คำเตือนความปลอดภัย AI ลามเข้าสู่ระบบนิเวศโค้ดบิตคอยน์(BTC)

ประเด็นความปลอดภัยของบิตคอยน์(BTC) กำลังขยายวงไปสู่ความสามารถของโมเดลปัญญาประดิษฐ์ (AI) ในการค้นหาช่องโหว่ แม้จะไม่มีการยืนยันว่าโปรโตคอลบิตคอยน์เองถูกเจาะ แต่คำเตือนล่าสุดชี้ว่าระบบนิเวศโค้ดที่อยู่รอบตัว ทั้งกระเป๋าเงิน ไลบรารี และซอร์สโค้ดโอเพนซอร์ส กำลังเผชิญสภาพแวดล้อมการโจมตีที่เป็นอัตโนมัติมากขึ้น

โคบราบิตคอยน์(CobraBitcoin) ผู้ร่วมวงการบิตคอยน์มายาวนาน กล่าวว่า “ยิ่งโมเดล AI แข็งแกร่งขึ้นเท่าไหร่ ก็ยิ่งต้องจับตาดูการเจาะระบบครั้งใหญ่ครั้งต่อไป” ตามรายงานของ U.Today โดยเป้าหมายที่ถูกพูดถึงในรายงาน ได้แก่ บิตคอยน์คอร์(Bitcoin Core) ซอฟต์แวร์ Lightning กระเป๋าเงิน และไลบรารีต่างๆ

คำว่า ‘การเจาะช่องโหว่’ (exploit) หมายถึงวิธีหรือโค้ดที่ใช้ประโยชน์จากจุดอ่อนของซอฟต์แวร์ในการโจมตีจริง คำกล่าวนี้ไม่ได้เป็นการยืนยันว่ามีการค้นพบช่องโหว่ใหม่เจาะจง แต่เป็นการตั้งข้อสังเกตว่า AI ที่วิเคราะห์โค้ดสาธารณะจำนวนมากอาจเร่งความเร็วในการค้นหาช่องโหว่ที่ซ่อนอยู่ได้

เบื้องหลังของประเด็นนี้คือความสามารถด้านความปลอดภัยไซเบอร์ของโมเดล AI ขนาดใหญ่ที่พัฒนาขึ้นอย่างรวดเร็ว โอเพนเอไอ(OpenAI) เปิดเผยเมื่อวันที่ 1 กันยายนในเอกสารสรุปความปลอดภัยของโมเดล GPT-6 อัสตรา(Astra) ว่าโมเดลนี้ผ่านเกณฑ์ความปลอดภัยไซเบอร์ระดับ ‘Critical’ ตามกรอบการเตรียมความพร้อม (Preparedness Framework) ของบริษัท

โอเพนเอไออธิบายว่า อัสตราสามารถค้นหาช่องโหว่ความปลอดภัยที่ยังไม่เป็นที่รู้จักและพัฒนาวิธีการโจมตีได้เอง โดยไม่ต้องมีคำสั่งจากมนุษย์ทีละขั้นตอน หากมีเครื่องมือและสิทธิ์การเข้าถึงที่เหมาะสม นอกจากนี้ยังทำคะแนนได้ 100% ในการทดสอบ ExploitBench และในการประเมินภายในที่ยากขึ้น สามารถค้นพบและใช้ประโยชน์จากช่องโหว่ซีโรเดย์ (zero-day) ได้ถึง 2 รายการ

อย่างไรก็ตาม ผลการประเมินดังกล่าวเกิดขึ้นภายใต้เงื่อนไขการเข้าถึงที่ถูกควบคุมไว้ ไม่ได้หมายความว่าความสามารถระดับเดียวกันจะเกิดขึ้นในสภาพแวดล้อมการใช้งานจริงของผู้ใช้ทั่วไป และไม่สามารถตีความได้ว่าระบบนิเวศบิตคอยน์ถูกเจาะจริงแล้ว

แอนโทรปิก(Anthropic) ก็เปิดตัวโมเดลคลอด เฟเบิล 5.1(Claude Fable 5.1) ในวันที่ 1 กันยายนเช่นกัน โดยวางตำแหน่งเป็นโมเดลสำหรับงานเขียนโค้ด งานที่ใช้ความรู้ และงานเอเจนต์ระยะยาว บริษัทระบุว่าได้ใส่กลไกความปลอดภัยด้านไซเบอร์ซีเคียวริตี้และชีววิทยาไว้ในโมเดลนี้ และหากตรวจพบคำขอที่มีความเสี่ยงในด้านดังกล่าว ระบบจะสลับไปใช้โมเดลที่มีความสามารถต่ำกว่าโดยอัตโนมัติ

