あるボランティア主体のセキュリティ団体が、最先端のAIモデルを使ってBitcoinのソフトウェアスタックを徹底的に検証している。その結果、開発者たちが想定していた以上に攻撃対象領域が広がっていることが浮かび上がってきた。AnchorWatchのCEOロブ・ハミルトン氏と匿名の開発者Calle氏が中心となって立ち上げたこの団体「Bitcoin Red Team」は、これまでにBitcoin関連リポジトリ150件を走査し、十数件の脆弱性を公表したとしており、今後のセキュリティ監査を自動化するオープンソースのAI基盤も構築中だという。
ハミルトン氏によれば、これまでに投じたAI計算コストはおよそ2万ドルに上り、1日あたり約1万ドルのペースで消費している。使用しているモデル群には、Kimi K3、OpenAIのGPT Sol、AnthropicのClaude FableとOpus、Z.aiのGLM 5.2などが名を連ねる。発見のペースについて、Calle氏は率直な言い方で表現している。「1人あたり1時間に1件のペースで、重大な脆弱性が見つかっている」。
件数は急速に膨らんでいる
最初の公表以降、この取り組みの規模は急速に拡大した。その後の報道によれば、走査対象は390リポジトリに達し、記録された潜在的な問題は4962件、そのうち720件は重大度が高いまたは深刻と分類されているという。しかもそのうち4900件超が、わずか27.5時間という一続きの作業の中で報告されたというから驚きだ。この取り組みが加速した背景には、最近発生したハードウェアウォレットColdcardの脆弱性悪用があるとされ、AIを駆使した攻撃者が防御側より先にBitcoinインフラの穴を探り当てているのではないかという懸念が改めて高まったことが引き金になったようだ。
なぜこれほど件数が膨らんだのか
Red Teamが対象としているのはウォレット、暗号ライブラリ、コアインフラなど単一のプロジェクトにとどまらず多岐にわたっており、それが件数の多さを説明する一因になっている。もっとも、AIが大量に検出した結果である以上、人手による選別は避けられず、指摘された問題のすべてが実際に悪用可能な深刻なバグだとは限らない。ハミルトン氏のチームは、影響を受けるオープンソースプロジェクトの開発者に直接連絡を取り続けているが、こうした報道が伝えるところでは、身に覚えのないメッセージで自分のコードの重大な欠陥を突然指摘されるという経験は、受け取る側のエンジニアにとって決して心穏やかなものではないようだ。
関連記事: 世界のM2、1週間で1兆ドル急増もビットコインは下落する可能性
より大きな潮流の一部として
今回の取り組みは、2020年のZcashにおける暗号学的欠陥の発見をはじめとする過去の著名な事例に続く形で、AIを活用したセキュリティ監査が暗号資産業界全体に広がりつつあるという大きな流れの一環と言える。Bitcoin Red Teamのプラットフォームが今後、Bitcoinのコアソフトウェアを審査する仕組みの一つとして定着するかどうかは、開発者たちが精査を終えた段階で、数千件に及ぶ指摘のうちどれだけが実際に未知の脆弱性として裏付けられるかにかかっていそうだ。
