AnswersPublished32 sources
ביקורת ה-AI של Bitcoin Red Team העלתה 4,962 ממצאים — אבל האימות האנושי לא מדביק את הקצב
צוות Bitcoin Red Team, שמנה 16 מתנדבים, דיווח על 4,962 ממצאי אבטחה פוטנציאליים בכ 390 מאגרי קוד בתוך כ 27.5 שעות; 85 סווגו כקריטיים ו 635 כבעלי חומרה גבוהה. המספרים אינם מעידים על אלפי פרצות שניתנות לניצול: רק כ 21.4% מהממצאים שוחזרו באופן עצמאי, ורבים עוד מחכים לאימות, תעדוף, דיווח למתחזקים ותיקון.
פורסם על ידינערך באמצעות GPT-5.6 Terraהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- צוות Bitcoin Red Team, שמנה 16 מתנדבים, דיווח על 4,962 ממצאי אבטחה פוטנציאליים בכ 390 מאגרי קוד בתוך כ 27.5 שעות; 85 סווגו כקריטיים ו 635 כבעלי חומרה גבוהה.
- המספרים אינם מעידים על אלפי פרצות שניתנות לניצול: רק כ 21.4% מהממצאים שוחזרו באופן עצמאי, ורבים עוד מחכים לאימות, תעדוף, דיווח למתחזקים ותיקון.
- פרשת ארנק החומרה Coldcard והפסקת שירותי ההחלפה של Boltz ממחישות את הפער: גילוי אוטומטי של חולשות מתקדם מהר יותר מהיכולת של צוותים קטנים לבדוק ולהטמיע תיקונים.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the 16-member Bitcoin Red Team, led by Rob Hamilton and developer Calle and funded by OpenSats, use frontier AI models to scan about. Article summary: The audit showed that AI can generate security leads at a rate far beyond what a small open-source ecosystem can validate and patch. Its reported figures are therefore a warning signal—not proof that all 4,962 items were. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
הביקורת המהירה של Bitcoin Red Team ממחישה שינוי חד בכלכלת אבטחת הקוד הפתוח: בינה מלאכותית יכולה לייצר אלפי קצות חוט במהירות, אך מי שצריך להכריע אם מדובר בפרצה אמיתית — ולתקן אותה בבטחה — הם עדיין בני אדם.
במהלך ספרינט באוגוסט 2026, קבוצת המתנדבים דיווחה כי הגישה 4,962 ממצאי אבטחה פוטנציאליים בכ-390 מאגרי קוד הקשורים לביטקוין, בתוך כ-27.5 שעות. מתוכם 85 סווגו כקריטיים ו-635 כחמורים. חשוב להדגיש: אלה דיווחים ראשוניים ומועמדים לבדיקה, לא 4,962 פרצות מוכחות שניתן בהכרח לנצל. 11
24
מה עשה הצוות
הקבוצה, בת 16 חברים ובהובלת המפתח Calle ומנכ״ל AnchorWatch רוב המילטון, השתמשה לפי הדיווחים ביותר מ-40 אלף דולר של כוח חישוב ל-AI, במימון OpenSats — ארגון ללא כוונת רווח התומך בפיתוח ביטקוין בקוד פתוח. המודלים סרקו בסיסי קוד, זיהו מסלולים חשודים והציעו השערות לניצול; החוקרים האנושיים ניהלו את התהליך והכינו דיווחים למתחזקי הפרויקטים. בין המודלים שהוזכרו בסיקור: Kimi K3, GPT Sol, Fable, Opus ו-GLM 5.2. 2
5
12
ההיקף היה חריג לספרינט התנדבותי קצר: כ-390 מאגרים, וכלי בדיקה שדווח כי כיסה 171,599 שורות קוד. לפי דירוגי הצוות עצמו, 720 ממצאים היו בדרגת חומרה גבוהה או קריטית. 23
27
AI מסוגל לחפש במהירות דפוסים מסוכנים במאגרי קוד גדולים, לעקוב אחרי זרימות נתונים ולנסח רעיונות לבדיקות או לתרחישי ניצול. אבל זיהוי של התנהגות חשודה אינו הופך דיווח, כשלעצמו, לבעיית אבטחה מאומתת ומוכנה לתיקון.
