สปรินต์ความปลอดภัย AI ของบิทคอยน์พบประเด็น 6,700 รายการใน 55 ชั่วโมง แต่ยังไม่รู้ว่ามีกี่รายการเป็นปัญหาจริง

แคมเปญความปลอดภัยที่ใช้ AI ช่วย ซึ่งมุ่งเน้นระบบนิเวศของ บิทคอยน์ โดย Bitcoin Red Team ระบุว่าสร้างข้อค้นพบ 6,700 รายการจาก 425 โปรเจกต์ภายใน 55 ชั่วโมงแรก แคมเปญจัดให้ 1,029 รายการอยู่ในระดับสูงหรือวิกฤต

อัปเดตวันที่ 6 ส.ค. วัดปริมาณข้อมูลที่เข้าสู่กระบวนการคัดแยกประเด็นความปลอดภัย แต่ยังไม่มีการรายงานผลกระทบที่มีต่อความปลอดภัยของซอฟต์แวร์

เธรดที่นำมาตรวจสอบไม่ได้ระบุคำจำกัดความและตัวส่วนที่พร้อมสำหรับการตรวจสอบของจำนวนตามระดับความรุนแรง รวมถึงผลลัพธ์ในระดับกรณี อัตราผลบวกลวงโดยรวม และอัตราการแก้ไข

ข้อมูลที่ขาดหายไปเหล่านี้ทำให้ไม่สามารถคำนวณได้ว่าการแจ้งเตือนกี่รายการกลายเป็นช่องโหว่ที่ได้รับการยืนยันแล้ว ผู้ดูแลกี่รายปฏิเสธหรือลดระดับความรุนแรง และมีกี่รายการที่นำไปสู่แพตช์

อย่างไรก็ตาม 55 ชั่วโมงแรกยังเผยให้เห็นศักยภาพที่มีนัยสำคัญ โดยแสดงให้เห็นว่าระบบ AI สามารถเติมข้อมูลลงในกระบวนการตรวจสอบระดับระบบนิเวศได้อย่างรวดเร็ว ในทุกขั้นตอนหลังจากนั้นยังคงจำเป็นต้องใช้การป้อนคำสั่งโดยผู้เชี่ยวชาญ การทำซ้ำเพื่อยืนยันผล การเปิดเผยข้อมูล และการตอบสนองของผู้ดูแล

ตัวเลขของแคมเปญวัดอะไร

แคมเปญเผยแพร่ข้อมูลสรุป 2 ชุด ขณะที่รายชื่อโปรเจกต์และปริมาณงานเพิ่มขึ้น:

อัปเดตเมื่อครบ 27.5 ชั่วโมงครอบคลุม 390 โปรเจกต์และข้อค้นพบ 4,962 รายการ เมื่อครบ 55 ชั่วโมง จำนวนโปรเจกต์เพิ่มขึ้น 35 โปรเจกต์ และจำนวนข้อค้นพบเพิ่มขึ้น 1,738 รายการ เธรดฉบับหลังระบุว่าข้อค้นพบระดับสูงหรือวิกฤตคิดเป็น 15.4% ของทั้งหมด และชี้แจงว่าผู้เข้าร่วมที่รายงาน 24 รายมี 3 รายเป็นบอต

โพสต์ก่อนหน้าแยกข้อค้นพบระดับวิกฤตและระดับสูงออกจากกัน ขณะที่โพสต์ฉบับหลังรวมสองระดับเข้าด้วยกัน โดยตัวเลขทั้งสองชุดสะท้อนการประเมินของแคมเปญ การยืนยันความสามารถในการโจมตีและผลลัพธ์ด้านการแก้ไขจากผู้ดูแลจำเป็นต้องใช้หลักฐานแยกต่างหาก

Bitcoin Red Team สแกน 425 โปรเจกต์และรายงานข้อค้นพบ 6,700 รายการ ซึ่งรวมถึงประเด็นระดับสูงหรือวิกฤต 1,029 รายการ ขณะที่ อัตราการตรวจสอบยืนยันต่อสาธารณะยังไม่มีการเผยแพร่

Rob Hamilton อธิบายว่า Kimi K3 รับหน้าที่วิเคราะห์งานหนัก ส่วน GPT Sol, Fable/Opus และ GLM 5.2 สนับสนุนด้านเอกสาร เขากล่าวว่า Cyber Harness ของ OpenAI ครอบคลุมส่วนประกอบที่เลือกไว้ ซึ่งเขามองว่าเป็นส่วนสำคัญต่อการรองรับระบบ

หนึ่งวันต่อมา Hamilton เขียนว่าผู้เชี่ยวชาญเฉพาะด้านสามารถเปลี่ยนผลการประเมินได้ด้วยบริบทเพียงหนึ่งหรือสองประโยค หรือโค้ด บล็อกเล็ก ๆ ในตัวอย่างที่เขาอธิบาย ข้อมูลดังกล่าวทำให้ประเด็นระดับกลางถูกจัดให้อยู่ในระดับสูงหรือวิกฤต เขายังระบุว่าการดำเนินงาน การส่งต่อเพื่อเปิดเผยข้อมูล และการคัดแยกประเด็นเป็นคอขวด

