Bitcoin AIセキュリティ監査、390プロジェクトで4,962件の指摘事項を報告

要約

• Cashuの作成者であるcalle氏は、このキャンペーンにより最初の30時間で85件の重大な問題と635件の高リスクの問題が記録されたと述べた。
• 貢献者はそれぞれ独自のエージェントにプロンプトを出しており、グループによれば、これにより単一の手法よりも広範囲の発見が可能になるという。
• プライバシーおよびcoinjoinプロジェクトが、深刻な発見のシェアで24%と最も高かった。

Bitcoin Red Teamを名乗る有志グループが、約30時間で390件のBitcoinプロジェクトにわたって4,962件のセキュリティ上の発見を報告した。これは、AIエージェントがスキャンの大部分を担う「大規模なエコシステム監査」と称されている。

BitcoinのecashプロトコルCashuを作成した匿名開発者のcalle氏は、水曜日にキャンペーンの最初の状況報告書を公開した。それによると、85件の発見が重大（critical）、635件が高リスク（high）に分類され、合わせて全体の14.5%を占める。プロジェクト1件あたり平均1.85件の深刻な問題があり、1時間あたり166件のペースで報告された。同氏によると、チームは24時間体制で働く16人にまで拡大した。報告書には17人の貢献者が記録されており、そのうち14人が人間で3人が自動化されている。

calle氏は、自動化ハーネスは改善されているものの、作業の多くは依然として手動で「AIを介助している」状態であり、発見の91%は自動スキャンによってもたらされたと記している。全員が好みのレビュー方法を使用できるようにすることが「最も効果的な戦略であることが証明された」と同氏は述べている。なぜなら、貢献者によってエージェントへのプロンプトの出し方が異なり、異なるバグが見つかるからである。発見の約21%は、概念実証（PoC）コードによって動的に再現されている。

深刻度の分布はカテゴリーによって大きく異なる。プライバシーおよびcoinjoinツールは、高リスクまたは重大な発見の割合が24%と最も高く、次いでスワップおよび取引所が21%、決済および加盟店向けツールが17%だった。暗号ライブラリとSDKは、1,101件という最大の件数を記録したが、高リスク以上の基準に達したのは10%のみだった。

メンテナが対応に追われている

これまでに発見がアップストリーム（開発元）に開示されたのは、レビュー対象の5%未満である19プロジェクトに留まっており、calle氏はこのキャンペーンがメンテナにとって困難な時期をさらに増長させていることを認めた。

「私たちの報告が、すでにストレスの多い日々にさらなるストレスを加えてしまったなら、心からお詫びします」と記す一方で、プロジェクトの所有者が検証を行うのに最適な立場にあること、AIによって検証がほぼ無料になったこと、そして同じツールを使用する他の誰もが同じバグにたどり着く可能性があることから、発見は迅速に公表されるべきだと主張した。8件の発見は誤検知として取り下げられた。