На днях стало известно о трёх уязвимостях в Bitcoin Core, которые позволяют крушить узлы сети на Windows и macOS. Уникальность истории не в самих багах, а в том, как они были найдены: их обнаружила языковая модель при автоматическом сканировании кода. Это одна из первых демонстраций того, что ИИ-инструменты уже полезны для поиска реальных проблем безопасности, а не только для написания скриптов на Stack Overflow.
Bitcoin Foundation, поддерживающая Bitcoin Core, недавно пересмотрела правила раскрытия уязвимостей. Новая политика разрешает публичное обнародование багов, которые легко найти и воспроизвести — причём даже до того, как выйдет патч. Логика простая: если ошибку можно найти автоматизированным сканированием за минуты, скрывать её смысла нет, она всё равно упадёт в руки к тому, кто захочет. Главное — координировать исправление. Три найденные ИИ уязвимости попали именно в эту категорию.
С практической точки зрения, это означает, что операторы узлов должны были обновиться уже при появлении новости. Раньше такие баги держали в секрете до выхода патча, теперь — наоборот, публичность работает как стимул к быстрому обновлению сети. Маркетинг ИИ-безопасности здесь немалый, но факт остаётся: инструменты действительно находят то, что пропускают люди при статическом анализе кода.
Для российских крипто-проектов и операторов узлов вывод простой: если вы запускаете узел Bitcoin или другой сети, проверяйте апдейты не раз в месяц, а в режиме реального времени. Системы мониторинга должны ловить критичные релизы сразу. Это не только про Bitcoin — любой блокчейн-проект при таком подходе к раскрытию баги будет публиковать информацию сразу после обнаружения.
Более широкий контекст: поиск уязвимостей с помощью ИИ — тренд, который только набирает силу. OpenAI, GitHub и другие уже предлагают инструменты для анализа кода. Вопрос не в том, будут ли ИИ-сканеры находить баги, а в том, кто первым получит доступ к информации и как быстро её использует. Bitcoin Foundation выбрала путь прозрачности, что в долгосрочной перспективе укрепляет сеть, но требует дисциплины от операторов.
Для разработчиков это сигнал: забывать о security-ориентированном коде нельзя, ИИ-инструменты теперь находят то же самое, что потенциальный злоумышленник. Если в коде есть очевидная яма, она будет обнаружена автоматически, и рассчитывать на то, что никто не заметит, наивно.
На российском рынке инструменты вроде AI Studio можно использовать не только для автоматизации контента, но и для подготовки аудита кода перед публичным выпуском. Это не замена профессиональному security-ревью, но первый фильтр работает эффективно.
Алексей Мартыненко
Главный редактор SPV News
История показывает две важные вещи. Первая: ИИ-сканеры работают и находят реальные проблемы, не маркетинг, а факт. Вторая: прозрачность в раскрытии баги работает лучше, чем секретность, особенно когда баг легко найти. Любой, кто запускает критичный сервис в сети, должен делать обновления в режиме боевого оповещения, а не в плане quarterly releases.