150 คลังโค้ดบิตคอยน์(BTC) ผ่านการตรวจสอบด้วย AI พบช่องโหว่กว่า 10 จุด

ระบบนิเวศบิตคอยน์(BTC) เริ่มใช้ปัญญาประดิษฐ์ (AI) ตรวจสอบความปลอดภัยของโค้ดอย่างจริงจัง โดยทีมงาน Bitcoin Red Team ตรวจสอบคลังโค้ด (code repository) กว่า 150 แห่ง และแจ้งช่องโหว่กว่าสิบรายการให้ทีมพัฒนาโครงการที่เกี่ยวข้องทราบแบบไม่เปิดเผยต่อสาธารณะ

Odaily รายงานเมื่อวันที่ 4 (เวลาท้องถิ่น) ว่า Bitcoin Red Team ตรวจพบปัญหาดังกล่าวระหว่างการตรวจสอบความปลอดภัยของกระเป๋าเงินดิจิทัล ไลบรารีเข้ารหัส และโค้ดโครงสร้างพื้นฐาน ภายหลังกระแสวิพากษ์วิจารณ์เรื่องช่องโหว่ของ COLDCARD งานตรวจสอบครั้งนี้ใช้ต้นทุนการประมวลผลด้วย AI ประมาณ 20,000 ดอลลาร์ (ราว 28.6 ล้านวอน) โดยมีรายงานว่าโอเพนแซตส์ (OpenSats) องค์กรที่สนับสนุนการพัฒนาโครงการบิตคอยน์แบบโอเพนซอร์ส เป็นผู้รับผิดชอบค่าใช้จ่ายดังกล่าว อย่างไรก็ตาม ชื่อ Bitcoin Red Team ไม่ปรากฏอยู่ในรายชื่อโครงการที่เปิดเผยต่อสาธารณะของโอเพนแซตส์ ซึ่งทางองค์กรชี้แจงว่ารายชื่อดังกล่าวไม่ได้ครอบคลุมโครงการที่ได้รับการสนับสนุนทั้งหมด

Bitcoin Red Team ใช้เครื่องมือ AI หลายตัวในการค้นหาช่องโหว่ที่อาจเกิดขึ้น โดยให้ AI กวาดตรวจโค้ดในขอบเขตกว้างอย่างรวดเร็ว ก่อนให้ทีมงานตรวจสอบด้วยตนเองว่าช่องโหว่ที่พบสามารถเกิดขึ้นจริงได้หรือไม่ และมีผลกระทบมากน้อยเพียงใด

รายงานทางเทคนิคของ Kimi K3 จากมูนช็อตเอไอ (Moonshot AI) ก็ประเมินความสามารถด้านการค้นหาช่องโหว่และการพัฒนาช่องทางโจมตี (exploit) ไว้แยกต่างหากเช่นกัน โดยพบว่าในบรรดาช่องโหว่ที่มนุษย์ตรวจสอบแล้ว ประมาณ 70% ถูกยืนยันว่าเป็นช่องโหว่จริง และค้นพบช่องโหว่ที่ไม่เคยมีการเปิดเผยมาก่อนรวม 16 รายการใน 6 โครงการ ขณะที่ Kimi K3 สามารถแก้โจทย์การโจมตีได้ 14 จาก 36 โจทย์ แต่ยังแสดงช่องว่างด้านประสิทธิภาพเมื่อเทียบกับผู้เชี่ยวชาญมนุษย์ในกรณีที่เป้าหมายมีการป้องกันความปลอดภัยสูง ทั้งนี้ โมเดลระดับแนวหน้าบางส่วนของโอเพนเอไอ (OpenAI) และแอนโทรปิก (Anthropic) ไม่ตอบสนองต่อโจทย์ที่เกี่ยวข้องกับไซเบอร์ จึงถูกตัดออกจากการเปรียบเทียบโดยตรง

ฝั่งอีเธอเรียม(ETH) ก็มีกรณีการนำ AI มาใช้กับโค้ดโปรโตคอลจริงเช่นกัน โดยทีมความปลอดภัยโปรโตคอลของมูลนิธิอีเธอเรียม (Ethereum Foundation) เปิดเผยเมื่อวันที่ 9 กรกฎาคมว่า AI เอเจนต์ตรวจพบช่องโหว่ประเภท panic ที่สามารถถูกกระตุ้นจากระยะไกลใน libp2p gossipsub ซึ่งเป็นส่วนประกอบที่ไคลเอนต์สำหรับการยืนยันฉันทามติ (consensus) ของอีเธอเรียมใช้งาน ช่องโหว่ดังกล่าวได้รับการเปิดเผยในชื่อ CVE-2026-34219 ทางมูลนิธิระบุว่าขั้นตอนการตรวจสอบเพื่อแยกแยะบั๊กที่เกิดขึ้นจริงออกจากผลบวกลวง (false positive) ที่ดูน่าเชื่อถือ มีความสำคัญมากกว่าความสามารถในการค้นหาของ AI เพียงอย่างเดียว

แอนโทรปิก (Anthropic) เปิดเผยเมื่อวันที่ 14 มกราคมว่า เอเจนต์ที่พัฒนาจาก Claude ได้สร้างชุดทดสอบแบบ property-based เพื่อค้นหาบั๊กที่อาจเกิดขึ้นในแพ็กเกจสำคัญของระบบนิเวศ Python จากรายงานบั๊กทั้งหมด 984 รายการ เมื่อสุ่มตรวจสอบด้วยมือ 50 รายการ พบว่า 56% เป็นบั๊กที่ใช้ได้จริง และเมื่อพิจารณาเฉพาะรายงานที่ได้คะแนนสูงสุด สัดส่วนความถูกต้องเพิ่มขึ้นเป็น 86%

คลาวด์แฟลร์ (Cloudflare) เปิดเผยประสบการณ์การสร้างระบบตรวจจับ (harness) สำหรับค้นหาช่องโหว่เมื่อวันที่ 18 มิถุนายน โดยเน้นย้ำความสำคัญของการทดสอบที่สามารถทำซ้ำได้ การกำจัดรายงานซ้ำซ้อน และโครงสร้างการตรวจสอบแพตช์ ซึ่งสะท้อนว่าแม้ AI จะช่วยขยายขอบเขตการตรวจโค้ดได้มากขึ้น แต่หากรายงานที่ยังไม่ผ่านการตรวจสอบเพิ่มจำนวนขึ้นเรื่อยๆ ภาระในการคัดกรองของผู้ดูแลโครงการและทีมความปลอดภัยก็จะเพิ่มขึ้นตามไปด้วย

มีการหยิบยกประเด็นต่อเนื่องว่า เมื่อโมเดล AI สามารถค้นหาช่องโหว่ในโครงการโอเพนซอร์สได้รวดเร็วขึ้น ปัญหาการรายงานซ้ำซ้อนและการประสานงานด้านแพตช์ก็ยิ่งทวีความรุนแรงขึ้นตามไปด้วย กรณีล่าสุดนี้จึงสะท้อนให้เห็นว่า เครื่องมือ AI ช่วยเร่งการค้นหาช่องโหว่ที่อาจเกิดขึ้นได้เร็วขึ้นจริง แต่ในขณะเดียวกันก็ยิ่งตอกย้ำความสำคัญของขั้นตอนที่มนุษย์ต้องเข้ามาตรวจสอบความสามารถในการเกิดซ้ำและผลกระทบของช่องโหว่แต่ละรายการ