ОтветыОпубликовано32 источники
ИИ нашёл 4 962 потенциальные проблемы в Bitcoin-проектах — но проверить их людям гораздо сложнее
За 27,5 часа команда из 16 волонтёров сообщила о 4 962 потенциальных проблемах примерно в 390 Bitcoin проектах; 85 были помечены как критические, ещё 635 — как высокорисковые. Это не 4 962 подтверждённые эксплуатируемые уязвимости: независимо воспроизвести удалось лишь около 21,4% находок.
ОпубликовалОтредактировано с помощью GPT-5.6 TerraИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- За 27,5 часа команда из 16 волонтёров сообщила о 4 962 потенциальных проблемах примерно в 390 Bitcoin проектах; 85 были помечены как критические, ещё 635 — как высокорисковые.
- Это не 4 962 подтверждённые эксплуатируемые уязвимости: независимо воспроизвести удалось лишь около 21,4% находок.
- ИИ удешевляет поиск подозрительных участков кода, но не заменяет экспертов, которые должны подтвердить проблему, согласовать раскрытие, подготовить патч, протестировать и доставить обновление пользователям.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the 16-member Bitcoin Red Team, led by Rob Hamilton and developer Calle and funded by OpenSats, use frontier AI models to scan about. Article summary: The audit showed that AI can generate security leads at a rate far beyond what a small open-source ecosystem can validate and patch. Its reported figures are therefore a warning signal—not proof that all 4,962 items were. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Bitcoin Red Team продемонстрировала, насколько масштабным может стать ИИ-ассистированный аудит открытого кода. В августе 2026 года волонтёрская группа сообщила, что за примерно 27,5 часа проверила около 390 связанных с Bitcoin репозиториев и зарегистрировала 4 962 потенциальные проблемы безопасности. Из них 85 получили метку «критические», а 635 — «высокого уровня серьёзности». Но это не означает, что в экосистеме нашли 4 962 подтверждённые и эксплуатируемые уязвимости: речь идёт о потоке гипотез, который ещё должен пройти проверку людьми. 11
24
Что сделала Bitcoin Red Team
В 16-членную команду вошли разработчик Calle и гендиректор AnchorWatch Роб Хэмилтон. По сообщениям СМИ, на вычисления для работы ИИ было направлено более 40 000 долларов, выделенных некоммерческой организацией OpenSats, поддерживающей разработку открытого ПО для Bitcoin. Люди управляли процессом, а несколько моделей анализировали кодовые базы, искали подозрительные пути исполнения и возможные слабые места. В публикациях упоминались Kimi K3, GPT Sol, Fable, Opus и GLM 5.2. 2
5
12
Масштаб для короткого добровольческого спринта был необычным: около 390 репозиториев, а применённый командой набор инструментов для аудита, по данным публикаций, охватывал 171 599 строк кода. Всего 720 сообщений команда отнесла к категориям high или critical. 23
27
Такой результат показывает изменение экономики аудита. Модель способна быстро просмотреть большой массив кода, выделить рискованные шаблоны, проследить возможные потоки данных и предложить сценарий теста либо гипотезу эксплуатации. Однако обнаружить нечто подозрительное ещё не значит подготовить готовый к исправлению отчёт.
Почему 4 962 находки — не число уязвимостей
Корректнее считать цифру 4 962 очередью кандидатов на верификацию. На раннем этапе независимо воспроизвести удалось только 21,4% сообщений. Для остальных необходимо установить, существует ли описанное поведение в нужной сборке и конфигурации, можно ли его реально эксплуатировать, не является ли находка дубликатом и насколько она опасна на самом деле. 11
15
Полноценная реакция на уязвимость обычно включает:
- воспроизведение поведения в реальной программной среде;
- отсев ложных срабатываний и дубликатов;
- оценку эксплуатируемости и последствий для пользователей;
- закрытое согласование раскрытия с сопровождающими проекта;
- подготовку точечного патча и тестов;
- проверку изменений на регрессии;
- выпуск и установку обновления операторами и пользователями.
ИИ сделал генерацию гипотез гораздо дешевле и быстрее. Но он не устранил потребность в квалифицированных специалистах на всех последующих этапах. По данным публикаций, до сопровождающих проектов дошла лишь часть сообщений — то есть пропускная способность процесса раскрытия тоже стала ограничением. 14
Инцидент Coldcard сделал риск наглядным
Спринт проходил после инцидента с аппаратными кошельками Coldcard. Как сообщалось, ошибка в прошивке от марта 2021 года направляла генерацию seed-фразы через предсказуемый программный генератор случайных чисел вместо предусмотренного аппаратного генератора. В результате ключи затронутых кошельков могли быть воспроизведены атакующим, если ему удавалось сузить необходимые входные данные. 42
45
Оценки ущерба менялись по мере выявления новых эпизодов. CoinDesk писал о совокупной сумме около 114 млн долларов в четырёх волнах атак; в других публикациях фигурировала оценка примерно в 1 816 BTC, похищенных с 30 июля по 3 августа. 41
42
Это не был взлом криптографии самого Bitcoin. Урок в другом: дефект в программном обеспечении вокруг самостоятельного хранения средств может иметь системные последствия. Поэтому способность находить опасные ошибки до эксплуатации не менее важна, чем расследовать их после кражи.
