무슨 일이 일어났나요?
Decrypt는 TechFlow가 재게시한 기사에서 Bitcoin Red Team이 Bitcoin 관련 소프트웨어를 감사하는 약 20~25명의 자원 봉사자로 구성되어 있다고 보고했습니다. 그룹 회원들은 비트코인의 기본 프로토콜보다는 지갑, 애플리케이션, 서비스 및 기타 제3자 시스템에 초점을 맞추고 있다고 말합니다. 칼레(Calle)라는 익명의 회원은 안전 제한으로 인해 사이버 보안 관련 작업이 차단될 수 있기 때문에 팀이 미국 모델보다 중국 AI 모델을 더 자주 사용한다고 말했습니다. 보고서는 팀의 감사 결과를 독립적으로 확인하거나 AI 지원 공격으로 인해 특정 사고가 발생했다는 사실을 입증하지 않았습니다.
Decrypt는 비트코인 레드팀이 AI 지원 취약성 연구와 관련된 보안 위협에 대응하기 위해 구성되었다고 보고했습니다. 이 그룹은 개인 정보 보호 및 비트코인 소프트웨어 개발자를 포함하여 약 20~25명의 자원 봉사자로 구성된 익명의 팀으로 설명됩니다. 오픈 소스 Cashu 프로토콜을 유지 관리하는 데 도움을 주는 익명의 회원인 Calle은 Decrypt에 팀이 가능한 한 오랫동안 공격자보다 앞서 나가기 위해 만들어졌다고 말했습니다. 보고서에 따르면 이 그룹은 비트코인 프로젝트로부터 스캔 요청을 받지만 적극적으로 감사를 수행하며 Calle가 생태계에서 중요한 오픈 소스 프로젝트로 설명한 내용을 거의 다루었습니다.
TechFlow가 다시 발행한 Decrypt 보고서에 따르면 팀의 관심은 비트코인의 기본 프로토콜이 아닌 비트코인을 기반으로 구축된 소프트웨어에 집중되어 있습니다. Calle은 그룹이 핵심 프로토콜 자체에서는 문제를 발견하지 못했지만 지갑, 애플리케이션, 서비스 및 기타 타사 소프트웨어를 더 관련성이 높은 위험 영역으로 식별했다고 말했습니다. 보고서는 팀의 구성을 Coldcard 오프라인 하드웨어 지갑에 대한 공격과 비트코인 보험 회사 AnchorWatch의 CEO인 Rob Hamilton이 시작한 조사와 연결했습니다. 공개 사고 보고서, Coldcard 공격에 대한 기술적 세부 정보 또는 공격이 어떻게 팀의 특정 감사 프로그램으로 이어졌는지 보여주는 증거를 제공하지 않았습니다.
Decrypt는 팀이 취약성 발견을 관련 개발자에게 제공하고 피드백을 사용하여 분류 및 심각도 기준을 개선한다고 보고했습니다. Calle은 미국 시스템에 내장된 제한으로 인해 취약점을 찾거나 수정하는 데 도움이 되지 않는 경우가 있기 때문에 팀의 보안 작업 중에 중국 AI 모델이 미국 모델보다 더 자주 사용된다고 말했습니다. 그는 미국의 주요 모델이 전반적인 능력 면에서 여전히 더 강력하지만 보호 장치가 방어 요청을 거부할 때 일부 사이버 보안 작업에는 덜 유용하다고 주장했습니다. 이 진술은 Calle에서 나왔습니다. 소스는 모델 비교 결과, 감사 로그, 취약점 기록 또는 팀에서 연락한 개발자의 독립적인 확인을 게시하지 않았습니다.
왜 중요한가요?
보고서는 실질적인 보안 절충안을 설명합니다. AI 도구는 방어자가 취약점을 더 빨리 찾는 데 도움이 되는 동시에 일부 약점을 악용하는 데 필요한 전문 지식을 낮출 수도 있습니다. 비트코인 사용자는 일반적으로 기본 프로토콜 자체가 아닌 주변 애플리케이션과 상호 작용하므로 지갑, 거래소, Lightning 구현 및 서비스의 약점은 기본 프로토콜이 안전하게 유지되는 경우에도 위험을 초래할 수 있습니다. 또한 보고서는 모델의 기능이나 보호 장치에 대한 비교 테스트를 제공하지 않지만 모델 안전 정책이 합법적인 방어 연구에 어떻게 영향을 미칠 수 있는지 보여줍니다.
보고서의 핵심 공익 사항은 AI가 사이버 공격에 참여할 수 있는 사람을 바꿀 수 있다는 것입니다. Calle은 한때 기술적 전문성이나 정보 장벽으로 인해 제한되었던 작업을 이제 사이버 보안 지식이 부족한 사람들도 시도할 수 있다고 Decrypt에 말했습니다. 그는 공격자들이 이미 취약점을 식별하고 악용하기 위해 AI를 사용하고 있지만 그 방법에 대한 설명은 거부했다고 말했습니다. 그 주장은 출처에서 독립적으로 확인되지 않았습니다. 그럼에도 불구하고 보고된 우려는 구체적입니다. 금융 시스템을 둘러싼 소프트웨어에는 기본 프로토콜의 결함보다 접근하기 쉬운 약점이 포함될 수 있으며 암호화폐 시스템은 공격자에게 직접적인 금전적 인센티브를 제공할 수 있습니다.
