Более 30 криптокомпаний обратились к крупнейшим лабораториям ИИ с требованием дать исследователям безопасности ранний доступ к своим самым мощным моделям. Аргумент прост: те, кто защищает триллионы долларов инфраструктуры, используют более слабые инструменты, чем их противники.
Письмо подписали Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise и другие крупные компании, а также некоммерческие фонды разработчиков вроде Brink и Chaincode. Организовала его Bitcoin Policy Institute.
Проблема доступа к моделям
Разработчики Bitcoin Core — небольшой группы, которая поддерживает сеть — не могут получить доступ к программам, которые крупные лаборатории предоставляют проверенным партнёрам по безопасности. Когда они обращаются к общедоступным моделям, встроенные ограничения безопасности, призванные помешать написанию вредоноса, блокируют и легитимный поиск уязвимостей.
В итоге защитники остаются с открытыми моделями, которые можно скачать бесплатно, но они менее мощны. Злоумышленники таких ограничений не встречают. Лаборатории и их партнёры видят новые возможности атак на месяцы раньше остальных, а потом эти возможности всё равно распространяются через публичные модели и украденный доступ к корпоративным системам.
Что требуют компании
- Ранний доступ к самым мощным моделям, включая период до публичного выпуска
- Достаточные вычислительные ресурсы для проведения полноценных проверок
- Защищённые среды для анализа закрытого кода
- Возможность участия для малых независимых разработчиков, а не только крупных компаний
- Прямой канал связи с командами безопасности лабораторий
Реальные инциденты подтверждают срочность
BTCPay Server, одна из подписавших письмо компаний, на прошлой неделе раскрыла критическую уязвимость, которой хакеры уже воспользовались для слива биткоинов с узлов Lightning у торговцев. BTCPay потом отметила, что ИИ меняет баланс между защитниками и атакующими: модели делают поиск слабых мест в больших кодовых базах быстрее и дешевле.
Саму уязвимость нашли защитники. Волонтёрская группа «Bitcoin Red Team» начала в этом месяце наводить ИИ-модели на криптокодовые базы и подала уже тысячи отчётов об ошибках на сотни проектов — в том числе отчёт, который привёл к патчу BTCPay.