Bitcoin Red Team использует Kimi K3 для поиска уязвимостей в проектах Bitcoin

Что произошло

Волонтерская Bitcoin Red Team проверяет open-source-проекты Bitcoin с помощью AI-инструментов и последующей ручной оценки. Команда изучает кошельки, Lightning-приложения, программные библиотеки и другие проекты.

Достоверные находки исследователи передают разработчикам непублично, чтобы уязвимости можно было исправить до раскрытия деталей.

Какие модели использует команда

Calle написал в X, что команда столкнулась с масштабным сравнением многолетнего open-source-кода и двух недель работы с Kimi K3. Он также резко охарактеризовал состояние экосистемы, заявив, что «все сломано» и Bitcoin «горит».

Kimi K3 — модель AI от китайского стартапа Moonshot AI. Ее можно загрузить и запускать на собственных системах; модель способна анализировать крупные кодовые базы и выполнять длительные программные задачи с небольшим надзором.

Bitcoin Red Team также применяла GLM 5.2 от китайского разработчика Z.ai и модели OpenAI и Anthropic. При этом Calle отметил, что при исследованиях безопасности разработчики часто сталкиваются с ограничениями OpenAI и Anthropic.

Масштаб проверки

По словам Calle, команда фактически завершила базовое сканирование почти всего open-source-сегмента Bitcoin, а самые очевидные находки уже разобраны.

В августе группа сообщила о 4 962 находках в 390 проектах. Среди них 85 были оценены как критические, а 635 — как уязвимости высокой степени серьезности.

Calle заявил, что разработчики подтвердили множество реальных критических уязвимостей и уязвимостей высокой степени серьезности. При этом Bitcoin Red Team не назвала затронутые проекты и не раскрыла технические детали.

Почему это важно

Calle отметил, что скорость реакции сильно различается между проектами и показывает состояние каждого из них.

Особенно сложным для проверки оказалось программное обеспечение Lightning, которое поддерживает более быстрые и дешевые платежи в Bitcoin. Calle связал это со сложностью Lightning и назвал его состояние хуже среднего.

По словам Calle, проекты, которые начали AI-аудиты несколько месяцев назад, находятся в совсем ином положении по сравнению с теми, кто этого не сделал. Он считает, что проектам понадобится собственный конвейер AI-аудита на будущее.