นิกกลาส เกิกเก นักพัฒนา Bitcoin กล่าวว่า การสแกนที่ใช้โมเดลภาษาสร้างรายงานด้านความปลอดภัยเกี่ยวกับ Bitcoin Core มากกว่า 1,000 รายการ โดยให้เหตุผลว่าควรใช้ AI เพื่อเสริมความแข็งแกร่งให้การทดสอบอัตโนมัติ แต่ไม่ควรมองว่าเป็นกลยุทธ์ด้านความปลอดภัยแบบครบวงจรเพียงลำพัง

เกิกเกกล่าวว่า โครงการต่าง ๆ ซึ่งรวมถึง Project Loupe และ Bitcoin Red Team เป็นแหล่งที่มาของรายงานจำนวนมาก เขาเสริมว่า การส่งรายงานส่วนใหญ่เป็นผลบวกลวงหรือประเด็นเชิงสมมติ และจนถึงตอนนี้ยังไม่มีการระบุช่องโหว่ร้ายแรง

จุดยืนของเขาไม่ได้หมายความว่าการสแกนด้วย AI ไม่จำเป็น แต่เขาสนับสนุนให้ใช้ AI เป็นชั้นสนับสนุนภายในกระบวนการรักษาความปลอดภัยที่ครอบคลุมกว่า โดยเฉพาะอย่างยิ่ง เขาชี้ไปที่ fuzzing ซึ่งเป็นวิธีทดสอบที่ป้อนข้อมูลจำนวนมากให้ซอฟต์แวร์เพื่อค้นหาความล้มเหลว Bitcoin Core และไลบรารีการเข้ารหัส secp256k1 มีการครอบคลุมการทำ fuzzing มานานหลายปีแล้ว และเกิกเกมองว่าโมเดลภาษาสามารถช่วยลดต้นทุนในการสร้างและปรับปรุงเครื่องมือเหล่านี้ได้

ความเห็นดังกล่าวเกิดขึ้นในช่วงที่ AI ทำให้การตรวจทานโค้ดขนาดใหญ่ในซอฟต์แวร์โอเพนซอร์ส รวมถึงโครงสร้างพื้นฐาน Bitcoin มีต้นทุนต่ำลงและรวดเร็วยิ่งขึ้น เกิกเกกล่าวว่า ในอดีตซอฟต์แวร์ Bitcoin ได้รับความสนใจจากผู้โจมตีน้อยกว่าบางภาคส่วน แต่พลวัตดังกล่าวอาจกำลังเปลี่ยนไปเมื่อโมเดลสามารถวิเคราะห์ฐานโค้ดขนาดใหญ่ได้ดีขึ้นด้วยต้นทุนต่ำ

รายงานสนับสนุนที่มีอยู่เกี่ยวกับระบบนิเวศ Bitcoin ในวงกว้างชี้ว่า ประเด็นด้านการดำเนินงานที่ใหญ่กว่าไม่ได้มีเพียงการค้นหาบั๊ก แต่รวมถึงการรับมือกับภาระการตรวจสอบที่ตามมาด้วย ซึ่งอาจรวมถึงการคัดกรองผลบวกลวง การยืนยันว่าประเด็นนั้นมีอยู่จริง การเตรียมแพตช์ และการจัดการช่วงเวลาการเปิดเผยข้อมูลในคลังโอเพนซอร์สที่มีการใช้งานอย่างแพร่หลาย

เหตุใดจึงสำคัญ

เรื่องนี้สำคัญเนื่องจาก Bitcoin Core อยู่ใกล้กับชั้นฐานของชุดซอฟต์แวร์ Bitcoin และการเปลี่ยนแปลงใด ๆ ในวิธีค้นพบช่องโหว่ย่อมส่งผลต่อมากกว่าหนึ่งคลังโค้ด การตรวจสอบด้วยความช่วยเหลือจาก AI อาจเพิ่มความครอบคลุมและลดเวลาที่ต้องใช้ในการค้นหาข้อบกพร่อง แต่ก็เพิ่มความเสี่ยงที่ผู้ดูแลจะใช้เวลาคัดกรองรายงานที่มีสัญญาณรบกวนมากกว่าการแก้ไขปัญหาที่มีความหมาย

เหตุการณ์นี้ยังสะท้อนการเปลี่ยนแปลงในวงกว้างของความปลอดภัยโครงสร้างพื้นฐานคริปโต เมื่อ AI ลดต้นทุนการสแกนโค้ด ความได้เปรียบอาจย้ายจากการค้นหาบั๊กเพียงอย่างเดียวไปสู่ระบบการทดสอบที่มีวินัย กระบวนการเปิดเผยข้อมูล และขีดความสามารถของผู้ดูแล สำหรับโครงการโอเพนซอร์สที่มีความสำคัญ ความยืดหยุ่นด้านความปลอดภัยอาจขึ้นอยู่กับวิธีบูรณาการผลลัพธ์ของ AI เข้ากับเวิร์กโฟลว์การตรวจสอบที่มีอยู่ มากกว่าจะขึ้นอยู่กับว่ามีการใช้ AI หรือไม่