پایان دوران رازداری یک‌ساله در بیت‌کوین؛ افشای آسیب‌پذیری‌ها زیر سایه هوش مصنوعی شتاب گرفت

گردانندگان گره‌ها در شبکه ۱.۳ تریلیون دلاری بیت‌کوین همواره خواستار ماه‌ها پنهان‌کاری برای ارزیابی و نصب بی‌خطر وصله‌های نرم‌افزاری بدون آگاه‌سازی مهاجمان بوده‌اند. با این حال، توسعه‌دهندگان هسته مرکزی می‌گویند مدل‌های زبانی بزرگ ارزش این رازداری را از میان برده‌اند؛ زیرا اگر یک پرامپت متنی بتواند در چند ثانیه باگ را شکار کند، مهاجمان خرابکار نیز از پیش به آن دست یافته‌اند.[1][5]

این کشمکش روز جمعه سرانجام شکست؛ زمانی که بیت‌کوین کور، نرم‌افزاری که تقریباً ۹۸ درصد گره‌های فعال شبکه را پشتیبانی می‌کند، سیاست افشای آسیب‌پذیری‌های خود را رسماً بازنگری کرد. این پروژه سنت تحریم اطلاعاتی یک‌ساله را متوقف کرده و دسته‌بندی جدیدی تحت عنوان «به‌آسانی قابل شناسایی» معرفی نمود که فوراً به هشدارهای عمومی منتهی می‌شود.[2][4]

در گذشته، اگر پژوهشگران یک نقص امنیتی بحرانی در کد بیت‌کوین پیدا می‌کردند، توسعه‌دهندگان اصلاحیه را در قالب یک به‌روزرسانی معمولی و بدون توضیح انگیزه اصلی در کدهای پروژه اعمال می‌کردند. آنها تا ۱۲ ماه منتظر می‌ماندند تا شبکه به‌صورت طبیعی به‌روزرسانی شود و سپس جزئیات آن نقص را به‌طور علنی منتشر می‌کردند.[1]

این بازه پنهان‌سازی طولانی به استخرهای استخراج سازمانی و گردانندگان مستقل گره‌ها فرصت می‌داد تا بدون اضطراب ناشی از محدودیت زمانی، سیستم‌های خود را نوسازی کنند. این رویه بر این فرض استوار بود که مهندسی معکوسِ وصله‌های خاموش به زمان قابل‌توجه و تخصص نیروی انسانی نخبه نیازمند است.[5]

فراگیری فزاینده ابزارهای کدنویسی هوش مصنوعی این پیش‌فرض را فروریخته است. توسعه‌دهندگان دریافتند که تغذیه تاریخچه تغییرات کدهای متن‌باز به یک مدل زبانی بزرگ معمولی، به هوش مصنوعی اجازه می‌دهد در کسری از ثانیه تغییرات نامتعارف کد را شناسایی کرده و آسیب‌پذیری نهفته پشت آن را استخراج کند.[4]

گزارش آن‌چیند کریپتو با اشاره به پایان دوران رازداری طولانی‌مدت تأکید کرد: «بیت‌کوین کور اکنون اصلاحیه‌ها و توصیه‌نامه‌های امنیتی را برای باگ‌هایی که با یک پرامپت ساده مدل زبانی قابل کشف هستند به‌سرعت منتشر خواهد کرد؛ به‌جای آنکه اطلاعات نقص‌ها را نزدیک به یک سال مسکوت نگه دارد.»[4]

پایان دوران پنهان‌کاری امنیتی

شیوه‌نامه جدید طبقه‌بندی منحصربه‌فردی برای نقص‌هایی در نظر گرفته که در برابر شناسایی از طریق هوش مصنوعی آسیب‌پذیرند. وقتی باگی ذیل این عنوان علامت‌گذاری شود، فرایند سنتی حذف شده و وصله نرم‌افزاری همگام با گزارش شفاف و فوری علنی خواهد شد.[2][3]

این تصمیم شیوه نگهداری زیرساخت اساسی شبکه را به‌شکل بنیادین دگرگون می‌کند. اپراتورهایی که تا پیش از این سیستم‌های خود را به‌صورت فصلی یا شش‌ماهه ارتقا می‌دادند، حالا موظف‌اند کانال‌های امنیتی را پیوسته پایش کرده و اصلاحیه‌ها را ظرف چند روز از زمان انتشار نصب کنند.[5]

هزینه‌های مربوط به این ارتقاهای فوری قاطع و غیرقابل‌چشم‌پوشی است. یک باگ خطرناک در لایه اجماع می‌تواند از نظر تئوریک این امکان را به هکرها بدهد که واحدهای تاییدنشده ایجاد کنند یا فرآیند تولید بلاک را به کل متوقف سازند؛ رخدادی که مستقیماً کمیابی رمزنگاری‌شده پشتوانه قیمت ۶۷ هزار دلاری بیت‌کوین را نابود خواهد کرد.[1][2]

