Deweloper Bitcoina Niklas Gögge powiedział, że skany oparte na modelach językowych wygenerowały ponad 1 000 raportów bezpieczeństwa dotyczących Bitcoin Core, argumentując, że AI powinna służyć do wzmacniania zautomatyzowanych testów, a nie być traktowana jako samodzielna strategia bezpieczeństwa.

Gögge powiedział, że za napływem raportów stały inicjatywy, w tym Project Loupe i Bitcoin Red Team. Dodał, że większość zgłoszeń stanowiła fałszywe alarmy lub hipotetyczne problemy oraz że dotychczas nie zidentyfikowano żadnych krytycznych luk.

Jego stanowisko nie polegało na twierdzeniu, że skanowanie przez AI jest zbędne. Opowiadał się raczej za wykorzystaniem go jako warstwy wsparcia w ramach szerszego procesu bezpieczeństwa. W szczególności wskazał na fuzzing — metodę testowania, która poddaje oprogramowanie bardzo dużej liczbie danych wejściowych, aby ujawnić błędy. Bitcoin Core i biblioteka kryptograficzna secp256k1 są już od lat objęte fuzzingiem, a Gögge zasugerował, że modele językowe mogą pomóc obniżyć koszt tworzenia i doskonalenia tych narzędzi.

Komentarze pojawiają się w czasie, gdy AI sprawia, że przegląd kodu na dużą skalę staje się tańszy i szybszy w całym oprogramowaniu open source, w tym w infrastrukturze Bitcoina. Gögge stwierdził, że oprogramowanie Bitcoina historycznie przyciągało mniej uwagi atakujących niż niektóre inne sektory, lecz ta dynamika może się zmieniać, ponieważ modele coraz lepiej analizują duże bazy kodu przy niskich kosztach.

Dostępne raporty wspierające dotyczące szerszego ekosystemu Bitcoina sugerują, że większym problemem operacyjnym jest nie tylko znajdowanie błędów, lecz także zarządzanie obciążeniem związanym z ich przeglądem. Może to obejmować odsiewanie fałszywych alarmów, potwierdzanie, czy problem jest rzeczywisty, przygotowywanie poprawek oraz zarządzanie terminami ujawniania informacji w szeroko używanych repozytoriach open source.

Dlaczego to ma znaczenie

Ma to znaczenie, ponieważ Bitcoin Core znajduje się blisko warstwy bazowej stosu oprogramowania Bitcoina, a każda zmiana w sposobie wykrywania luk wpływa na więcej niż jedno repozytorium. Audyty wspomagane przez AI mogą poprawić zakres kontroli i skrócić czas potrzebny do wykrywania usterek, ale zwiększają też ryzyko, że opiekunowie projektu będą poświęcać więcej czasu na filtrowanie szumnych raportów niż na naprawianie istotnych problemów.

Sytuacja ta uwypukla również szerszą zmianę w bezpieczeństwie infrastruktury kryptowalutowej. W miarę jak AI obniża koszt skanowania kodu, przewaga może przesuwać się od samego wykrywania błędów ku zdyscyplinowanym systemom testowania, procesom ujawniania informacji i zdolnościom opiekunów projektów. W przypadku krytycznych projektów open source odporność bezpieczeństwa może zależeć mniej od tego, czy AI jest wykorzystywana, a bardziej od tego, jak jej wyniki są integrowane z istniejącymi procesami przeglądu.