4,962 ממצאים אינם 4,962 פרצות
יש לקרוא את הנתון כצינור של מועמדים שממתינים לאימות. בדיווחים הראשוניים נאמר שרק 21.4% מהממצאים שוחזרו באופן עצמאי. כלומר, לגבי רוב הדיווחים עדיין נדרש אדם לבדוק אם ההתנהגות אכן קיימת בגרסה ובתצורה הרלוונטיות, אם אפשר לנצל אותה, אם מדובר בכפילות, ומהי חומרתה בפועל. 11
15
תהליך תגובה מלא לפרצת אבטחה כולל בדרך כלל:
- שחזור ההתנהגות בסביבת התוכנה האמיתית;
- הפרדה בין פרצות אמיתיות, התרעות שווא ודיווחים כפולים;
- הערכת אפשרות הניצול וההשפעה על משתמשים;
- תיאום דיווח פרטי מול מתחזקי הקוד;
- כתיבת תיקון ממוקד ובדיקות;
- סקירת השינוי כדי למנוע תקלות חדשות; וכן
- הפצת העדכון והטמעתו אצל מפעילים ומשתמשים.
AI הוזיל משמעותית את השלב הראשון — יצירת קצות חוט. הוא לא ביטל את הצורך במומחיות אנושית בכל השלבים שאחריו. לפי דיווח אחד, רק חלק מהממצאים כבר הגיעו למתחזקים, נתון שמדגיש כי גם יכולת הדיווח האחראי היא מגבלה מעשית. 14
Coldcard: תזכורת למחיר של תקלה סביב ביטקוין
הביקורת הגיעה אחרי אירוע Coldcard, ארנק חומרה לביטקוין. לפי הדיווחים, שגיאת קושחה ממרץ 2021 ניתבה יצירת ביטוי השחזור (seed) למחולל אקראיות תוכנתי צפוי, במקום למחולל האקראיות החומרתי שיועד לכך. כתוצאה מכך, מפתחות שנוצרו במכשירים מושפעים עשויים היו להיות ניתנים לשחזור בידי תוקף שיכול לצמצם את טווח הקלטים הנדרש. 42
45
הערכות ההפסד השתנו ככל שאותרה פעילות נוספת: CoinDesk דיווחה על סכום מצטבר אפשרי של קרוב ל-114 מיליון דולר בארבעה גלים, בעוד דיווחים אחרים תיארו גניבה של כ-1,816 BTC בין 30 ביולי ל-3 באוגוסט. 41
42
הלקח אינו שהקריפטוגרפיה של ביטקוין נשברה. מדובר בכשל בתוכנת משמורת עצמית שמסביב לה — כשל שיכול להתרחב להשלכות בהיקף גדול. לכן איתור חולשות מסוכנות לפני ניצולן חשוב לא פחות מגילוין לאחר מעשה.
תיקון אחד שמוזג — והפער בין דיווח לתוצאה
תוצאה מעשית אחת של המאמץ הייתה תיקון בסיוע AI שתרם המילטון ל-Bitcoin Core, ואשר מוזג ב-20 באוגוסט. לפי הדיווח, התיקון עסק בבאג שגרם לקריסה הקשורה לארנק. 13
זהו מקרה משמעותי של ממצא שנעזר ב-AI והתקדם דרך מסלול הפיתוח הרגיל: הגדרת הבאג, כתיבת תיקון, סקירה ומיזוג לקוד מתוחזק. אך הוא גם מבהיר מדוע אין לבלבל בין המספר הגולמי של הדיווחים לבין מספר התיקונים שהושלמו: תיקון שמוזג עבר רף גבוה בהרבה מהתראה שנוצרה אוטומטית.
הגבלות הגישה של OpenAI והדילמה ההגנתית
המילטון אמר שתוכנית Trust Cyber של OpenAI הגבילה את גישתו לאחר שהחל לשלב את יכולות הסייבר של החברה בביקורת. לפי הסיקור, הקבוצה עברה למודלים חלופיים, לרבות מודלים עם משקלים פתוחים, כדי להמשיך בעבודה. 18
21
32
הדילמה מדיניותית: מודלי סייבר חזקים יכולים לעזור למגינים חוקיים לאתר חולשות, אך אותן יכולות עלולות לשמש גם לרעה. ביקורתו של המילטון הייתה שהאטה של מגינים מזוהים עלולה ליצור חוסר איזון מעשי, כאשר לתוקפים עדיין עומדים מודלים אחרים או משקלים שאפשר להריץ מקומית. זו טענה על גישה ומהירות תפעולית — לא הוכחה שהגבלת כלים של ספק אחד עוצרת מחקר אבטחה או שימוש זדוני. 21
Boltz מראה את הלחץ על צוותים קטנים
שירות החלפות הביטקוין Boltz השעה באוגוסט את פעולת ההחלפות ללא מועד חזרה, לאחר שלדבריו עלייה בבדיקות אוטומטיות בסיוע AI עלתה על יכולת הצוות הקטן שלו לאבטח את המערכת ולהטמיע תיקונים. פונקציונליות ההחזרים נותרה זמינה בזמן שההחלפות הושבתו. 28
29
30
המקרה של Boltz אינו מוכיח שכל תקיפה שנעזרת ב-AI היא מתוחכמת או מוצלחת. אבל הוא מדגים היטב את הפער שנחשף גם בביקורת Red Team: גילוי ובדיקה אוטומטיים יכולים לפעול ברציפות, בעוד שמתחזקים מעטים נדרשים לחקור כל התרעה ולהפיץ כל הקלה באופן בטוח.
