比特幣紅隊在 Kimi K3 掃描後標記 7,958 個問題

By: rootdata|2026/08/14 04:53:15

比特幣紅隊已將其 AI 輔助的安全審查擴展至 501 個與比特幣相關的開源項目，在 108 小時的工作後，記錄了 7,958 個發現。

摘要

比特幣紅隊掃描了 501 個項目，並在 108 小時的審查後記錄了 7,958 個發現。
研究人員將 1,280 個發現分類為高風險或關鍵，但許多仍需今天進行人工驗證。
約 24.7% 的發現具有可重現的證據，而 29.4% 已上報給項目維護者。
Kimi K3 成為該運動的主要 AI 工具，研究人員對比特幣開源軟體進行了廣泛測試。
BTCPay Server 在比特幣紅隊和獨立研究人員最近報告的安全漏洞後發布了修補程序。

參與該工作的匿名比特幣開發者 Calle 在 8 月 13 日表示，該團隊現在已完成幾乎整個比特幣開源生態系統的基本掃描，並且許多較易發現的漏洞表面已經被檢查過。

這些標題數字需要一個重要的區分。7,958 個發現並不代表 7,958 個已確認的可利用漏洞。該團隊將 1,280 個分類為高風險或關鍵，而 24.7% 的所有發現已被動態重現，29.4% 在 108 小時的標記時已上報給維護者。維護者的審查和人工重現仍然是驗證過程的一部分。

Kimi K3 已成為安全力量的倍增器
Calle 表示，與 Moonshot AI 的 Kimi K3 進行的兩週工作顯示，現代模型可以多快地檢查多年積累的開源代碼。他將這種情況描述為舊軟體與前沿 AI 之間的「大碰撞」，並補充說「一切都壞了，比特幣正在燃燒。」這種措辭是他的描述，不應被解讀為比特幣核心或每個比特幣項目受到損害的證據。

獨立測試支持了 Kimi K3 具有有意義的網絡安全能力的更狹義觀點。英國 AI 安全研究所和美國 CAISI 的聯合評估發現，該模型在漏洞開發測試中超過了 GLM-5.2，但仍落後於最強的美國封閉模型。Kimi K3 在 ExploitBench 上得分 32%，在該測試中對 41 個樣本中的零個達到了任意代碼執行。

比特幣紅隊早期的掃描發現了 4,962 個潛在問題，分佈在 390 個比特幣項目中，包括 720 個當時被分類為高風險或關鍵。更新的統計數字顯示，審查在第一波之後有了實質性的擴展。

維護者已經在驗證和修補發現
該運動已經超越了自動掃描。BTCPay Server 的官方 GitHub 發布將比特幣紅隊研究人員 Bruno Garcia 和 Ben Carman 記為報告一個已被利用的關鍵漏洞的貢獻者。版本 2.4.2 修復了一個影響 Greenfield 基本身份驗證的雙因素身份驗證繞過。

BTCPay 隨後確認，攻擊者已從受影響的安裝中獲得 LND 管理員 macaroon 憑證，並利用它們訪問連接的 Lightning 錢包。該項目表示，正在處理來自比特幣紅隊、Project Loupe、Magic Grants 和獨立研究人員的其他報告，同時加強其掃描和審查過程。

在 8 月 14 日，BTCPay 宣布了另一個以安全為重點的候選版本 v2.4.3-rc4，解決了這些團體報告的漏洞。在相關報導中，BTCPay 支持在早期漏洞之後的恢復獎金，並且基金會承諾向比特幣紅隊基金提供 0.21 BTC。

這些修補程序提供了具體證據，表明維護者正在驗證至少一些嚴重的紅隊報告。它們並不驗證 7,958 個發現數據集中的每一項。AI 輔助的審計可能會產生假陽性、重複報告和在手動調查後變更的嚴重性評估，使得驗證成為解釋數字的核心。

比特幣項目面臨更快的安全週期
Calle 認為，未維護的項目現在應該更加謹慎對待，因為 AI 大幅降低了發現和測試弱點的成本。他還表示，響應時間正成為項目健康的有用指標，維護者將越來越需要自己的持續 AI 審計管道，而不是偶爾的外部審查。這些是 Calle 從該運動得出的結論，而不是普遍的安全規則。

更廣泛的生態系統已經朝著這個方向發展。OpenSats 創建了一條快速跟進的紅隊資助途徑，部分專注於補償研究人員的 LLM 成本。超過 40 個比特幣和數字資產組織也已要求領先的 AI 實驗室為經過審核的開源防禦者提供對前沿模型的控制訪問。

正如 crypto.news 報導的那樣，行業聯盟警告比特幣開發者如果沒有訪問先進的 AI 模型，可能會落後於攻擊者。該請求並不尋求不受限制的訪問。它提議經過審核的研究人員、安全環境、足夠的計算能力和與 AI 安全團隊的直接通信渠道。

下一階段可能會比最初的掃描進展得更慢。自動發現可以快速擴展，而重現、負責任的披露、修補開發和回歸測試則需要更多時間。接收報告的項目必須確定哪些發現是可利用的，用戶需要更新的緊迫性以及何時可以安全地公開技術細節。

對於比特幣用戶來說，收穫比最大數字所暗示的要狹窄得多。紅隊報告了大量潛在的比特幣相關軟體弱點，而不是比特幣的基礎共識協議失敗的證據。當前的安全問題集中在錢包、Lightning 基礎設施、支付軟體和攜帶舊版或輕度審查代碼的庫上。