La campagna di sicurezza AI di Bitcoin ha trovato 6.700 problemi in 55 ore, ma nessuno sa quanti siano reali

La campagna di sicurezza assistita da AI focalizzata sull'ecosistema Bitcoin, Bitcoin Red Team, ha dichiarato di aver generato 6.700 risultati in 425 progetti nelle sue prime 55 ore. La campagna ha etichettato 1.029 di essi come gravi o critici.

L'aggiornamento del 6 agosto misura quanto materiale è entrato in un processo di triage della sicurezza e il suo effetto sulla sicurezza del software rimane non riportato.

Il thread recuperato ha omesso definizioni pronte per l'audit e denominatori per i conteggi di gravità, così come risultati a livello di caso, un tasso aggregato di falsi positivi e un tasso di risoluzione.

Questi campi mancanti impediscono di calcolare quanti avvisi siano diventati vulnerabilità confermate, quanti manutentori abbiano rifiutato o declassato e quanti abbiano portato a patch.

Le prime 55 ore rivelano comunque una capacità significativa, notando come i sistemi AI possano riempire rapidamente un processo di revisione su scala ecosistemica. L'invito esperto, la riproduzione, la divulgazione e la risposta dei manutentori sono rimasti necessari in ogni fase successiva.

Cosa misurano i numeri della campagna

La campagna ha pubblicato due istantanee man mano che il suo elenco e il carico di lavoro si espandevano:

L'aggiornamento di 27,5 ore ha coperto 390 progetti e 4.962 risultati. Al traguardo delle 55 ore, il numero di progetti era aumentato di 35 e il numero di risultati di 1.738. Il thread successivo ha messo i risultati alti o critici al 15,4% del totale e ha chiarito che tre dei 24 partecipanti riportati erano bot.

Il post precedente ha separato i risultati critici e alti, mentre quello successivo li ha combinati, con entrambi i set di cifre che riflettono le valutazioni della campagna. La conferma dell'exploitabilità e dei risultati di rimedio da parte dei manutentori richiede prove separate.

Il Bitcoin Red Team ha scansionato 425 progetti e riportato 6.700 risultati, inclusi 1.029 problemi alti o critici, mentre i tassi di validazione pubblica rimangono non pubblicati.

Rob Hamilton ha descritto Kimi K3 come gestore dell'analisi pesante, con GPT Sol, Fable/Opus e GLM 5.2 a supporto della documentazione. Ha detto che il Cyber Harness di OpenAI copriva componenti selezionati che considerava portanti.

Un giorno dopo, Hamilton ha scritto che esperti del settore potrebbero cambiare una valutazione con una o due frasi di contesto o un piccolo blocco di codice. Negli esempi che ha descritto, quel input ha spinto preoccupazioni medie in territorio alto o critico. Ha anche identificato operazioni, passaggio di divulgazione e triage come colli di bottiglia.

Nel racconto di Hamilton, i modelli cercavano ampiamente mentre gli specialisti formavano inviti, interpretavano output, tentavano riproduzioni e decidevano quali rapporti erano pronti per la divulgazione. Questa divisione del lavoro rende la campagna un sistema di revisione umano-AI.

Lo sviluppatore noto come Calle ha detto che la maggior parte dei rapporti critici è stata rapidamente verificata dai proprietari dei progetti. Il post non ha fornito denominatori, conteggi di rapporti verificati, conteggi di rifiuti o stato delle patch, lasciando irrisolto l'ampiezza e l'esito di quella verifica.

Comunicazione e risultati definiscono il valore della sicurezza

Nell'aggiornamento di 55 ore, il Bitcoin Red Team ha riportato che il 19,5% dei progetti scansionati aveva un file SECURITY.md e il 13,1% aveva un'email lì. Il thread recuperato ha omesso il corpus del progetto, l'interpretazione del denominatore e il metodo di misurazione, quindi le percentuali descrivono solo la scansione della campagna.

Il 3 agosto, Hamilton ha detto che lo sforzo aveva speso oltre 10.000 dollari per scansionare oltre 100 repository e aveva immediatamente divulgato risultati critici quando una prova di concetto ha dimostrato l'exploitabilità. Il 4 agosto, ha riportato circa 20.000 dollari di spese, più di una dozzina di divulgazioni e 150 repository scansionati.

La scansione ha continuato ad espandersi, mentre la campagna ha descritto comunicazione, passaggio e triage come vincoli operativi attivi. Le istantanee pubblicate non offrono alcun denominatore di divulgazione comparabile a 55 ore, quindi non possono stabilire la velocità relativa di scansione e risoluzione.

Hamilton ha successivamente identificato il separato incidente Coldcard come un catalizzatore per la campagna più ampia. Il record della campagna non attribuisce alcuna scoperta del difetto Coldcard a questa sprint.

Una contabilità pubblica utile separerebbe i risultati che sono stati riprodotti, riconosciuti, declassati, rifiutati e risolti, con definizioni e denominatori per ciascun tasso. Quella suddivisione mostrerebbe quanto del volume della campagna sia diventato lavoro di sicurezza azionabile.

Un critico pubblico, JW Weatherman, ha sostenuto che la campagna non poteva triage il suo output. Il suo post non ha identificato alcun problema, patch o avviso collegato alla campagna, quindi fornisce critiche senza un tasso di fallimento misurabile. I dati di disposizione mancanti della campagna lasciano aperta la questione sottostante.

Per ora, 6.700 rappresenta risultati etichettati dalla campagna e candidati al triage. La sprint ha dimostrato la velocità della revisione assistita da macchina. Il suo valore di sicurezza duraturo dipende dalla quota che gli esperti possono convalidare, divulgare e convertire in risoluzioni.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.