnerów widzą nowe ofensywne możliwości miesiące wcześniej niż reszta rynku, a mimo to te zdolności i tak szeroko się rozprzestrzeniają za pośrednictwem publicznych modeli, skradzionego dostępu do środowisk firmowych i specjalnie tworzonych narzędzi hakerskich. To wpisuje się w szerszą rzeczywistość cyberbezpieczeństwa: ta sama AI, która pomaga obrońcom, może też służyć do szybszego i bardziej skalowalnego prowadzenia ataków.

To napięcie dotyczy również samego sektora krypto. W czerwcu OpenAI uruchomiło na przykład inicjatywę Daybreak w obszarze cyberbezpieczeństwa z dwoma poziomami dostępu dla zadań defensywnych i bardziej zaawansowanych, podczas gdy inne laboratoria testują modele pod kątem nadużyć i odporności. Jednocześnie najnowsze badania pokazują, że modele frontier czasem samodzielnie potrafią wykrywać poważne zero-daye, co jeszcze bardziej podnosi poprzeczkę dla obrońców.

Dlaczego ma to znaczenie dla Bitcoina

Moment publikacji listu jest istotny, ponieważ dwóch sygnatariuszy już w ostatnich tygodniach zobaczyło praktyczną stronę tej debaty. BTCPay Server poinformował w zeszłym tygodniu o krytycznej luce, która została już wykorzystana do opróżniania Lightning nodes należących do merchantów. Foundation, twórca hardware wallets, stracił w tym ataku także własny node.

BTCPay napisał później, że AI zmienia równowagę między atakującymi a obrońcami, ponieważ modele pozwalają szybciej i taniej przeszukiwać duże bazy kodu pod kątem słabych punktów. Wolontariacka grupa Bitcoin Red Team w tym miesiącu już uruchomiła modele AI na bazach kodu Bitcoina i złożyła tysiące zgłoszeń do setek projektów. Prośba firm nie jest więc wyłącznie teoretyczna, lecz bezpośrednio dotyczy tego, jak w praktyce zabezpiecza się oprogramowanie Bitcoina i powiązane z nim portfele.

Niedawna podatność BTCPay pokazuje, jak szybko luka w infrastrukturze płatniczej może przełożyć się na realne straty. Dla wielu firm z sektora Bitcoina sprawia to, że apel do laboratoriów AI staje się przede wszystkim praktyczną kwestią bezpieczeństwa.