Розробник Bitcoin Ніклас Гьогге заявив, що сканування на основі мовних моделей згенерувало понад 1 000 звітів про безпеку щодо Bitcoin Core, наголосивши, що ШІ слід використовувати для посилення автоматизованого тестування, але не вважати самостійною стратегією безпеки.

Гьогге зазначив, що за потоком звітів стояли такі ініціативи, як Project Loupe та Bitcoin Red Team. Він додав, що більшість подань були хибними спрацьовуваннями або гіпотетичними проблемами, а критичних вразливостей наразі не виявлено.

Його позиція не полягала в тому, що ШІ-сканування є непотрібним. Натомість він виступив за його використання як допоміжного рівня в ширшому процесі безпеки. Зокрема, він вказав на фаззинг — метод тестування, за якого програмне забезпечення перевіряють великою кількістю вхідних даних, щоб виявити збої. Bitcoin Core і криптографічна бібліотека secp256k1 уже багато років охоплені фаззингом, а Гьогге припустив, що мовні моделі можуть допомогти знизити вартість створення та вдосконалення цих інструментів.

Ці коментарі з’явилися на тлі того, як ШІ робить масштабний перегляд коду дешевшим і швидшим у програмному забезпеченні з відкритим кодом, зокрема в інфраструктурі Bitcoin. Гьогге зазначив, що програмне забезпечення Bitcoin історично привертало менше уваги зловмисників, ніж деякі інші сектори, однак ця динаміка може змінюватися, оскільки моделі дедалі краще аналізують великі кодові бази за низькою ціною.

Наявні допоміжні звіти про ширшу екосистему Bitcoin свідчать, що більша операційна проблема полягає не лише у виявленні помилок, а й в опрацюванні подальшого навантаження на перевірку. Це може включати відсіювання хибних спрацьовувань, підтвердження реальності проблеми, підготовку виправлень і керування строками розкриття інформації в широко використовуваних репозиторіях із відкритим кодом.

Чому це важливо

Це важливо, оскільки Bitcoin Core розташований близько до базового рівня програмного стеку Bitcoin, і будь-яка зміна способу виявлення вразливостей впливає більш ніж на один репозиторій. Аудит за підтримки ШІ може поліпшити охоплення та скоротити час, потрібний для виявлення недоліків, але також підвищує ризик, що супроводжувачі витрачатимуть більше часу на фільтрацію шумних звітів, ніж на виправлення суттєвих проблем.

Цей випадок також підкреслює ширший зсув у безпеці криптоінфраструктури. Оскільки ШІ знижує вартість сканування коду, перевага може перейти від простого виявлення помилок до дисциплінованих систем тестування, процесів розкриття інформації та спроможності супроводжувачів. Для критично важливих проєктів із відкритим кодом стійкість безпеки може залежати менше від самого використання ШІ й більше від того, як його результати інтегруються в наявні робочі процеси перевірки.