Empresas de Bitcoin pedem aos laboratórios de IA melhor acesso à segurança
Coinbase, Block e BitGo querem que os laboratórios de IA deem aos investigadores de segurança open-source acesso mais cedo a modelos poderosos. O apelo surge após recentes vulnerabilidades em Bitcoin e Lightning.
Pontos principais
- Mais de três dezenas de empresas de bitcoin e de criptomoedas pedem aos laboratórios de IA que deem aos investigadores de segurança open-source acesso mais cedo a modelos poderosos.
- Os signatários consideram que os programadores do Bitcoin Core dispõem agora de ferramentas mais fracas do que os atacantes e querem também mais compute, ambientes seguros e canais diretos de comunicação de incidentes.
- A carta segue-se a recentes incidentes de segurança em Bitcoin e ao uso crescente de IA para encontrar vulnerabilidades mais rapidamente em bases de código.
Mais de três dezenas de bitcoin e de empresas de criptomoedas pedem aos maiores laboratórios de IA que deem aos investigadores de segurança open-source acesso mais cedo aos seus modelos mais poderosos. Segundo os signatários, as pessoas que têm de defender uma infraestrutura de biliões de dólares trabalham com ferramentas mais fracas do que os atacantes que as visam.
A carta, organizada pelo Bitcoin Policy Institute e publicada no início desta semana, é assinada, entre outros, por Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa e Exodus. Também constam na lista fundos de desenvolvimento sem fins lucrativos como Brink, Chaincode e Btrust. O cerne da sua objeção é que os programadores do Bitcoin Core, o pequeno grupo que mantém o software em que a rede assenta, não conseguem aceder aos programas que os laboratórios disponibilizam a parceiros de segurança de confiança.
As ferramentas de segurança ficam para trás
Quem recorre então a modelos publicamente disponíveis depara-se, segundo a carta, com filtros de segurança concebidos para bloquear malware. Esses mesmos filtros tornam mais difícil encontrar vulnerabilidades antes de os criminosos o fazerem. Por isso, os investigadores ficam muitas vezes dependentes de modelos open-weight, que podem ser descarregados livremente, mas que tendem a ser menos capazes.
Os signatários querem, por isso, cinco coisas: acesso antecipado aos modelos mais capazes em cibersegurança, também antes do lançamento público, compute suficiente para realizar revisões sérias, ambientes seguros para analisar código privado, acesso para mantenedores pequenos e independentes e uma linha direta para as equipas de segurança dos laboratórios para comunicar descobertas.
Os atacantes não têm travões
Segundo a carta, os laboratórios e um punhado de parceiros veem novas capacidades ofensivas meses antes do resto do mercado, enquanto essas capacidades acabam por se disseminar amplamente através de modelos públicos, acesso roubado a ambientes empresariais e ferramentas de hacking construídas para o efeito. Isto remete para uma realidade mais ampla na cibersegurança: a mesma IA que ajuda os defensores também pode ser usada para tornar os ataques mais rápidos e mais escaláveis.
Essa tensão também se faz sentir no próprio setor das criptomoedas. Em junho, por exemplo, a OpenAI lançou a sua iniciativa Daybreak de cibersegurança, com dois níveis de acesso para tarefas defensivas e mais avançadas, enquanto outros laboratórios testam modelos quanto a abuso e resiliência. Ao mesmo tempo, investigações recentes mostram que modelos de fronteira conseguem, por vezes, encontrar autonomamente zero-days graves, o que eleva ainda mais a fasquia para os defensores.
Porque é que isto importa para o Bitcoin
O momento da carta é notável, porque dois signatários já viram nas últimas semanas o lado prático desse debate. A BTCPay Server comunicou na semana passada uma falha crítica que já tinha sido explorada para esvaziar nodes Lightning de comerciantes. A Foundation, criadora de carteiras de hardware, também perdeu o seu próprio node nesse ataque.
A BTCPay escreveu depois que a IA está a alterar o equilíbrio entre atacantes e defensores, porque os modelos tornam mais rápido e mais barato procurar pontos fracos em grandes bases de código. Um grupo voluntário, o Bitcoin Red Team, já colocou este mês modelos de IA em bases de código de bitcoin e apresentou milhares de alertas a centenas de projetos. A questão colocada pelas empresas não é, assim, apenas teórica, mas toca diretamente na forma como o software Bitcoin e as carteiras associadas são protegidos na prática.
A recente falha da BTCPay mostra quão depressa uma vulnerabilidade na infraestrutura de pagamentos pode traduzir-se em perdas reais. Isso faz com que o apelo aos laboratórios de IA seja, para muitas empresas de bitcoin, sobretudo uma questão prática de segurança.