ตามคำอธิบายของ Hamilton โมเดลค้นหาในวงกว้าง ขณะที่ผู้เชี่ยวชาญทำหน้าที่กำหนดพรอมต์ ตีความผลลัพธ์ พยายามทำซ้ำเพื่อยืนยันผล และตัดสินใจว่ารายงานใดพร้อมสำหรับการเปิดเผย การแบ่งหน้าที่เช่นนี้ทำให้แคมเปญเป็นระบบตรวจสอบร่วมระหว่างมนุษย์กับ AI

นักพัฒนาที่รู้จักกันในชื่อ Calle กล่าวว่า รายงานระดับวิกฤตส่วนใหญ่ได้รับการตรวจสอบอย่างรวดเร็วจากเจ้าของโปรเจกต์ โพสต์ดังกล่าวไม่ได้ระบุตัวส่วน จำนวนรายงานที่ยืนยันแล้ว จำนวนที่ถูกปฏิเสธ หรือสถานะของแพตช์ ทำให้ยังไม่สามารถสรุปขอบเขตและผลลัพธ์ของการตรวจสอบนั้นได้

การติดต่อประสานงานและผลลัพธ์เป็นตัวกำหนดคุณค่าด้านความปลอดภัย

ในการอัปเดตเมื่อครบ 55 ชั่วโมง Bitcoin Red Team รายงานว่า 19.5% ของโปรเจกต์ที่สแกนมีไฟล์ SECURITY.md และ 13.1% มีอีเมลระบุไว้ในไฟล์ดังกล่าว เธรดที่นำมาตรวจสอบไม่ได้ระบุชุดโปรเจกต์ การตีความตัวส่วน หรือวิธีการวัด ดังนั้นเปอร์เซ็นต์เหล่านี้จึงอธิบายได้เฉพาะผลการสแกนของแคมเปญ

เมื่อวันที่ 3 ส.ค. Hamilton กล่าวว่า ความพยายามดังกล่าวใช้งบไปมากกว่า $10,000 เพื่อสแกนรีโพซิทอรีมากกว่า 100 แห่ง และเปิดเผยข้อค้นพบระดับวิกฤตทันทีเมื่อหลักฐานต้นแบบแสดงให้เห็นว่าสามารถใช้ประโยชน์จากช่องโหว่ได้จริง เมื่อวันที่ 4 ส.ค. เขารายงานว่ามีค่าใช้จ่ายประมาณ $20,000 เปิดเผยข้อมูลมากกว่า 12 รายการ และสแกนรีโพซิทอรีไปแล้ว 150 แห่ง

การสแกนยังคงขยายตัว ขณะที่แคมเปญระบุว่าการติดต่อประสานงาน การส่งต่องาน และการคัดแยกประเด็นเป็นข้อจำกัดด้านการดำเนินงานที่ยังเกิดขึ้น ข้อมูลสรุปที่เผยแพร่ไม่มีตัวส่วนการเปิดเผยข้อมูลที่เทียบเคียงได้เมื่อครบ 55 ชั่วโมง จึงไม่สามารถยืนยันความเร็วสัมพัทธ์ระหว่างการสแกนและการแก้ไขได้

ต่อมา Hamilton ระบุว่าเหตุการณ์ Coldcard ที่แยกต่างหากเป็นตัวกระตุ้นให้เกิดแคมเปญในวงกว้างขึ้น บันทึกของแคมเปญไม่ได้ระบุว่าแคมเปญสปรินต์นี้เป็นผู้ค้นพบช่องโหว่ของ Coldcard

การจัดทำบัญชีข้อมูลต่อสาธารณะที่มีประโยชน์ควรแยกข้อค้นพบที่ทำซ้ำเพื่อยืนยันผล ได้รับการรับทราบ ถูกลดระดับ ถูกปฏิเสธ และได้รับการแก้ไข พร้อมคำจำกัดความและตัวส่วนสำหรับแต่ละอัตรา รายละเอียดดังกล่าวจะแสดงให้เห็นว่าปริมาณงานของแคมเปญมากน้อยเพียงใดที่กลายเป็นงานด้านความปลอดภัยซึ่งนำไปดำเนินการได้จริง

JW Weatherman นักวิจารณ์ต่อสาธารณะโต้แย้งว่าแคมเปญไม่สามารถคัดแยกผลลัพธ์ของตนได้ โพสต์ของเขาไม่ได้ระบุประเด็น แพตช์ หรือคำแนะนำใด ๆ ที่เชื่อมโยงกับแคมเปญ จึงเป็นเพียงการวิจารณ์โดยไม่มีอัตราความล้มเหลวที่วัดได้ ส่วนข้อมูลการจัดการผลลัพธ์ที่ขาดหายไปของแคมเปญยังทำให้คำถามพื้นฐานนี้ไม่มีคำตอบ

ในขณะนี้ ตัวเลข 6,700 หมายถึงข้อค้นพบที่แคมเปญติดป้ายกำกับและรายการที่เป็นผู้สมัครเข้าสู่การคัดแยกประเด็น สปรินต์ดังกล่าวแสดงให้เห็นความเร็วของการตรวจสอบที่มีเครื่องจักรช่วย คุณค่าด้านความปลอดภัยในระยะยาวจะขึ้นอยู่กับสัดส่วนที่ผู้เชี่ยวชาญสามารถตรวจสอบยืนยัน เปิดเผย และเปลี่ยนให้กลายเป็นการแก้ไขได้

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