El Bitcoin Policy Institute publicó el 10 de agosto una carta abierta, firmada por más de 70 organizaciones del ecosistema de criptoactivos, pidiendo que los laboratorios de IA de frontera creen programas de acceso confiable para defensores de la seguridad de código abierto. El documento argumenta que las restricciones actuales impiden a investigadores legítimos usar los modelos más potentes y los fuerzan a depender de alternativas menos capaces, mientras que atacantes sofisticados no enfrentan los mismos límites.
La presión sobre el sector aumentó después de que una falla de firmware en las carteras frías Coldcard fuera explotada a partir del 30 de julio, causando el robo de más de US$ 100 millones en bitcoin. En respuesta, un grupo voluntario llamado Bitcoin Red Team, liderado por el desarrollador de código abierto Calle y por Rob Hamilton, CEO de AnchorWatch, realizó auditorías asistidas por IA en repositorios de bitcoin, utilizando principalmente el modelo chino de código abierto Kimi K3.
Hasta el 8 de agosto, después de más de 100 horas de trabajo con decenas de colaboradores, el grupo informó haber escaneado 501 proyectos y producido 7.958 hallazgos, de los cuales 1.280 fueron clasificados como de alta o crítica severidad. La mayor parte del costo computacional continuó destinándose a modelos chinos de pesos abiertos.
Restricciones de los modelos estadounidenses
Rob Hamilton afirmó que, tras integrarse al programa de ciberseguridad de OpenAI y haber completado la verificación KYC meses antes, fue bloqueado al analizar una base de código que ya había divulgado de forma responsable. "Eso me destruye como patriota estadounidense, pero volveré a usar modelos chinos de código abierto para llevar a cabo mi investigación y proteger la infraestructura del bitcoin", escribió. Días después, obtuvo acceso al modelo "Daybreak Blue" de OpenAI y fue bloqueado nuevamente en 19 minutos durante una prueba de seguridad en la infraestructura del bitcoin.
Francis Pouliot, fundador de Bull Bitcoin, dijo que nunca había visto a OpenAI tan limitada. "La industria de IA de EE.UU. está completamente destruida si no cambia este camino", publicó. En una publicación de seguimiento, Pouliot detalló cómo un modelo chino de código abierto identificó un exploit que robaba dinero en un proyecto que auditaba, demostró el ataque y ayudó a corregirlo. Cuando pidió a los modelos estadounidenses que revisaran la misma corrección, se negaron.
PortlandHODL, colaborador de Bitcoin Core y desarrollador de AnchorWatch, destacó la diferencia de rendimiento. "Modelo estadounidense de frontera: '¡Tiene toda la razón!' Modelo chino de código abierto: '78 vulnerabilidades críticas encontradas.'", publicó. Pidió que OpenAI y Anthropic creen programas de acceso adecuados para ciudadanos estadounidenses que realizan trabajo de seguridad defensiva.
Lecciones de la campaña de auditoría
Calle compartió lecciones del período intensivo de pruebas. Según él, el esfuerzo completó un escaneo básico de prácticamente todo el ecosistema de código abierto del bitcoin, y las vulnerabilidades más fáciles quedaron en gran parte agotadas. Advirtió que la era exclusivamente humana de la revisión de seguridad de código abierto terminó: la verificación ahora es prácticamente gratuita, y la sobrecarga de información debe gestionarse con IA.
Calle también enfatizó repetidamente que los desarrolladores deben dejar de escribir código crítico de seguridad en C. "Estamos encontrando vulnerabilidades de seguridad de memoria en proyectos C que están prevenidas por defecto en muchos otros lenguajes. En el pasado, encontrar un simple desbordamiento de búfer no era suficiente. Necesitarías un hacker altamente calificado para convertir la vulnerabilidad en un exploit funcional. Hoy, eso es un único prompt", explicó.
El bitcoin fue el primer gran ecosistema de código abierto en enfrentar esta colisión entre código humano acumulado y la capacidad de la IA de frontera. Se espera que el resto del mundo del software siga el mismo camino.