ฝั่งชุมชนนักพัฒนาบิตคอยน์เองก็พูดถึงทั้งการใช้ AI และการควบคุมความเสี่ยงไปพร้อมกัน เอกสารแนวทางการมีส่วนร่วมของบิตคอยน์คอร์ระบุว่า ผู้ที่ใช้เครื่องมือ AI ต้องปฏิบัติตามนโยบายการใช้ AI ของโครงการ และผู้ร่วมพัฒนามีหน้าที่ต้องเข้าใจและอธิบายงานที่ตนเองส่งเข้ามาได้ด้วยตนเอง

เอกสารฉบับเดียวกันมองว่า การรีวิวเชิงลึกและการทดสอบคือคอขวดหลักของโครงการ เนื่องจากในโครงสร้างการพัฒนาแบบเปิด ขั้นตอนตรวจสอบและรีวิวมักเคลื่อนตัวช้ากว่าการเขียนโค้ด ซึ่งหมายความว่า หาก AI จะทำหน้าที่เป็นเครื่องมือป้องกัน ก็ต้องทำงานควบคู่กับระบบตรวจสอบที่รัดกุมด้วย

ในด้านการตรวจสอบความปลอดภัยจริง บิตคอยน์เรดทีม(Bitcoin Red Team) ใช้ AI สแกนโครงการโอเพนซอร์สที่เกี่ยวข้องกับบิตคอยน์ 501 โครงการ ณ วันที่ 14 สิงหาคม และพบ ‘findings’ หรือรายการที่ต้องตรวจสอบรวม 7,958 รายการ

ในจำนวนนี้ 1,280 รายการถูกจัดอยู่ในระดับ high หรือ critical แต่ findings เหล่านี้ยังไม่ใช่ช่องโหว่ที่ยืนยันแล้ว เป็นเพียงผลตรวจสอบเบื้องต้นที่ต้องผ่านการตรวจสอบเพิ่มเติมจากมนุษย์ก่อนจะสรุปได้ว่ามีความเสี่ยงจริงหรือไม่

เหตุการณ์ที่เกี่ยวข้องกับกระเป๋าเงินฮาร์ดแวร์โคลด์การ์ด(Coldcard) ก็เป็นอีกปัจจัยที่ทำให้การถกเถียงเรื่องความปลอดภัยของการเก็บกุญแจเองเข้มข้นขึ้น แกแล็กซี รีเสิร์ช(Galaxy Research) สรุปว่าช่องโหว่ในตระกูลโคลด์การ์ดทำให้มีบิตคอยน์ถูกขโมยไปแล้วอย่างน้อย 1,778 BTC คิดเป็นมูลค่ากว่า 112.7 ล้านดอลลาร์

แกแล็กซี รีเสิร์ชระบุว่ายังไม่พบกิจกรรมการโจมตีที่ได้รับการยืนยันเพิ่มเติมนับตั้งแต่วันที่ 6 สิงหาคม ขณะที่หน้าสถานะอย่างเป็นทางการของโคลด์การ์ดอัปเดตเมื่อวันที่ 4 กันยายนว่า เวอร์ชันมาตรฐานที่แนะนำล่าสุดคือ Mk4 และ Mk5 รุ่น 5.6.2 และรุ่น Q 1.5.2Q

สำหรับนักลงทุนไทย ประเด็นนี้ไม่ได้เกี่ยวกับทิศทางราคาโดยตรง แต่เชื่อมโยงกับต้นทุนโครงสร้างพื้นฐานและความเสี่ยงด้านความปลอดภัยมากกว่า TokenPost เคยนำเสนอข้อถกเถียงเรื่อง AI ที่กำลังเปลี่ยนโครงสร้างต้นทุนและวิธีรักษาความปลอดภัยของอุตสาหกรรมรอบบิตคอยน์ และเคยรายงานข้อเรียกร้องให้เปิดสิทธิ์เข้าถึงโมเดล AI ประสิทธิภาพสูงสำหรับนักวิจัยด้านความปลอดภัยบิตคอยน์มาก่อนแล้วเช่นกัน

ในอีกด้านหนึ่ง AI ก็เป็นเครื่องมือป้องกันได้เช่นกัน นักพัฒนาสามารถใช้ AI ช่วยจัดลำดับความสำคัญของ issue และ PR รีวิวโค้ด และพัฒนาเทสต์เคสได้ แต่ความสามารถแบบเดียวกันนี้ก็อาจเร่งความเร็วในการค้นหาช่องโหว่ของฝ่ายผู้โจมตีได้เช่นกัน

ใจความสำคัญของประเด็นนี้ไม่ใช่การล่มสลายของโปรโตคอลบิตคอยน์ แต่เป็นภาระในการตรวจสอบโครงสร้างพื้นฐานโดยรอบ ทั้งซอร์สโค้ดโอเพนซอร์ส กระบวนการสร้างกระเป๋าเงิน การตรวจสอบรีลีส และระบบทดสอบอัตโนมัติ ซึ่งล้วนถูกพูดถึงร่วมกันในวงสนทนาเรื่องความปลอดภัยของบิตคอยน์ขณะนี้