ビットコイン関連ソフトウェアの安全性を調べる有志チーム「Bitcoin Red Team」は、AIを活用した大規模セキュリティ監査の進捗を公表した。世界各地のメンバー16人が約27時間30分で390の関連プロジェクトを調べ、4962件の指摘事項を報告したという。
Cashuプロトコルの開発者Calle氏によると、このうち85件を「Critical（重大）」、635件を「High Severity（深刻度高）」に分類した。ただし、これらはチームによる初期的な深刻度評価であり、全件が各プロジェクトによって確認された実在する脆弱性というわけではない。
監査では、ビットコインウォレット、暗号ライブラリ、関連インフラのコードをAIモデルに分析させている。Calle氏は、作業の多くが依然として人間によるAIの誘導を必要とする一方、自動化用の仕組みも改善していると説明した。メンバーごとに異なるAIモデルや調査手法、指示方法を使うことで、多様な問題を検出できているという。
同氏は状況について「極めて深刻だ」と評価した。重大と分類した報告の多くは、対象プロジェクトの管理者によって短時間で確認されたと説明している。また、重大な結果の大半については、報告前にローカルのregtest環境で概念実証（PoC）を作成し、再現を試みているとした。
監査環境の自動化に関わるRob Hamilton（ロブ・ハミルトン）氏は、現在の最大の課題はバグを見つけることではなく、報告を適切なプロジェクト管理者へ届けることだと指摘した。重大な問題を検出できる能力を評価する一方、今回の仕組みはまだ「バージョン1」にすぎないとの見方を示している。
AIによる脆弱性発見能力は急速に高まっている。Anthropic（アンソロピック）は4月、AIモデルがOpenBSDに27年間存在した脆弱性を発見したと公表した。Googleの脅威分析部門も5月、犯罪者がAI支援で発見・武器化した可能性が高いゼロデイを使い、大規模攻撃を計画していた事例を報告した。
7月末には、ハードウェアウォレット「Coldcard」のシード生成に関する欠陥が実際のビットコイン流出につながった。防御側がAIでコード監査を加速する必要性が高まる一方、同じ技術が攻撃者の脆弱性探索にも利用され得る状況となっている。
｜文・編集：Shoko Galaviz
｜画像：Adobe Stock