보안 기반 프로토콜과 취약한 주변 소프트웨어 간의 구별은 사용자에게 중요합니다. 보고서에 따르면 지갑, 거래소, 라이트닝 네트워크 구현 및 기타 서비스는 일상적인 거래를 중재합니다. 보안은 프로토콜 설계와 별개인 코드, 구성, 유지 관리 및 대응 방식에 따라 달라집니다. AI 지원 테스트를 통해 더 넓은 소프트웨어 생태계를 검색하는 것이 더 저렴해진다면 방어자는 더 빠른 검토 및 공개 프로세스가 필요할 수 있습니다. 이 보고서는 위협의 규모, 발견된 취약점의 수, 영향을 받은 프로젝트의 수 또는 AI 지원 악용으로 인해 사용자 자금이 손실되었는지 여부를 밝히지 않습니다.
이 계정은 또한 AI 보안 도구에 대한 거버넌스 문제를 제기합니다. 유해한 지원을 줄이기 위한 제한은 승인된 취약성 연구를 방해할 수 있는 반면, 제한이 적은 시스템은 방어자에게 더 유용하고 공격자가 더 유용할 수 있습니다. Decrypt의 보고서는 이를 모델 안전성이나 효율성에 대한 통제된 평가가 아닌 Calle의 경험으로 제시합니다. 동일한 승인된 작업을 사용하여 중국과 미국 시스템을 비교하거나, 거부율을 측정하거나, 팀 활동의 법적 상태를 평가하거나, 모델이 민감한 공격 정보를 처리하는 방법을 조사하지 않습니다. 이러한 격차는 더 광범위한 정책 상충관계에 대해 결론을 내릴 수 있는 것을 제한합니다.
대화형 메커니즘: 실제로 작동하는 방식
이 개발의 이면에 있는 기본 기술을 대화식으로 살펴보세요.
Why can ethical evaluation not be reduced to one model score?
다음에 무엇을 볼 것인가
핵심 질문은 비트코인 레드팀이 검증 가능한 감사 결과를 발표하는지, 영향을 받는 프로젝트가 이를 수정하는지, 그리고 독립적인 연구자들이 보고된 AI 지원 공격의 증가를 확인하는지 여부입니다. 어떤 모델과 버전이 사용되고 있는지, 어떤 보호 장치와 승인 절차가 적용되는지, 덜 제한적인 시스템이 측정 가능한 방어 이점이나 추가 오용 위험을 생성하는지 여부를 추가 조사를 통해 조사해야 합니다. 이 보고서는 감사 대상 프로젝트의 사고 데이터, 악용 시연, 취약성 권고 또는 응답을 제공하지 않습니다.
가장 중요한 다음 증거는 비트코인 레드팀이 검토한 프로젝트의 공개 취약성 권고, 감사 보고서 또는 교정 기록이 될 것입니다. 이러한 자료는 그룹이 재현 가능한 결함을 식별하고 있는지, 결함이 얼마나 심각한지, 개발자가 결함을 수정했는지 여부를 보여줄 수 있습니다. 영향을 받는 프로젝트의 독립적인 확인은 문서화된 보안 작업과 업계 전반의 변화에 대한 광범위한 주장을 구별하는 데도 도움이 됩니다. 현재 보고서는 그러한 기록을 전혀 제공하지 않으므로 여기에서 독립적으로 확인하기보다는 팀의 존재와 활동을 보고합니다.
연구원과 방어자들은 AI 시스템이 어떻게 사용되고 있는지도 명확히 해야 합니다. 유용한 세부 정보에는 관련 모델 및 버전, 코드 생성, 리포지토리 분석, 테스트 제안 또는 문제 해결 지원 여부, 허가 없이 시스템에 대한 테스트를 방지하는 인증 제어가 포함됩니다. 비교 가능한 평가를 통해 제한적인 모델이 합법적인 방어 작업을 실질적으로 방해하는지 여부와 덜 제한적인 모델이 조치 가능한 오용의 위험을 증가시키는지 여부를 측정할 수 있습니다. 출처는 개인적인 관찰을 제공하지만 방법론이나 테스트 결과는 제공하지 않습니다.
마지막으로 독자들은 특정 사건과 관련된 증거를 주의 깊게 관찰해야 합니다. 보고서에 따르면 AI는 이미 공격자를 돕고 있으며 Coldcard 침해가 팀에 동기를 부여하는 데 도움이 되었지만 명명된 공격을 특정 AI 시스템에 연결하거나 타임라인, 기술 사후 분석 또는 영향을 받은 사용자 수를 제공하지 않습니다. 향후 보고에서는 AI가 직접적으로 관련되었는지, 공격이 얼마나 변경되었는지, 기존 보안 프로세스가 활동을 탐지 또는 억제했는지 여부를 확인해야 합니다. 그때까지 가장 강력하게 뒷받침되는 결론은 더 좁다는 것입니다. 한 자원 봉사 단체는 AI가 사이버 보안 경쟁의 양쪽 모두에서 장벽을 낮출 것으로 기대하기 때문에 감사를 가속화하고 있다고 말했습니다.