web3: Красная команда Bitcoin использует китайские AI-модели для поиска уязвимостей в открытом исходном коде

Группа добровольцев, специализирующихся на выявлении уязвимостей программного обеспечения Bitcoin, заявила, что при помощи китайских AI моделей провела базовое сканирование почти всей открытой экосистемы Bitcoin и направила разработчикам многочисленные отчеты о проблемах безопасности.

Руководитель Bitcoin Red Team, разработчик под псевдонимом Calle, сообщил на социальных платформах, что команда сочетает использование AI инструментов с ручной проверкой для анализа кошельков, приложений Lightning Network, библиотек и других проектов. После выявления достоверной проблемы команда сначала конфиденциально уведомляет разработчика о необходимости устранения, а затем решает, публиковать ли детали публично.

Покрыто 390 проектов

Calle сообщил, что в августе команда направила 4962 записей о проблемах в 390 проектов, среди которых 85 — критические уязвимости, 635 — высокоуровневые, остальные относятся к различным категориям вопросов безопасности.

Он отметил, что разработчики подтвердили реальное существование ряда серьезных и высокоуровневых уязвимостей. Однако команда пока не раскрыла названия затронутых проектов и не предоставила технических деталей публично.

Китайские модели используются для аудита кода

В работе команды используются модели, включая Kimi K3 от китайского стартапа Moonshot AI, GLM 5.2 платформы Z.ai, а также модели OpenAI и Anthropic.

По словам Calle, американские модели имеют определенные ограничения в сфере исследований безопасности, с которыми команда неоднократно сталкивалась в процессе аудита, поэтому они переключились на китайские модели с возможностью локального запуска. Kimi K3 описывается как способная обрабатывать большие наборы кода и выполнять длительные задачи анализа софта при минимальном вмешательстве человека.

Аудит проектов Lightning Network оказывается сложнее

Calle отметил, что сложная архитектура приложений Lightning Network, предназначенных для быстрых платежей в Bitcoin, значительно повышает трудность аудита, а количество проблем здесь выше, чем в обычных проектах.

Он добавил, что проекты, внедрившие AI аудит ранее, сейчас заметно опережают те, где такие инструменты не используются. В будущем командам предстоит создавать собственные процессы AI аудита, а программное обеспечение без регулярного обслуживания не должно оставаться безусловно доверенным.

С его слов, AI повышает эффективность поиска уязвимостей, но одновременно увеличивает давление по обеспечению безопасности для разработчиков. Хотя Calle охарактеризовал ситуацию как «Bitcoin горит», он считает, что масштабный аудит приведет к большей надёжности программного обеспечения Bitcoin.