前言

背景：

一個自稱 Bitcoin Red Team 的志願團體，進行了快速且由 AI 協助的比特幣相關軟體安全稽核，在短時間內通報了數千個發現。本文總結了該運動的範圍、方法、嚴重性分佈，以及對維護者與更廣泛比特幣生態系的影響。目的是提供一個清晰、中立的概覽，說明自動化工具與人工審查如何結合以揭露廣泛專案中的漏洞。

簡要摘要

該行動在約 30 小時內記錄了 4,962 項發現，涵蓋 390 個專案。 團隊通報了 85 項關鍵等級 和 635 項高嚴重性 問題，並指出允許貢獻者使用多樣的 AI 提示方法能產生更廣的覆蓋範圍。 隱私與 coinjoin 工具佔了嚴重發現的最大比例，而維護者正迅速被大量通報淹沒。

主體

Bitcoin Red Team 是一個結合人工審查員與 AI 代理的志願計劃，掃描了廣泛的比特幣生態系倉庫。在大約 27–30 小時內，該團體提交了涵蓋 390 個專案的 4,962 項發現。該行動的初始報告由化名開發者 calle（Cashu 電子現金協議的創建者）發布，紀錄了 85 項關鍵等級與 635 項高嚴重性 — 兩者合計約佔總發現的 14.5%，平均每個專案近 1.85 項嚴重問題。

在運作上，該團隊成長迅速：calle 報告有 16 人輪班協作，公開報告列出 17 名貢獻者（14 名人類與 3 名自動化）。大部分掃描流程由 AI 驅動工具推動。根據報告，91% 的發現透過自動化掃描輸入接收系統，但其中許多由人工引導進行手動驗證並「引導」AI 以精煉結果。大約 21% 的發現以概念驗證程式碼進行動態重現，增強了高嚴重性報告的可信度。

該運動方法的一個顯著面向是審查方法的去中心化。貢獻者被允許提示並操作各自偏好的代理與工作流程。團隊認為這種多樣性是一種優勢：不同的提示風格與方法浮現出不同類型的錯誤，產生比單一統一掃描方式更廣的問題分佈。

各被稽核程式碼庫的嚴重性與分類分佈各有差異。 隱私與 coinjoin 專案在高或關鍵等級發現中所占比例最高，為 24%，反映出匿名保護程式碼的敏感性以及其必須正確處理的複雜互動。交換與交易相關程式碼次之為 21%，支付與商家工具為 17%。以數量計，密碼學函式庫與 SDK 產生最多發現（1,101 項），但其中只有約 10% 被歸類為高或關鍵。這表示雖然密碼學套件產生許多警示（多為低或中等嚴重性），最急迫的風險集中在隱私與交易處理系統。

儘管報告發布速度很快，但在更新時，多數維護者尚未收到上游的協調通報。只有 19 個專案——少於被審查專案的 5%——在上游公開披露了發現。Calle 承認這給維護者帶來負擔，為增加壓力道歉，同時闡述快速發布的理由：專案擁有者最有能力驗證與修復問題、現代工具使自動化驗證成本日益降低，且相同的自動化掃描器無論披露時間如何都會被其他人（包括對手）使用。該行動也將八項發現標示為誤報，顯示在報告後有一定程度的分類與整理。

此稽核發表之際，正值業界對 AI 在程式碼審查與漏洞發現中角色日益關注。先前一個顯著事件涉及 Coldcard 硬體錢包：2021 年 3 月的一次韌體構建使用了軟體隨機性回退而非硬體 RNG，導致私鑰可能被猜出，造成使用者估計損失約 1.3 億美元。在事後檢討中，廠商 Coinkite 提及 AI 可能被用來分析較舊的韌體並發現該缺陷。業界人士此後警告 AI 會以「機器速度」促進漏洞發現，長期公開的程式碼一旦被對手套用強大自動化分析，便可能變得可被利用。

資安領導者主張防禦必須匹配攻擊者的速度。Ledger 的技術長指出，開放原始碼程式碼公開並不等同於已被充分審查；長期存在的錯誤可能直到新的方法——包括 AI——揭露時才被發現。紅隊的工作示範了 AI 協助稽核快速浮現問題的能力，以及在不壓垮專案維護者的情況下負責任地通報大量發現的運營挑戰。

對比特幣生態系而言，影響是混合的。一方面，稽核凸顯了需要關注的領域，特別是隱私工具與交易處理元件。如果維護者能夠迅速分類並修補漏洞，這些發現可促進更強韌的系統。另一方面，自動化發現的速度與規模也帶來壓力：維護者必須擴大審查與回應實務，專案可能需要更好的協調披露、優先順序設定與向使用者傳達風險的流程。

從該行動中浮現的關鍵教訓包括多元掃描方法的價值、維護者需要更強的分類能力，以及公開程式碼庫會吸引快速升級為可被利用之自動化檢視的現實。Bitcoin Red Team 的混合人類—AI 流程也指向社群驅動安全的一種過渡模式：AI 代理能執行廣泛掃描，而經驗豐富的人類能驗證、重現並將結果加以語境化，以減少誤報並優先處理修復工作。

展望未來，生態系可能採取數項實務措施：改進自動化測試與 fuzz 流程、為維護者提供更好的文件與安全指引、建立快速但負責任的披露管道，以及投資於取證與事件回應能力。社群也應考慮是否透過分階段披露時程的協調式合作稽核來減輕維護者負擔，同時提升整體安全。

總而言之，Bitcoin Red Team 的稽核強調了 AI 工具如何放大防禦與進攻的資安工作。該行動在短時間內揭露了數千個問題，特別嚴重的問題集中在隱私與交易相關系統。現在的挑戰是讓維護者、貢獻者與更廣泛的社群把這些發現轉化為持久的改進，同時避免造成不可承受的運營負擔。

關鍵洞見表