O desenvolvedor de Bitcoin Niklas Gögge afirmou que varreduras baseadas em modelos de linguagem geraram mais de 1.000 relatórios de segurança em torno do Bitcoin Core, defendendo que a IA deve ser usada para reforçar os testes automatizados, mas não tratada como uma estratégia de segurança autônoma.

Gögge disse que iniciativas como o Projeto Loupe e o Bitcoin Red Team estavam por trás do fluxo de relatórios. Ele acrescentou que a maior parte das submissões era de falsos positivos ou problemas hipotéticos e que nenhuma vulnerabilidade crítica foi identificada até o momento.

Sua posição não era a de que a varredura por IA seja desnecessária. Em vez disso, ele defendeu seu uso como uma camada de apoio dentro de um processo de segurança mais amplo. Em particular, apontou o fuzzing, um método de teste que submete o software a um grande número de entradas para revelar falhas. O Bitcoin Core e a biblioteca criptográfica secp256k1 já contam com anos de cobertura de fuzzing, e Gögge sugeriu que os modelos de linguagem poderiam ajudar a reduzir o custo de criar e aprimorar essas ferramentas.

Os comentários surgem em um momento em que a IA está tornando a revisão de código em larga escala mais barata e rápida em todo o software de código aberto, incluindo a infraestrutura do Bitcoin. Gögge afirmou que, historicamente, o software do Bitcoin atraía menos atenção de invasores do que alguns outros setores, mas essa dinâmica pode estar mudando à medida que os modelos se tornam melhores em analisar grandes bases de código a baixo custo.

Relatórios de apoio disponíveis sobre o ecossistema mais amplo do Bitcoin sugerem que a questão operacional maior não é apenas encontrar bugs, mas lidar com a carga de revisão que se segue. Isso pode incluir filtrar falsos positivos, confirmar se um problema é real, preparar correções e administrar o momento da divulgação em repositórios de código aberto amplamente utilizados.

Por que isso importa

Isso importa porque o Bitcoin Core está próximo da camada base da pilha de software do Bitcoin, e qualquer mudança na forma como vulnerabilidades são identificadas afeta mais de um repositório. A auditoria assistida por IA pode melhorar a cobertura e reduzir o tempo necessário para descobrir falhas, mas também aumenta o risco de os mantenedores gastarem mais tempo filtrando relatórios ruidosos do que corrigindo problemas relevantes.

O episódio também destaca uma mudança mais ampla na segurança da infraestrutura cripto. À medida que a IA reduz o custo de varrer código, a vantagem pode passar da mera descoberta de bugs para sistemas de teste disciplinados, processos de divulgação e capacidade dos mantenedores. Para projetos críticos de código aberto, a resiliência de segurança pode depender menos de usar ou não IA e mais de como seus resultados são integrados aos fluxos de revisão existentes.