پژوهشگران امنیت معتقدند این چرخش سیاست، پذیرش گریزناپذیر واقعیت تحلیل‌های خودکار کدهاست. زمانی که ابزارهای هوش مصنوعی قادرند میلیون‌ها خط کد ++C را برای نشت حافظه یا خطاهای منطقی در چند دقیقه بررسی کنند، پنهان کردن یک وصله در برابر دید همگان به‌جای سنگر دفاعی، به عاملی پرریسک تبدیل می‌شود.[3]

سایت بیت‌کوین دات‌کام در این باره نوشت: «بیت‌کوین کور سیاست امنیتی‌اش را تغییر می‌دهد، چراکه هوش مصنوعی یافتن باگ‌ها را سریع‌تر کرده است.» این رسانه تأکید داشت که سرعت اسکن‌های خودکار چاره‌ای برای نگهدارندگان پروژه باقی نگذاشته جز اینکه به محض عرضه وصله، کل جامعه کاربران را در جریان بگذارند.[2]

گزارش پایگاه تی‌اف‌تی‌سی جزئیات این تحول عملیاتی را بررسی کرده و آورده است که اضافه شدن برچسب آسیب‌پذیری «به‌آسانی قابل کشف» به این دلیل است که مدل‌های زبانی بزرگ ارزش پنهان‌کاری‌های طویل‌المدت را سوزانده‌اند. این استاندارد جدید در زمان ارزیابی هر گزارش باگ، تصمیمی دوگانه و فوری بر دوش تیم توسعه می‌گذارد.[5]

اصطکاک عملیاتی گره‌ها

برای استخرهای بزرگ استخراج و نهادهای امانت‌داری نهادی، این تسریع در نصب وصله‌ها متضمن اصطکاک شدید عملیاتی است. به‌کارگیری نسخه جدید بیت‌کوین کور به تست‌های داخلی فراوان نیاز دارد تا اطمینان حاصل شود نرم‌افزار جدید با زیرساخت کیف‌پول‌ها یا نرم‌افزارهای انتشار بلاک اختصاصی اختلال پیدا نمی‌کند.[5]

شتاب در این مسیر ارزیابی خطرات خاص خود را دارد؛ چرا که یک خطای کوچک در استقرار می‌تواند یک صرافی عظیم را از شبکه خارج کرده یا استخر استخراج را وادار به تولید بر بستری نامعتبر سازد. از طرف دیگر، تعلل در نصب وصله، همین نهادها را در معرض حملات هدفمند هکرها قرار می‌دهد.[1][5]

این تصمیم تیم توسعه عملاً بار خطر را از بدنه کدهای نرم‌افزاری برداشته و آن را روی چابکی عملیاتی بازیگران شبکه آوار می‌کند. چنین فرض شده که شبکه‌ای غیرمتمرکز متشکل از هزاران اپراتور مستقل می‌تواند پیش از آنکه نفوذگران هشدار را به بدافزار تبدیل کنند، به‌روزرسانی‌های اضطراری را اعمال کند.[4]

این معضل تنها مختص حوزه رمزارزها نیست، اما ساختار غیرمتمرکز بیت‌کوین ابعاد چالش را چند برابر می‌کند. برخلاف شرکت‌های فناوری متمرکز که می‌توانند تغییرات سروری را یک‌شبه بر میلیون‌ها کاربر تحمیل کنند، نگهدارندگان بیت‌کوین کور هیچ اهرم قانونی برای وادار کردن گره‌ها به ارتقا ندارند.[2][3]

در ارتقاهای پیشین شبکه، دستیابی به نرخ پذیرش ۹۰ درصدی میان اپراتورها معمولاً بیش از شش ماه زمان می‌برد. مدل جدیدِ افشای سریع نیازمند آن است که چنین سطح فراگیری در کسری از این زمان محقق شود تا سامانه در برابر حفره‌های فاش‌شده مصون بماند.[1]

الگویی تازه برای جهان متن‌باز

این تصمیم زیر ذره‌بین سایر پروژه‌های بزرگ نرم‌افزاری متن‌باز قرار گرفته است که بسیاری از آنها کماکان به پنهان‌سازی طولانی‌مدت گزارش‌ها تکیه دارند. توزیع‌های مختلف سیستم‌عامل لینوکس و پروتکل‌های بنیادی وب نیز دقیقاً در برابر مهندسی معکوس متکی بر هوش مصنوعی در معرض خطرند.[3]

چنانچه شبکه بیت‌کوین بتواند بدون مواجهه با نفوذهای ویرانگر این محیط افشای پرشتاب را مدیریت کند، می‌تواند به الگوی امنیتی پروژه‌های متن‌باز در عصر هوش مصنوعی تبدیل شود. در غیر این صورت، شکنندگی مدیریت‌های غیرمتمرکز در مواجهه با تهدیدات الگوریتمی بیش از پیش نمایان خواهد شد.[1][4]

مجادله بر سر اینکه آیا اپراتورهای شبکه به فرصت بیشتری برای به‌روزرسانی نیاز دارند یا خیر، با توجه به ابزارهای هوش مصنوعی که در دسترس همگان قرار گرفته، عملاً بلااستفاده است. محک حقیقی با وقوع نقص امنیتی بزرگ بعدی رقم می‌خورد؛ جایی که تیم توسعه باید ارزیابی کند کدهایشان تا چه میزان در برابر هوش مصنوعی خوانا هستند.[4][5]