Sprint Keamanan AI Bitcoin Temukan 6.700 Masalah dalam 55 Jam, Namun Tidak Ada yang Tahu Berapa Banyak yang Nyata

Kampanye keamanan yang dibantu AI yang berfokus pada ekosistem Bitcoin, Bitcoin Red Team, mengatakan bahwa mereka menghasilkan 6.700 temuan di 425 proyek dalam 55 jam pertama. Kampanye tersebut mengklasifikasikan 1.029 di antaranya sebagai tinggi atau kritis.

Pembaruan 6 Agustus mengukur seberapa banyak materi yang masuk ke dalam jalur triase keamanan, dan dampaknya terhadap keamanan perangkat lunak masih belum dilaporkan.

Thread yang diambil menghilangkan definisi yang siap diaudit dan penyebut untuk hitungan tingkat keparahan, serta hasil tingkat kasus, tingkat positif palsu agregat, dan tingkat perbaikan.

Bidang yang hilang tersebut mencegah perhitungan berapa banyak peringatan yang menjadi kerentanan yang terkonfirmasi, berapa banyak pemelihara yang menolak atau menurunkan, dan berapa banyak yang mengarah pada perbaikan.

55 jam pertama tetap mengungkapkan kemampuan yang signifikan, mencatat bagaimana sistem AI dapat mengisi jalur tinjauan skala ekosistem dengan cepat. Pemicu ahli, reproduksi, pengungkapan, dan respons pemelihara tetap diperlukan di setiap tahap selanjutnya.

Apa yang Diukur oleh Angka Kampanye

Kampanye menerbitkan dua snapshot saat roster dan beban kerja meningkat:

Pembaruan 27,5 jam mencakup 390 proyek dan 4.962 temuan. Pada tanda 55 jam, jumlah proyek meningkat menjadi 35 dan jumlah temuan meningkat menjadi 1.738. Thread yang lebih baru menempatkan temuan tinggi atau kritis pada 15,4% dari total dan menjelaskan bahwa tiga dari 24 peserta yang dilaporkan adalah bot.

Postingan sebelumnya memisahkan temuan kritis dan tinggi, sementara yang lebih baru menggabungkannya, dengan kedua set angka mencerminkan penilaian kampanye. Konfirmasi eksploitabilitas yang dikonfirmasi oleh pemelihara dan hasil remediasi memerlukan bukti terpisah.

Bitcoin Red Team memindai 425 proyek dan melaporkan 6.700 temuan, termasuk 1.029 masalah tinggi atau kritis, sementara tingkat validasi publik tetap tidak dipublikasikan.

Rob Hamilton menggambarkan Kimi K3 sebagai yang menangani analisis berat, dengan GPT Sol, Fable/Opus, dan GLM 5.2 mendukung dokumentasi. Dia mengatakan Cyber Harness dari OpenAI mencakup komponen terpilih yang dia anggap sebagai penopang.

Sehari kemudian, Hamilton menulis bahwa para ahli materi pelajaran dapat mengubah penilaian dengan satu atau dua kalimat konteks atau sepotong kecil kode. Dalam contoh yang dia gambarkan, masukan itu mendorong kekhawatiran sedang menjadi tinggi atau kritis. Dia juga mengidentifikasi operasi, pengalihan pengungkapan, dan triase sebagai bottleneck.

Dalam akun Hamilton, model mencari secara luas sementara spesialis membentuk pemicu, menginterpretasikan output, mencoba reproduksi, dan memutuskan laporan mana yang siap untuk diungkapkan. Pembagian kerja itu menjadikan kampanye sebagai sistem tinjauan manusia-AI.

Pengembang yang dikenal sebagai Calle mengatakan sebagian besar laporan kritis segera diverifikasi oleh pemilik proyek. Postingan tersebut tidak menyediakan penyebut, jumlah laporan yang diverifikasi, jumlah penolakan, atau status perbaikan, meninggalkan luas dan hasil verifikasi itu tidak terjawab.

Jangkauan dan Hasil Mendefinisikan Nilai Keamanan

Dalam pembaruan 55 jam, Bitcoin Red Team melaporkan bahwa 19,5% proyek yang dipindai memiliki file SECURITY.md dan 13,1% memiliki email di sana. Thread yang diambil menghilangkan korpus proyek, interpretasi penyebut, dan metode pengukuran, sehingga persentase hanya menggambarkan pemindaian kampanye.

Pada 3 Agustus, Hamilton mengatakan bahwa upaya tersebut telah menghabiskan lebih dari $10.000 untuk memindai lebih dari 100 repositori dan segera mengungkapkan temuan kritis ketika bukti konsep menunjukkan eksploitabilitas. Pada 4 Agustus, dia melaporkan sekitar $20.000 dalam pengeluaran, lebih dari selusin pengungkapan dan 150 repositori yang dipindai.

Pemindaian terus berkembang, sementara kampanye menggambarkan jangkauan, pengalihan, dan triase sebagai kendala operasional yang aktif. Snapshot yang diterbitkan tidak menawarkan penyebut pengungkapan yang dapat dibandingkan pada 55 jam, sehingga mereka tidak dapat menetapkan kecepatan relatif pemindaian dan resolusi.

Hamilton kemudian mengidentifikasi insiden Coldcard yang terpisah sebagai katalis untuk kampanye yang lebih luas. Catatan kampanye tidak mengaitkan penemuan cacat Coldcard dengan sprint ini.

Akuntansi publik yang berguna akan memisahkan temuan yang direproduksi, diakui, diturunkan, ditolak, dan diperbaiki, dengan definisi dan penyebut untuk setiap tingkat. Pembagian itu akan menunjukkan seberapa banyak volume kampanye yang menjadi pekerjaan keamanan yang dapat ditindaklanjuti.

Seorang kritikus publik, JW Weatherman, berpendapat bahwa kampanye tidak dapat melakukan triase outputnya. Postingan tersebut tidak mengidentifikasi masalah, perbaikan, atau nasihat yang terkait dengan kampanye, sehingga memberikan kritik tanpa tingkat kegagalan yang terukur. Data disposisi yang hilang dari kampanye meninggalkan pertanyaan mendasar tetap terbuka.

Untuk saat ini, 6.700 mewakili temuan yang dilabeli kampanye dan kandidat triase. Sprint ini menunjukkan kecepatan tinjauan yang dibantu mesin. Nilai keamanan yang bertahan tergantung pada bagian yang dapat divalidasi, diungkapkan, dan diubah menjadi perbaikan oleh para ahli.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.