Один исправленный баг — и границы громкой статистики
Осязаемым результатом стал вклад Хэмилтона в Bitcoin Core: 20 августа был принят патч, устраняющий сбой, связанный с кошельком. По сообщениям, проблема была найдена с помощью ИИ-инструментов. 13
Это важный пример того, как ИИ-ассистированная находка проходит традиционный путь проверки и попадает в поддерживаемую кодовую базу. Но он же объясняет, почему число отчётов нельзя путать с числом устранённых проблем. Принятый патч проходит существенно более высокую планку: у него есть определённая ошибка, проверенное исправление и одобрение сопровождающих проекта.
Ограничение доступа к OpenAI и дилемма защитников
Хэмилтон заявил, что программа OpenAI Trust Cyber ограничила ему доступ после начала интеграции кибервозможностей OpenAI в аудит. После этого группа, согласно публикациям, продолжила работу с альтернативными моделями, включая модели с открытыми весами. 18
21
32
Здесь возникает непростой вопрос политики доступа. Сильные кибермодели могут помогать легитимным исследователям быстрее находить ошибки, но те же способности могут быть использованы во вредоносных целях. Хэмилтон критиковал ситуацию, при которой известные защитники сталкиваются с задержками, тогда как атакующие могут обратиться к другим моделям, в том числе запускаемым локально. Это аргумент о доступе и скорости работы, а не доказательство того, что ограничения одного поставщика полностью останавливают исследования безопасности или злоупотребления. 21
Boltz: давление на небольшие команды уже стало операционной проблемой
Отдельно сервис Bitcoin-свопов Boltz в августе бессрочно приостановил обмены. Компания объяснила решение тем, что рост автоматизированного ИИ-ассистированного сканирования и попыток атак превысил возможности небольшой команды по защите системы и выпуску исправлений. При этом функция возврата средств оставалась доступной, пока свопы были отключены. 28
29
30
Случай Boltz не доказывает, что каждая ИИ-генерируемая атака сложна или успешна. Но он наглядно показывает несоответствие скоростей: автоматический поиск и проверка могут идти постоянно, тогда как сопровождающим проекта нужно вручную расследовать каждое предупреждение и безопасно выпускать каждое исправление.
Почему более сильные модели меняют расчёт риска
Bitcoin и значительная часть связанных с ним сервисов используют открытый исходный код. Это даёт независимую проверку и прозрачность, но одновременно предоставляет защитникам и атакующим доступ к одному и тому же массиву программного кода. Опасение, о котором говорили Хэмилтон и комментатор CobraBitcoin, состоит не в том, что открытый код сам по себе небезопасен. Речь о том, что всё более мощные модели могут сократить время и требуемую экспертизу для поиска редких ошибок сразу в сотнях репозиториев. 17
21
OpenAI заявляет, что GPT-6 Astra достигла уровня Critical по кибербезопасности в её Preparedness Framework. По описанию компании, при наличии подходящих инструментов и доступа модель способна находить неизвестные ранее изъяны и разрабатывать способы их эксплуатации в ряде хорошо защищённых систем без пошагового сопровождения человеком. 19
22
Это заявление не означает, что Astra использовалась в аудите Bitcoin Red Team, и не доказывает, что передовая модель вызвала какой-либо компромисс в Bitcoin. Но оно поясняет, почему разработчики сосредоточились на скорости реакции: по мере улучшения моделей в анализе репозиториев и разработке эксплойтов ограничение смещается от поиска возможных проблем к быстрому доказательству, исправлению и развёртыванию защиты для действительно важных находок.
Главная инвестиция в безопасность — способность проверять
Спринт Bitcoin Red Team стоит воспринимать прежде всего как предупреждение о пропускной способности. Экосистемы уже могут получать тысячи правдоподобных сигналов за короткое время. Их устойчивость будет зависеть от того, смогут ли они финансировать независимое воспроизведение, защищённые каналы сообщения об ошибках, время сопровождающих, ревью кода, тестирование и быстрое внедрение обновлений с сопоставимой скоростью.
Поэтому для Bitcoin-проектов ключевым показателем станет не максимальное число ИИ-сгенерированных находок, а доля сообщений, которые превращаются в подтверждённые уязвимости, согласованно выпущенные патчи и реально установленные защиты до того, как ими успеют воспользоваться атакующие. 15
14
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «ИИ нашёл 4 962 потенциальные проблемы в Bitcoin-проектах — но проверить их людям гораздо сложнее»?
За 27,5 часа команда из 16 волонтёров сообщила о 4 962 потенциальных проблемах примерно в 390 Bitcoin проектах; 85 были помечены как критические, ещё 635 — как высокорисковые.
Какие ключевые моменты необходимо проверить в первую очередь?
За 27,5 часа команда из 16 волонтёров сообщила о 4 962 потенциальных проблемах примерно в 390 Bitcoin проектах; 85 были помечены как критические, ещё 635 — как высокорисковые. Это не 4 962 подтверждённые эксплуатируемые уязвимости: независимо воспроизвести удалось лишь около 21,4% находок.
Что мне делать дальше на практике?
ИИ удешевляет поиск подозрительных участков кода, но не заменяет экспертов, которые должны подтвердить проблему, согласовать раскрытие, подготовить патч, протестировать и доставить обновление пользователям.
Источники
forklog.comBitcoin Red Team Identifies Thousands of Issues in 390 ... - ForkLog
coinpaper.comBitcoin Red Team Flags Nearly 5000 Security Issues in 30 ...
finance.yahoo.com85 Critical Flaws Found as AI-Powered Bitcoin Security Audit Hits ...
bbx.comBitcoin Red Team completes open source code repository ...