ボランティアの"ビットコイン・レッドチーム"、最先端AIで重大バグを10件超発見

ボランティアによるセキュリティ取り組み"Bitcoin red team"が、最先端AIモデルを用いてビットコイン関連の主要プロジェクトを横断的に調査し、重大な脆弱性を10件以上見つけたと明らかにした。暗号資産セキュリティ分野でAIの攻防が加速している現状を映す。 この取り組みの立ち上げに関わったAnchorWatchのCEO、Rob Hamilton氏はXで、レッドチーム用プラットフォームの構築と並行してAIサービスにこれまで約2万ドルを投じたと説明。"複数のサービスにまたがり、現時点までに約2万ドルを使い、24時間体制で進めている"とし、資金は確保済みで寄付は不要だとした。 同チームはKimi K3、OpenAIのGPT Sol、AnthropicのClaude FableおよびOpus、Z.aiのGLM 5.2など複数の高性能モデルでコードレビューと脆弱性探索を自動化。さらにOpenAIと連携し、高負荷でコストのかかるスキャン向けに"Cyber Harness"を稼働させたという。Hamilton氏は、"ビットコイン・エコシステムの中核を支える部分"の検査には費用に見合う手法だと述べた。 調査対象は約150のリポジトリで、重大な脆弱性を10件超検知したとしている。影響を受けたプロジェクト名や技術的な詳細は公表していない。 別の参加メンバーである匿名のビットコイン開発者Calle氏は、ウォレット、暗号ライブラリ、インフラなどを対象にしたAI駆動のレビューシステムを複数構築したと説明。Xでは、"1人あたり概ね1時間に1件の重大エクスプロイト"のペースだとし、12時間以内に複数プロジェクトへ重大脆弱性を報告したと投稿した。一方でコスト面については"1日あたり1万ドルが燃えていく"とし、試行の高額さを警告した。 今回の発表は、暗号資産領域でAIが防御・攻撃の両面のセキュリティ実務を急速に変えつつあることを示す。AI支援監査により、重大バグをより短時間かつ大規模に発見できる一方、同じツールが攻撃者にも利用可能だ。 年初には、研究者がAnthropicのClaude Opus 4.8を用いて、Zcashに4年前から存在していた欠陥を発見し、偽造ZECの生成につながり得たと報告された。8月にはColdcardを手がけるCoinkiteが、攻撃者がAIを使ってColdcardの脆弱性を見つけた可能性があるとの見方を示した。ビットコイン・ブリッジのBoltzは、攻撃者がAIで脆弱性探索を高速化し、修正が追いつかないことを理由にスワップを停止した。 ビットコイン・レッドチームの事例は、ソフトウェアと暗号技術への依存が深まるほど、自動化されたAI主導の検査が重要な防御レイヤーになり得ることを示唆する。コストは課題として残るものの、監査へのAI導入や、開示・修正プロセスの強化を促す可能性がある。現時点では、影響を受けたプロジェクトの特定や脆弱性の内容は機密扱いだという。