web3：bitcoin レッドチームが中国のAIモデルを活用してオープンソースの脆弱性を検出

ビットコインのソフトウェアの脆弱性を調査する専門のボランティアチームが、中国のAIモデルを活用し、ビットコインのオープンソースエコシステムのほぼすべてに対して基礎的なスキャンを完了し、開発者に多数のセキュリティ問題レポートを提出したと発表しました。

ビットコインレッドチームの責任者であり、開発者としての仮名「Calle」は、ソーシャルプラットフォーム上で、チームがAIツールと手動のレビューを組み合わせて、ウォレット、ライトニングネットワークアプリケーション、ソフトウェアライブラリなどのプロジェクトを検査していると述べました。信頼できる問題が確認された場合、チームはまず開発者に非公開で修正を通知し、その後、詳細を公開するかどうかを決定します。

390プロジェクトをカバー

Calleによると、チームは8月に390のプロジェクトに4962件の問題記録を提出し、その中には重大な脆弱性が85件、高度な脆弱性が635件、残りはさまざまなレベルのセキュリティ問題でした。

彼は、開発者が実際に存在する重大および高危険度の脆弱性が多数あることを既に確認していると述べました。ただし、チームは影響を受けたプロジェクト名や技術的な詳細についてはまだ公開していません。

中国モデルがコード監査に利用

このチームが使用しているモデルには、中国スタートアップMoonshot AIのKimi K3、中国開発者プラットフォームZ.aiのGLM 5.2、さらにOpenAIやAnthropicのモデルが含まれています。

Calleによれば、米国製モデルにはセキュリティ研究の場面で利用制限があり、チームは監査時に何度も制約に直面したため、ローカルで動作可能な中国モデルに切り替えました。Kimi K3は、大規模なコードベースを処理し、少ない人的介入で長時間のソフトウェア分析タスクを完了できると述べられています。

ライトニングネットワークプロジェクトの審査はより困難

Calleは、ビットコインの高速決済をサポートするライトニングネットワークソフトウェアは構造が複雑で、審査の難易度が明らかに高く、全体的な問題も一般的なプロジェクトより顕著だと述べました。

また、AI監査のプロセスを早期に導入したプロジェクトと、これらのツールを使っていないプロジェクトとの間で現状に明確な差が生まれているとも語っています。今後はプロジェクト側が自身のAI監査プロセスを構築する必要があり、長期間メンテナンスがされていないソフトウェアは安易に信頼すべきではないと強調しました。

彼の発言からは、AIが脆弱性発見の効率を高める一方で、開発者のセキュリティ維持のプレッシャーも同時に増していることが読み取れます。Calleは現状を「ビットコインは燃えている」と表現しつつも、大規模な監査がビットコインソフトウェアをより堅固にする後押しになると考えています。