A corrida de segurança da IA do Bitcoin encontrou 6.700 problemas em 55 horas, mas ninguém sabe quantos são reais

A campanha de segurança assistida por IA, focada no ecossistema Bitcoin, conhecida como Bitcoin Red Team, afirmou ter gerado 6.700 descobertas em 425 projetos nas suas primeiras 55 horas. A campanha classificou 1.029 delas como altas ou críticas.

A atualização de 6 de agosto mede quanto material entrou em um pipeline de triagem de segurança, e seu efeito na segurança do software permanece não reportado.

O thread recuperado omitiu definições prontas para auditoria e denominadores para as contagens de severidade, bem como resultados em nível de caso, uma taxa de falsos positivos agregada e uma taxa de correção.

Esses campos ausentes impedem o cálculo de quantos alertas se tornaram vulnerabilidades confirmadas, quantos mantenedores rejeitaram ou rebaixaram, e quantos levaram a correções.

As primeiras 55 horas ainda revelam uma capacidade consequente, observando como os sistemas de IA podem preencher rapidamente um pipeline de revisão em escala de ecossistema. O direcionamento especializado, a reprodução, a divulgação e a resposta dos mantenedores permaneceram necessários em cada estágio posterior.

O que os números da campanha medem

A campanha publicou duas instantâneas à medida que seu elenco e carga de trabalho se expandiram:

A atualização de 27,5 horas cobriu 390 projetos e 4.962 descobertas. No marco de 55 horas, a contagem de projetos aumentou em 35 e a contagem de descobertas em 1.738. O thread posterior colocou as descobertas altas ou críticas em 15,4% do total e esclareceu que três dos 24 participantes reportados eram bots.

O post anterior separou descobertas críticas e altas, enquanto o posterior as combinou, com ambos os conjuntos de números refletindo as avaliações da campanha. A confirmabilidade e os resultados de remediação confirmados pelos mantenedores requerem evidências separadas.

O Bitcoin Red Team escaneou 425 projetos e reportou 6.700 descobertas, incluindo 1.029 problemas altos ou críticos, enquanto as taxas de validação pública permanecem não publicadas.

Rob Hamilton descreveu Kimi K3 como responsável pela análise pesada, com GPT Sol, Fable/Opus e GLM 5.2 apoiando a documentação. Ele disse que o Cyber Harness da OpenAI cobriu componentes selecionados que ele considerou estruturais.

Um dia depois, Hamilton escreveu que especialistas no assunto poderiam mudar uma avaliação com uma ou duas frases de contexto ou um pequeno bloco de código. Nos exemplos que ele descreveu, essa entrada elevou preocupações medianas para território alto ou crítico. Ele também identificou operações, transferência de divulgação e triagem como gargalos.

Na narrativa de Hamilton, os modelos pesquisaram amplamente enquanto especialistas moldavam prompts, interpretavam saídas, tentavam reproduzir e decidiam quais relatórios estavam prontos para divulgação. Essa divisão de trabalho torna a campanha um sistema de revisão humano-IA.

O desenvolvedor conhecido como Calle disse que a maioria dos relatórios críticos foi rapidamente verificada pelos proprietários dos projetos. O post não forneceu denominador, contagem de relatórios verificados, contagem de rejeições ou status de correção, deixando a amplitude e o resultado dessa verificação não resolvidos.

A divulgação e os resultados definem o valor de segurança

Na atualização de 55 horas, o Bitcoin Red Team relatou que 19,5% dos projetos escaneados tinham um arquivo SECURITY.md e 13,1% tinham um e-mail lá. O thread recuperado omitiu o corpus do projeto, a interpretação do denominador e o método de medição, portanto, as porcentagens apenas descrevem a varredura da campanha.

Em 3 de agosto, Hamilton disse que o esforço havia gasto mais de $10.000 escaneando mais de 100 repositórios e havia imediatamente divulgado descobertas críticas quando uma prova de conceito demonstrou a explorabilidade. Em 4 de agosto, ele relatou cerca de $20.000 em gastos, mais de uma dúzia de divulgações e 150 repositórios escaneados.

A varredura continuou a se expandir, enquanto a campanha descreveu a divulgação, a transferência e a triagem como restrições operacionais ativas. As instantâneas publicadas não oferecem um denominador de divulgação comparável em 55 horas, portanto, não podem estabelecer a velocidade relativa de varredura e resolução.

Hamilton mais tarde identificou o incidente separado do Coldcard como um catalisador para a campanha mais ampla. O registro da campanha não atribui a descoberta da falha do Coldcard a esta corrida.

Uma contabilidade pública útil separaria descobertas que foram reproduzidas, reconhecidas, rebaixadas, rejeitadas e corrigidas, com definições e denominadores para cada taxa. Essa divisão mostraria quanto do volume da campanha se tornou trabalho de segurança acionável.

Um crítico público, JW Weatherman, argumentou que a campanha não poderia triagem sua produção. Seu post não identificou nenhum problema, correção ou aviso vinculado à campanha, portanto, fornece críticas sem uma taxa de falha mensurável. Os dados de disposição ausentes da campanha deixam a questão subjacente em aberto.

Por enquanto, 6.700 representa descobertas rotuladas pela campanha e candidatos à triagem. A corrida demonstrou a velocidade da revisão assistida por máquina. Seu valor de segurança duradouro depende da parte que os especialistas podem validar, divulgar e converter em correções.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.