Haseeb Qureshi แห่ง Dragonfly ชี้: การตรวจสอบด้วย AI มูลค่าแค่ 2 ดอลลาร์ก็อาจจับช่องโหว่ Coldcard ได้

Haseeb Qureshi หุ้นส่วนผู้จัดการของ Dragonfly ระบุว่าเหตุช่องโหว่ของ Coldcard สะท้อนว่า AI กำลังเปลี่ยน "เศรษฐศาสตร์ของไซเบอร์ซีเคียวริตี้" อย่างรวดเร็ว เมื่อค่าใช้จ่ายในการค้นหาจุดบกพร่องลดฮวบ บริษัทคริปโตจึงควรนำโมเดล AI ระดับแนวหน้ามาตรวจสอบซอฟต์แวร์ทุกครั้งก่อนปล่อยอัปเดต ประเด็นสำคัญ - Coldcard แก้ไขช่องโหว่เกี่ยวกับ seed เมื่อวันที่ 31 ก.ค. หลังมีรายงานว่า AI พบได้ภายใน 8 นาที - Qureshi มองว่าการตรวจสอบด้วย AI ราคาเพียง 2 ดอลลาร์ อาจทำให้บริษัทที่มีงบความปลอดภัยสูงได้เปรียบ - เขาแนะนำให้ทำการตรวจสอบด้วย frontier AI ทุกครั้งก่อนปล่อยเวอร์ชันใหม่ เพราะเวลาค้นหาช่องโหว่ลดลงเหลือระดับไม่กี่นาที Qureshi ออกมาเตือนว่า การค้นหาช่องโหว่ที่ถูกลงอย่างมากอาจทำให้ความปลอดภัยขึ้นอยู่กับว่า "ใครยอมจ่ายก่อน" ระหว่างบริษัทและผู้โจมตี หลังมีรายงานว่าโมเดล AI สามารถค้นพบจุดอ่อนสำคัญในเฟิร์มแวร์กระเป๋า Bitcoin ของ Coldcard ได้ในเวลาไม่นาน "Cybersecurity is now all about spend" เขาโพสต์บน X พร้อมตั้งคำถามหลักว่า นักพัฒนาลงทุนด้านการทดสอบด้วย AI มากน้อยเพียงใดเมื่อเทียบกับศักยภาพของฝั่งผู้โจมตี (ที่มา: @Hosseeb บน X) Coldcard เปิดเผยว่าพบปัญหา "entropy flaw" ที่กระทบ seed ซึ่งถูกสร้างด้วยเฟิร์มแวร์บางเวอร์ชัน บั๊กดังกล่าวทำให้อุปกรณ์บางเครื่องไปพึ่งพาเครื่องมือสร้างค่าด้วยซอฟต์แวร์แบบกำหนดได้ (deterministic) แทนแหล่งสุ่มจากฮาร์ดแวร์ตามที่ออกแบบไว้ Coinkite จึงปล่อยอัปเดตฉุกเฉินเมื่อวันที่ 31 ก.ค. และแจ้งให้ผู้ใช้ที่ได้รับผลกระทบสร้าง seed ใหม่พร้อมย้ายเงินออก โดยย้ำว่าการติดตั้งเฟิร์มแวร์ใหม่เพียงอย่างเดียวไม่สามารถแก้ seed เดิมที่สร้างไว้แล้วได้ รายงานระบุว่าการทดสอบหนึ่งใช้ Claude Code ของ Anthropic และพบช่องโหว่ได้ภายในราว 8 นาที Qureshi ตั้งข้อสังเกตว่าผลอาจได้รับอิทธิพลจากการเข้าถึงอินเทอร์เน็ต ซึ่งอาจทำให้โมเดลพบข้อมูลเดิมเกี่ยวกับบั๊กได้ ขณะที่การทดสอบอีกชุดปิดการเข้าถึงเว็บและใช้ GLM 5.2 สามารถทำซ้ำช่องโหว่ได้ภายในประมาณ 20 นาที (ที่มา: Medusa Onchain บน X) จากต้นทุนอินพุตและเอาต์พุตของโมเดล เขาประเมินว่าค่า "audit" อยู่ที่ราว 2 ดอลลาร์ และระบุว่า "2 ดอลลาร์ของการเสริมความแข็งแรงด้วย AI น่าจะจับบั๊กนี้ได้ ไม่มีข้อแก้ตัว" Qureshi เสนอแนวคิดตัวชี้วัดใหม่ชื่อ Cost of Discovery (CoD) เพื่อประเมินว่าต้องใช้เงินเท่าไรให้ frontier AI สร้างผลการค้นพบช่องโหว่เดิมขึ้นมาได้ด้วยตนเอง เขามองว่าเหตุการณ์นี้อาจส่งผลต่อการแข่งขันในตลาดฮาร์ดแวร์วอลเล็ต โดยผู้เล่นรายใหญ่จะได้เปรียบจากความสามารถในการทุ่มงบให้การทดสอบอัตโนมัติ การตรวจสอบ (audit) และการทำให้การปล่อยเวอร์ชันใหม่แข็งแรงขึ้น ขณะที่บริษัทขนาดเล็กอาจรับมือยากขึ้น เพราะผู้โจมตีสามารถสแกนโค้ดต่อเนื่องได้ด้วยต้นทุนต่ำ สำหรับสตาร์ทอัปที่พัฒนาวอลเล็ต สมาร์ตคอนแทรกต์ หรือผลิตภัณฑ์อื่นที่เกี่ยวข้องกับการปกป้องเงิน เขาแนะนำให้ทำ AI security review ก่อนทุกครั้งที่ปล่อยเวอร์ชันใหม่ Qureshi ยังท้าทายความเชื่อเรื่องความปลอดภัยของโอเพนซอร์ส โดยระบุว่าโค้ดสาธารณะอาจช่วยปกป้องผู้ใช้จากนักพัฒนาที่ประสงค์ร้ายได้ แต่ไม่ได้หมายความว่าจะป้องกันผู้โจมตีโดยอัตโนมัติ เพราะ AI เป็นเครื่องมือได้ทั้งสองฝั่ง มันลดต้นทุนการหาช่องโหว่ แต่ก็ช่วยให้นักพัฒนามีเครื่องมือป้องกันที่ทรงพลังขึ้นเช่นกัน พร้อมสรุปว่า "เราไม่มีทางเลือก นอกจากต้องปรับตัว"