Искусственный интеллект в безопасности Bitcoin выявил 6,700 проблем за 55 часов, но никто не знает, сколько из них реальны

Кампания по обеспечению безопасности с использованием ИИ, сосредоточенная на экосистеме Bitcoin, известная как Bitcoin Red Team, сообщила о 6,700 находках по 425 проектам за первые 55 часов. Из них 1,029 были классифицированы как высокие или критические.

Обновление от 6 августа показывает, сколько материалов попало в процесс триажа безопасности, но его влияние на безопасность программного обеспечения остается неосвещенным.

Извлеченная информация не содержала готовых к аудиту определений и знаменателей для подсчета серьезности, а также результатов на уровне случаев, агрегированного уровня ложных срабатываний и уровня исправлений.

Отсутствие этих полей не позволяет рассчитать, сколько предупреждений стало подтвержденными уязвимостями, сколько поддерживающих отклонили или понизили их уровень, и сколько привело к исправлениям.

Первые 55 часов все же продемонстрировали значительную способность, отмечая, как системы ИИ могут быстро заполнить процесс обзора на уровне экосистемы. Экспертные подсказки, воспроизведение, раскрытие информации и реакция поддерживающих оставались необходимыми на каждом последующем этапе.

Что измеряют цифры кампании

Кампания опубликовала два снимка по мере расширения своего состава и объема работы:

Обновление за 27.5 часов охватывало 390 проектов и 4,962 находки. К 55-му часу количество проектов увеличилось на 35, а количество находок — на 1,738. Поздний отчет указал, что высокие или критические находки составили 15.4% от общего числа и уточнил, что трое из 24 сообщивших участников были ботами.

Ранее пост разделял критические и высокие находки, в то время как поздний объединил их, причем обе группы цифр отражали оценки кампании. Подтвержденная поддерживающими возможность эксплуатации и результаты исправления требуют отдельных доказательств.

Bitcoin Red Team просканировала 425 проектов и сообщила о 6,700 находках, включая 1,029 высоких или критических проблем, в то время как публичные показатели валидации остаются неопубликованными.

Роб Хэмилтон описал Kimi K3 как выполняющую тяжелый анализ, с поддержкой от GPT Sol, Fable/Opus и GLM 5.2 для документации. Он сказал, что Cyber Harness от OpenAI охватывал выбранные компоненты, которые он считал несущими.

На следующий день Хэмилтон написал, что эксперты по предмету могут изменить оценку с помощью одного или двух предложений контекста или небольшого блока кода. В примерах, которые он описал, этот ввод поднимал средние проблемы до высоких или критических. Он также выделил операции, передачу информации и триаж как узкие места.

В рассказе Хэмилтона модели искали широко, в то время как специалисты формировали подсказки, интерпретировали выводы, пытались воспроизвести и решали, какие отчеты готовы к раскрытию. Это разделение труда делает кампанию системой обзора человек-ИИ.

Разработчик, известный как Calle, сказал, что большинство критических отчетов быстро проверялись владельцами проектов. Пост не предоставил знаменателя, количества проверенных отчетов, количества отклонений или статуса исправлений, оставив широту и результаты этой проверки неразрешенными.

Об outreach и результатах определяют ценность безопасности

В обновлении за 55 часов Bitcoin Red Team сообщила, что 19.5% просканированных проектов имели файл SECURITY.md, а 13.1% имели там электронную почту. Извлеченная информация не содержала корпуса проектов, интерпретации знаменателя и метода измерения, поэтому проценты описывают только сканирование кампании.

3 августа Хэмилтон сказал, что усилия потратили более $10,000 на сканирование более 100 репозиториев и немедленно раскрыли критические находки, когда доказательство концепции продемонстрировало возможность эксплуатации. 4 августа он сообщил о расходах около $20,000, более дюжины раскрытий и 150 просканированных репозиториев.

Сканирование продолжало расширяться, в то время как кампания описала outreach, передачу и триаж как активные операционные ограничения. Опубликованные снимки не предлагают сопоставимого знаменателя раскрытия на 55 часах, поэтому они не могут установить относительную скорость сканирования и разрешения.

Позже Хэмилтон выделил отдельный инцидент Coldcard как катализатор для более широкой кампании. Запись кампании не приписывает открытие недостатка Coldcard к этому спринту.

Полезный публичный отчет разделил бы находки, которые были воспроизведены, признаны, понижены, отклонены и исправлены, с определениями и знаменателями для каждой ставки. Это разделение показало бы, сколько из объема кампании стало действительной работой по безопасности.

Публичный критик, JW Weatherman, утверждал, что кампания не могла провести триаж своих результатов. Его пост не идентифицировал ни одной проблемы, связанной с кампанией, исправления или рекомендации, поэтому он предоставляет критику без измеримой ставки неудач. Отсутствие данных о распределении кампании оставляет основной вопрос открытым.

На данный момент 6,700 представляет собой находки, помеченные кампанией, и кандидаты на триаж. Спринт продемонстрировал скорость машинного обзора. Его долговременная ценность безопасности зависит от доли, которую эксперты могут подтвердить, раскрыть и превратить в исправления.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.