למה מודלים חזקים יותר משנים את מאזן הסיכון
ביטקוין ושירותים רבים סביבו הם פרויקטי קוד פתוח. השקיפות הזו מאפשרת ביקורת עצמאית, אך גם מעניקה למגינים ולתוקפים גישה לאותו מאגר קוד. החשש שהעלו המילטון ופרשן הביטקוין CobraBitcoin אינו שקוד פתוח אינו בטוח מעצם טבעו; החשש הוא שמודלים מתקדמים יקצרו את הזמן ואת רמת המומחיות הדרושים כדי לאתר חולשה חריגה לאורך מאות מאגרים. 17
21
OpenAI מסרה כי GPT-6 Astra עומד בסף יכולת הסייבר Critical במסגרת ה-Preparedness Framework שלה. לפי החברה, עם הכלים והגישה המתאימים, Astra יכול למצוא חולשות שלא היו ידועות קודם ולפתח דרכים לנצל אותן במערכות מוגנות רבות, ללא הנחיה אנושית בכל שלב. 19
22
הצהרת היכולת הזו אינה מוכיחה ש-Astra שימש בביקורת של Bitcoin Red Team, ואינה קובעת שמודל מתקדם גרם לפגיעה כלשהי בביטקוין. היא כן מחדדת מדוע מתחזקים מתמקדים במהירות התגובה: ככל שהמודלים משתפרים בהבנת מאגרים שלמים ובפיתוח תרחישי ניצול, צוואר הבקבוק עובר מאיתור האפשרויות להוכחה מהירה, תיקון והטמעה של הממצאים החשובים.
ההשקעה החשובה: יכולת אימות אנושית
את ספרינט Bitcoin Red Team נכון להבין כאזהרת תפוקה. כיום אפשר לייצר אלפי חשדות סבירים במהירות. החוסן של מערכות קוד פתוח יהיה תלוי ביכולת לממן שחזור עצמאי, ערוצי דיווח מאובטחים, זמן של מתחזקים, סקירת קוד, בדיקות והפצת עדכונים — בקצב שמתקרב לקצב הגילוי המכני.
לכן, המדד החשוב לפרויקטים הקשורים לביטקוין אינו שיא חדש במספר ממצאי ה-AI. המדד הוא שיעור הדיווחים שהופכים לפרצות מאומתות, לתיקונים מתואמים ואחראיים, ולהגנות שמוטמעות בפועל לפני שתוקפים מספיקים לפעול. 15
14
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ביקורת ה-AI של Bitcoin Red Team העלתה 4,962 ממצאים — אבל האימות האנושי לא מדביק את הקצב"?
צוות Bitcoin Red Team, שמנה 16 מתנדבים, דיווח על 4,962 ממצאי אבטחה פוטנציאליים בכ 390 מאגרי קוד בתוך כ 27.5 שעות; 85 סווגו כקריטיים ו 635 כבעלי חומרה גבוהה.
What are the key points to validate first?
צוות Bitcoin Red Team, שמנה 16 מתנדבים, דיווח על 4,962 ממצאי אבטחה פוטנציאליים בכ 390 מאגרי קוד בתוך כ 27.5 שעות; 85 סווגו כקריטיים ו 635 כבעלי חומרה גבוהה. המספרים אינם מעידים על אלפי פרצות שניתנות לניצול: רק כ 21.4% מהממצאים שוחזרו באופן עצמאי, ורבים עוד מחכים לאימות, תעדוף, דיווח למתחזקים ותיקון.
What should I do next in practice?
פרשת ארנק החומרה Coldcard והפסקת שירותי ההחלפה של Boltz ממחישות את הפער: גילוי אוטומטי של חולשות מתקדם מהר יותר מהיכולת של צוותים קטנים לבדוק ולהטמיע תיקונים.
Sources
forklog.comBitcoin Red Team Identifies Thousands of Issues in 390 ... - ForkLog
coinpaper.comBitcoin Red Team Flags Nearly 5000 Security Issues in 30 ...
finance.yahoo.com85 Critical Flaws Found as AI-Powered Bitcoin Security Audit Hits ...
bbx.comBitcoin Red Team completes open source code repository ...