لجوء فريق أحمر متخصص في أمن شبكة بيتكوين إلى استخدام نماذج الذكاء الاصطناعي الصينية، وتحديداً Kimi K3 من شركة Moonshot AI، نتيجة تقييد وصول أحد باحثيه إلى أدوات التحليل الخاصة بشركة OpenAI. أثمرت هذه الحملة الأمنية الموسعة، التي استغرقت 108 ساعات من العمل، عن رصد 7,958 نتيجة محتملة عبر 501 مشروع مفتوح المصدر مرتبط ببيتكوين.
ومن بين هذه النتائج، صُنفت 1,280 نقطة كتهديدات عالية أو حرجة. وأكد الفريق قدرته على إعادة إنتاج 24.7% من هذه النتائج بشكل ديناميكي، في حين جرى إبلاغ المشرفين على المشاريع المعنية بنسبة 29.4% منها.
أعلن الباحث المستعار “Calle” في 13 أغسطس 2026 إنجاز فحص أساسي شمل تقريباً كامل المنظومة مفتوحة المصدر لبيتكوين، موضحاً أن هذه الأرقام تمثل نتائج أولية تستدعي التحقق البشري الدقيق. يعكس هذا الجهد توسعاً سريعاً مقارنة بحملة سابقة رصدت 4,962 مشكلة عبر 390 مشروعاً.
تأثير قيود OpenAI على استراتيجيات الفحص الأمني
تعود أسباب هذا التحول إلى إيقاف “برنامج الثقة السيبرانية” التابع لشركة OpenAI وصول الباحث روب هاميلتون، الرئيس التنفيذي لشركة AnchorWatch، إلى أدوات التحليل أثناء مراجعته لقاعدة بيانات أُبلغ عنها مسبقاً. دفع هذا الإجراء الفريق للاعتماد على مزيج من النماذج شمل Kimi K3، وGPT Sol مع Cyber Harness من OpenAI، وClaude Fable وOpus من Anthropic، وGLM 5.2.
وقد وجه أكثر من 40 كياناً في قطاع الأصول الرقمية رسالة إلى مختبرات الذكاء الاصطناعي الكبرى يطالبون فيها بمنح المدافعين وصولاً خاضعاً للرقابة إلى النماذج المتقدمة لتجنب تخلف مطوري المنظومة عن المهاجمين.
استغلال ثغرة حرجة في نظام BTCPay Server
في سياق متصل بالأمن التشغيلي، أصدر مشروع BTCPay Server التحديث 2.4.2 في 7 أغسطس 2026 لسد ثغرة حرجة استُغلت فعلياً لاستهداف عقد Lightning. تمكن المهاجمون من الاستيلاء على ملفات اعتماد macaroon الخاصة بإدارة عقد LND، واستخدموها للوصول إلى المحافظ المتصلة وسحب الأرصدة. وقد أكد زاك هربرت، الرئيس التنفيذي لشركة Foundation، ومجلة Citadel21 تعرض عقدهما للاستنزاف عبر إغلاق القنوات وتحويل الأموال.
غابت هذه الثغرة المعقدة عن الفحص الآلي للفريق الأحمر، واكتُشفت فقط بعد تعرض مطور محفظة Sparrow، كريغ راو، للسرقة وتحليله للسجلات يدوياً. ومع ذلك، نجح الفريق الأحمر في اكتشاف ثغرة أخرى تتعلق بتجاوز المصادقة الثنائية في واجهة Greenfield API، والتي عولجت في التحديث ذاته، قبل إطلاق النسخة المرشحة 2.4.3-rc4 في 14 أغسطس لمعالجة ثغرات إضافية.
حدود قدرات نماذج الذكاء الاصطناعي في تطوير الاستغلالات
ورغم الدور المحوري الذي لعبه Kimi K3 في الحملة، تشير التقييمات المستقلة إلى حدود واضحة في قدراته على تطوير الاستغلالات. ففي تقييم مشترك أجراه معهد سلامة الذكاء الاصطناعي البريطاني (UK AISI) والمعهد الأمريكي لسلامة الذكاء الاصطناعي (CAISI)، سجل النموذج 32% في اختبار ExploitBench، ولم يحقق تنفيذاً تعسفياً للكود في أي من العينات الـ41 المختبرة. وتفوق النموذج على GLM-5.2 في اختبارات تطوير الاستغلال، لكنه ظل خلف أقوى النماذج الأمريكية المغلقة.
وتعكس هذه الأرقام طبيعة النتائج التي توصل إليها الفريق الأحمر، فالاكتشاف الآلي يمكن أن يتوسع بسرعة، لكن التحقق البشري وإعادة الإنتاج والتنسيق مع المشرفين تظل مراحل لا يمكن اختزالها. ويرى Calle أن المشاريع غير المصانة يجب أن تُعامل بحذر أكبر، لأن الذكاء الاصطناعي خفض كلفة اكتشاف نقاط الضعف واختبارها بشكل حاد.
وفي خطوة موازية، أنشأت منظمة OpenSats مساراً سريعاً لمنح فرق الاختراق الأخلاقي، يغطي جزئياً تكاليف استخدام نماذج اللغة الكبيرة. كما تعهدت مؤسسة BTCPay بدفع 0.21 بيتكوين لصندوق الفريق الأحمر بعد حادثة الاستغلال الأخيرة.
ويبقى الاستنتاج الأهم للمستخدمين أضيق مما توحي به الأرقام الكبيرة؛ فما رصده الفريق الأحمر هو حجم كبير من نقاط الضعف المحتملة في البرمجيات المرتبطة ببيتكوين، وليس دليلاً على فشل بروتوكول الإجماع الأساسي.
