ビットコイン開発者のニクラス・ゲッゲ氏は、言語モデルに基づくスキャンによりビットコインコアを巡って1,000件超のセキュリティ報告が生成されたと述べ、AIは自動テストの強化に活用すべきだが、単独のセキュリティ戦略として扱うべきではないと主張した。

ゲッゲ氏は、プロジェクト・ルーペやビットコイン・レッドチームを含む取り組みが報告の流れの背景にあると述べた。また、提出された報告の大半は誤検知または仮説上の問題であり、現時点で重大な脆弱性は確認されていないと付け加えた。

同氏の立場は、AIスキャンが不要だというものではない。むしろ、より幅広いセキュリティプロセスの中で支援レイヤーとして活用すべきだと主張した。特に、ソフトウェアに大量の入力を与えて障害を発見するテスト手法であるファジングを挙げた。ビットコインコアと暗号ライブラリsecp256k1はすでに長年にわたるファジングの対象となっており、ゲッゲ氏は言語モデルがこれらのツールの構築・改善コストを下げる助けになり得ると示唆した。

こうした発言は、ビットコインのインフラを含むオープンソースソフトウェア全体で、AIが大規模なコードレビューをより安価かつ迅速にしている中で出された。ゲッゲ氏によれば、ビットコインソフトウェアは歴史的に一部の他分野より攻撃者の注目を集めてこなかったが、モデルが低コストで大規模なコードベースを分析できるようになるにつれ、その状況は変わりつつある可能性がある。

より広範なビットコインエコシステムに関する利用可能な裏付け報告は、より大きな運用上の課題がバグの発見だけでなく、その後に生じるレビュー負担への対応にもあることを示している。これには、誤検知の選別、問題が実在するかの確認、パッチの準備、広く利用されるオープンソースリポジトリ全体での開示時期の管理が含まれる。

重要な理由

ビットコインコアはビットコインのソフトウェアスタックのベースレイヤーに近い位置にあり、脆弱性の発見方法の変化は単一のリポジトリ以上に影響するため、これは重要だ。AI支援の監査はカバレッジを改善し、欠陥の発見に要する時間を短縮し得る一方、保守担当者が重要な問題の修正よりもノイズの多い報告の選別に多くの時間を費やすリスクも高める。

この事例は、暗号資産インフラのセキュリティにおけるより広範な変化も浮き彫りにしている。AIがコードスキャンのコストを下げるにつれ、優位性は単純なバグ発見から、規律あるテストシステム、開示プロセス、保守担当者の対応能力へと移る可能性がある。重要なオープンソースプロジェクトでは、セキュリティの回復力はAIを使うかどうかよりも、その出力を既存のレビューワークフローにどう統合するかに左右される可能性がある。