Szybki bieg zabezpieczeń AI Bitcoina wykrył 6 700 problemów w 55 godzin, ale nikt nie wie, ile z nich jest rzeczywistych

Kampania zabezpieczeń wspierana przez AI, skoncentrowana na ekosystemie Bitcoina, znana jako Bitcoin Red Team, ogłosiła, że wygenerowała 6 700 wyników w 425 projektach w ciągu pierwszych 55 godzin. Kampania oznaczyła 1 029 z nich jako wysokie lub krytyczne.

Aktualizacja z 6 sierpnia mierzy, ile materiału weszło do procesu triage zabezpieczeń, a jej wpływ na bezpieczeństwo oprogramowania pozostaje niezgłoszony.

Odzyskany wątek pominął definicje gotowe do audytu oraz mianowniki dla zliczeń powagi, a także wyniki na poziomie przypadków, zbiorczą stopę fałszywych alarmów i stopę naprawy.

Brakujące pola uniemożliwiają obliczenie, ile alertów stało się potwierdzonymi lukami, ile osób odpowiedzialnych odrzuciło lub obniżyło ich wagę, a ile doprowadziło do poprawek.

Pierwsze 55 godzin ujawnia jednak znaczącą zdolność, zauważając, jak systemy AI mogą szybko wypełnić proces przeglądu na poziomie ekosystemu. Ekspertowe podpowiedzi, reprodukcja, ujawnienie i reakcja osób odpowiedzialnych były konieczne na każdym późniejszym etapie.

Co mierzą liczby kampanii

Kampania opublikowała dwa migawki, gdy jej lista i obciążenie się rozszerzały:

Aktualizacja z 27,5 godziny obejmowała 390 projektów i 4 962 wyniki. Do 55 godziny liczba projektów wzrosła o 35, a liczba wyników o 1 738. Późniejszy wątek wskazał, że wyniki wysokie lub krytyczne stanowiły 15,4% całości i wyjaśnił, że trzech z 24 zgłoszonych uczestników to boty.

Wcześniejszy post oddzielił wyniki krytyczne i wysokie, podczas gdy późniejszy połączył je, przy czym oba zestawy danych odzwierciedlają oceny kampanii. Potwierdzenie przez osoby odpowiedzialne wykonalności i wyniki naprawy wymagają oddzielnych dowodów.

Bitcoin Red Team przeskanował 425 projektów i zgłosił 6 700 wyników, w tym 1 029 wysokich lub krytycznych problemów, podczas gdy publiczne wskaźniki walidacji pozostają nieopublikowane.

Rob Hamilton opisał Kimi K3 jako zajmującą się ciężką analizą, z GPT Sol, Fable/Opus i GLM 5.2 wspierającymi dokumentację. Powiedział, że Cyber Harness OpenAI obejmował wybrane komponenty, które uznał za nośne.

Dzień później Hamilton napisał, że eksperci w danej dziedzinie mogą zmienić ocenę jednym lub dwoma zdaniami kontekstu lub małym blokiem kodu. W przykładach, które opisał, ten wkład przesunął średnie obawy w stronę wysokich lub krytycznych. Zidentyfikował również operacje, przekazywanie ujawnienia i triage jako wąskie gardła.

W relacji Hamiltona modele przeszukiwały szeroko, podczas gdy specjaliści kształtowali podpowiedzi, interpretowali wyniki, próbowali reprodukcji i decydowali, które raporty były gotowe do ujawnienia. Ta podział pracy czyni kampanię systemem przeglądowym człowiek-AI.

Deweloper znany jako Calle powiedział, że większość krytycznych raportów była szybko weryfikowana przez właścicieli projektów. Post nie dostarczył mianownika, liczby zweryfikowanych raportów, liczby odrzuceń ani statusu poprawek, pozostawiając zakres i wyniki tej weryfikacji nierozwiązane.

Działania i wyniki definiują wartość zabezpieczeń

W aktualizacji z 55 godzin Bitcoin Red Team zgłosił, że 19,5% skanowanych projektów miało plik SECURITY.md, a 13,1% miało tam adres e-mail. Odzyskany wątek pominął zbiór projektów, interpretację mianowników i metodę pomiaru, więc procenty opisują tylko skan kampanii.

3 sierpnia Hamilton powiedział, że wysiłek wydał ponad 10 000 USD na skanowanie ponad 100 repozytoriów i natychmiast ujawniono krytyczne wyniki, gdy dowód koncepcji wykazał wykonalność. 4 sierpnia zgłosił około 20 000 USD wydatków, ponad tuzin ujawnień i 150 zeskanowanych repozytoriów.

Skanowanie nadal się rozszerzało, podczas gdy kampania opisała działania, przekazywanie i triage jako aktywne ograniczenia operacyjne. Opublikowane migawki nie oferują porównywalnego mianownika ujawnienia po 55 godzinach, więc nie mogą ustalić względnej szybkości skanowania i rozwiązywania.

Hamilton później zidentyfikował oddzielny incydent Coldcard jako katalizator dla szerszej kampanii. Rekord kampanii nie przypisuje odkrycia wady Coldcard do tego sprintu.

Użyteczne publiczne sprawozdanie oddzieliłoby wyniki, które zostały powtórzone, uznane, obniżone, odrzucone i naprawione, z definicjami i mianownikami dla każdej stopy. Taki podział pokazałby, ile z objętości kampanii stało się wykonalną pracą zabezpieczającą.

Publiczny krytyk, JW Weatherman, argumentował, że kampania nie mogła przeprowadzić triage swoich wyników. Jego post nie zidentyfikował żadnego problemu powiązanego z kampanią, poprawki ani porady, więc dostarcza krytyki bez mierzalnej stopy niepowodzeń. Brakujące dane dotyczące dyspozycji kampanii pozostawia otwarte podstawowe pytanie.

Na razie 6 700 reprezentuje wyniki oznaczone przez kampanię i kandydatów do triage. Sprint wykazał szybkość przeglądu wspomaganego przez maszyny. Jego trwała wartość zabezpieczeń zależy od tego, jaką część eksperci mogą zweryfikować, ujawnić i przekształcić w poprawki.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.