Первый новостной портал России Последние новости в России и мире за 24 часа
»
Bitcoin Core изменяет правила защищенности, поскольку ИИ делает поиск уязвимостей в коде удивительно простым
Ранее компания Core систематизировала каждую выявленную уязвимость по уровню серьезности и соответственному времени раскрытия. Ошибки с низким уровнем серьезности были обнаружены через две недели после выпуска последующей важной версии. Уязвимости средней и высокой серьезности оставались под эмбарго до двух недель после окончания срока помощи последней затронутой версии.
Логика заключалась в том, что тихая доставка исправлений и их объяснение значительно позже не позволяли злодеям узнать о проблеме до тех пор, пока администраторы узлов, компьютеров, проверяющих и ретранслирующих каждую транзакцию с биткойнами, не обновят собственные системы.
Однако старое правило было создано для эпохи, когда поиск ошибок требовал определенных способностей, а распространение инструментов искусственного интеллекта нарушило этот процесс.
«Недавно мы наблюдали рост числа отчетов об уязвимостях защищенности, которые можно легко (повторно) обнаружить, — заявил в своем предложении разработчик Chaincode Labs Антуан Пуансо, создатель изменения. — Во многом это связано с тем, что LLM значительно упрощают поиск определенных классов проблем или выявление скрытых решений».
Как это работает
Core сейчас может классифицировать ошибку как легко обнаруживаемую во время анализа. На практике это означает, что «можно найти с помощью обычного запроса к LLM». Исправления для этих уязвимостей интегрируются обратно во все версии, которые Core продолжает поддерживать, и предоставляются в виде точечных обновлений «как можно быстрее» вместе с рекомендациями по безопасности, содержащими некоторые детали.
«Для тех проблем, которые легко обнаружить, это нецелесообразный компромисс, — сообщается в политике о старом эмбарго. — Период эмбарго мало что дает, но он задерживает доступность исправленного релиза».
Тем не мение, как отмечает Пуансо, «исправлениям не потребуется столько времени для тестирования, прежде чем они будут предоставлены пользователям».
Не все создатели согласны с тем, насколько далеко следует продвигаться. Антуан Риар, опытный исследователь безопасности биткойнов, желал, чтобы Core сохранила возможность выпуска исправлений без рекомендаций и сохраняла детали в каждом конкретном случае. Пуансо естественно отказался.
«Предупреждение пользователей об уязвимости безопасности без каких-либо подробностей может привести к неоправданному увеличению риска», — написал он, указывая на «спешную миграцию юзеров, которая в противном случае бы не произошла».
Группа волонтеров из 16 разработчиков, назвавшая себя Bitcoin Red Team, в конце июля протестировала модели искусственного ума в 390 биткоин-проектах за примерно один день и зарегистрировала 4962 вывода, 85 из которых были критичными.
Через несколько дней группа BTCPay Server сообщила о том, что уязвимость в сервере BTCPay использовалась на действующих торговых серверах. В итоге атак были истощены узлы Lightning, которые продавцы используют для обработки небольших платежей в биткойнах. Core Lightning, одна из главных реализаций Lightning, приказала операторам отключиться после того, как отчеты, созданные ИИ для ее небольшой команды, очутились реальными.
Еще большие потери произошли из-за ошибки, которую ИИ не должен был искать. Ошибка в прошивке аппаратного Coldcard Wallet, неактивной с 2021 года, позволила злодеям украсть 594 BTC за 25 минут 30 июля, а общие убытки составили около $114 млн за четыре поверки. Когда компания Coldcard выпустила свое исправление, она сообщила, что искусственный интеллект помог выявить больше ошибок.
В взаимосоответствии с новым правилом пока не было зафиксировано ни одной ошибки, но секрет, который любая модель может вернуть за один запрос, никогда не обеспечит долгосрочную защиту для пользователей.
