Bitcoin Red Teamが、中国製AIを活用してビットコイン関連のオープンソースソフトウェア（OSS）の監査を進めている。ウォレットやLightning関連アプリケーション、ソフトウェアライブラリなどを対象に、AIで脆弱性候補を洗い出し、人手で検証する形だ。8月時点で390プロジェクトを調査し、致命的な脆弱性85件、高リスク635件を確認したという。

ブロックチェーンメディアのDecryptが8月13日（現地時間）に報じた。匿名開発者カレが率いるBitcoin Red Teamは、中国Moonshot AIの「Kimi K3」を主力ツールとして、ビットコイン関連OSSの脆弱性監査を進めている。中国の開発会社Z.aiの「GLM 5.2」に加え、OpenAIとAnthropicのモデルも利用している。

Kimi K3は、大規模なコードベースの分析や、長時間に及ぶソフトウェア関連作業を少ない監督でこなせるよう設計されたモデルとされる。Bitcoin Red Teamは、AIが抽出した脆弱性候補を人が検証する形で監査を進めている。

カレは現状について、「数十年分に積み上がったオープンソースコードと、2週間前に登場したKimi K3が正面からぶつかっている」「あらゆるものが壊れていて、ビットコインが燃えているような状態だ」と表現した。

実際、監査では多数の問題が見つかっている。カレによると、Bitcoin Red Teamは8月時点で390プロジェクトについて計4962件の検出結果を確認し、このうち85件を致命的、635件を高リスクに分類した。

ただ、影響を受けたプロジェクト名や個別の脆弱性情報は公表していない。開発者側に対応時間を確保してもらうためだ。

脆弱性が確認された場合、Bitcoin Red Teamはまず対象プロジェクトの開発者に非公開で通知し、修正期間を設ける。詳細は問題解決後に公表する運用としている。

プロジェクトごとに対応速度には差があるという。カレは、脆弱性への初動の速さは、そのプロジェクトの健全性を測る一つの指標になり得ると説明した。

なかでも、ビットコイン決済を高速かつ低コストで処理するLightning関連ソフトウェアは構造が複雑で、監査の難度が高いという。一般的なプロジェクトに比べ、より多くの問題が見つかったとしている。

ツール選定では、モデルの出自そのものより、セキュリティ研究に対する利用制限の有無が影響した。カレは、OpenAIのサイバーセキュリティ関連の利用制限が研究の妨げになったとして、Kimi K3の活用方針を示したこともある。

セキュリティ研究者がAIで実施できる作業範囲が狭まるなか、中国製モデルが代替手段として使われている構図も浮かび上がる。

Bitcoin Red Teamは今後、各オープンソースプロジェクトが独自のAIセキュリティ監査体制を備える必要があると主張している。カレは、すでにAI監査を導入したプロジェクトと未導入のプロジェクトの差が広がりつつあるとして、各プロジェクトが独自のAI監査パイプラインを構築すべきだと強調した。

AIを活用したOSS監査の流れは、ビットコイン分野にとどまらない可能性がある。これに先立ち、Hugging Faceでもセキュリティ侵害の調査過程で、米国系の商用AIモデルが攻撃ログの分析を拒否し、中国のGLM 5.2が使われた事例が報じられている。

カレは、ビットコインはAIベースのセキュリティ監査における最初の主要ターゲットにすぎず、今後は他のオープンソース領域にも広がるとみている。AIが数十年分のコードを高速に分析できるようになれば、オープンソースセキュリティを巡る新たな競争軸が、米中のAIモデルの間で形成される可能性もある。