匿名の開発者「Calle」氏が率いるボランティアのセキュリティ研究グループ、ビットコインレッドチームが、中国のスタートアップMoonshot AIが開発したAIモデル「Kimi K3」を使い、ビットコインのオープンソースエコシステムに潜む脆弱性の洗い出しを進めている。ウォレットやライトニング関連アプリケーション、各種ソフトウェアライブラリを対象に、約2週間の監査で数千件におよぶ発見事項を記録した。
集計によれば、発見件数は約390のプロジェクトにまたがり7,958件に達し、そのうち1,280件が「高」または「重大」レベルの深刻度に分類されている。全体の約24.7%は動的な再現によって実際の問題であることが確認済みで、約29.4%は集計時点ですでに該当プロジェクトの開発者側へ報告済みだという。チーム側は、これらの数字を本番環境に存在する数千件の悪用可能なバグの証拠ではなく、あくまでセキュリティ上のトリアージ待ちリストとして慎重に位置づけている。
なぜ中国製AIモデルなのか
Kimi K3は大規模なコードベースを解析し、人間の監督を最小限に抑えながら長時間のソフトウェアタスクをこなせるよう設計されており、開発者は自前のインフラ上でローカルに実行できる。Calle氏は、米国製のAIモデルにはセキュリティ研究の場面で特に適用される利用制限があり、監査の過程でそうした制約に繰り返し直面したことが、ローカルで制約なく動かせる中国製モデルへ切り替えた理由の一つだと説明している。
関連記事: USENIX調査、危険な暗号資産アドレス65,340件・被害額5.748億ドルを特定
このアプローチは、AIの出力をそのまま採用するのではなく、あくまで人間による監視と組み合わせる形を取っている。Kimi K3が検出した内容は人間の研究者が検証したうえでエスカレーションされ、信頼性の高い脆弱性は該当プロジェクトの開発者に非公開で報告される。技術的な詳細が公になる前に修正を出せるようにするための、セキュリティ研究における標準的な責任ある開示の手続きだ。
AIによる大規模監査の予兆
Calle氏はこの2週間の取り組みについて、最新のAIモデルがいかに素早く長年蓄積されたオープンソースコードを読み解けるかを浮き彫りにしたと述べ、AIによるレビューを前提とせずに書かれた古いソフトウェアと、それを大規模に解析できるようになったフロンティアモデルとの「大規模な衝突」だと表現した。ビットコインのコア実装やその周辺のウォレット・ライトニングエコシステムは、これまで比較的少数の熟練した人間の監査者に依存してきた。誤検知率が高くとも大規模なコードベースを素早くトリアージできるツールの登場は、人間による検証がAIによる発見の量に追いつく限りにおいて、ビットコインのオープンソーススタック全体で新たなバグの発見スピードを大きく変える可能性がある。
