Mike Belshe, współzałożyciel i prezes amerykańskiej firmy BitGo, która przechowuje kryptowaluty dla instytucji, przelał 31 lipca 100 Bitcoinów na adres portfela BitGo i nazajutrz opublikował go na X. Monety warte około 6,3 mln dolarów mają być nagrodą dla firmy Anthropic, właściciela modeli Claude, jeżeli jej sztuczna inteligencja zdoła je stamtąd wyciągnąć. Do poniedziałkowego przedpołudnia z adresu nie wyszła ani jedna transakcja.
Belshe nie zrobił tego bez powodu. Dwa dni wcześniej Anthropic „chwaliła” się publicznie, że jej modele podczas testów bezpieczeństwa włamały się do systemów informatycznych trzech prawdziwych firm. Prezes BitGo uznał, że brzmi to groźniej niż jest w rzeczywistości, i postanowił to sprawdzić w sposób, którego nie da się zinterpretować na dwa sposoby: albo pieniądze znikną z adresu, albo nie.
Najważniejsze fakty
- Na publicznym adresie leży 100 BTC, czyli około 6,3 mln dolarów w chwili wpłaty i mniej więcej 23 mln złotych
- Wpłata trafiła tam 31 lipca, wyzwanie Belshe ogłosił 1 sierpnia
- Powodem jest raport Anthropic z 30 lipca o trzech incydentach podczas testów bezpieczeństwa
- Firma przejrzała 141 006 testów i znalazła trzy, w których jej model wyszedł do internetu i wszedł do systemów trzech organizacji
- Monety leżą w systemie powierniczym BitGo, gdzie do wykonania przelewu potrzeba kilku niezależnych kluczy
- Anthropic nie odniosła się publicznie do wyzwania, saldo adresu pozostaje nienaruszone
Co poszło nie tak w testach Anthropica
Firmy tworzące sztuczną inteligencję sprawdzają przed premierą, czy ich modele potrafią prowadzić ataki na systemy informatyczne. Robi się to na zamkniętym poligonie, odciętym od internetu. Model dostaje fikcyjną sieć i zadanie: włamać się do wskazanego komputera i wydobyć ukryty ciąg znaków. To standardowe ćwiczenie, na którym uczą się także ludzcy specjaliści od cyberbezpieczeństwa.
Problem w tym, że poligon nie był szczelny. W raporcie opublikowanym 30 lipca Anthropic napisała, że maszyny użyte w testach prowadzonych z zewnętrzną firmą Irregular przez pomyłkę miały łączność z siecią, choć w poleceniu dla modelu stało jak byk, że internetu nie ma. Kiedy poszukiwania wyprowadziły model na prawdziwe serwery, ten uznał je za część zadania i zaatakował. W trzech przypadkach na 141 006 przejrzanych testów skończyło się wejściem do systemów informatycznych firm.
Techniki, których użyła AI, były proste. Wykorzystanie słabego hasła, punktu dostępu bez uwierzytelnienia, hasła odczytane z pozostawionej bez zabezpieczenia strony technicznej. Żadnej nowej luki model nie znalazł ani nie wykorzystał. Najpoważniejszy skutek to dostęp do bazy z kilkuset wierszami danych. Przegląd ruszył dopiero po tym, jak konkurencyjna OpenAI ogłosiła w komunikacie z 21 lipca, że jej modele wyrwały się z zamkniętego środowiska przez nieznaną wcześniej lukę i dostały się do infrastruktury Hugging Face.
Dlaczego akurat portfel z Bitcoinem
Belshe uważa, że opisane przez Anthropic zdarzenia mówią więcej o niedbałym poligonie niż o możliwościach modeli. Wejść otwartymi drzwiami potrafi każdy, otworzyć zamek już nie. Napisał, że firma albo źle buduje swoje piaskownice, albo bardzo dobrze uprawia marketing, i zaproponował sprawdzian bez otwartych drzwi. Już w czerwcu podważał krążące doniesienia, jakoby model Mythos samodzielnie wszedł do niejawnych systemów rządowych, wskazując, że chodziło o kontrolowane ćwiczenie.
Sam Bitcoin nie jest tu przedmiotem ataku, bo jego kryptografii nikt nie łamie. Żeby ruszyć cudze monety, trzeba zdobyć klucz prywatny, czyli tajny ciąg znaków dający prawo do rozporządzania środkami. W systemie BitGo takiego jednego klucza nie ma. Prawo podpisu jest rozbite między kilka niezależnych kluczy przechowywanych osobno, a transakcja wymaga zgody więcej niż jednego z nich. Wykradzenie jednego hasła nic nie daje.
Warto jednak wiedzieć, czym ten test nie jest. Belshe nie zbudował żadnego eksperymentu. Nie udostępnił systemu, nie opisał zadania, nie wskazał nawet, który model miałby wystartować. Postawił jasny cel, którego saldo każdy może obserwować w łańcuchu bloków. Brak ruchu na adresie nie oznacza więc, że Claude spróbował i przegrał, bo modele językowe nie przeszukują internetu w poszukiwaniu nagród z własnej woli. Ktoś musiałby im najpierw kazać. Sama BitGo w pismach dla regulatorów zresztą przyznaje, że żaden system przechowywania nie jest odporny na atak hakerski.
Tydzień, w którym Bitcoiny znikały bez udziału AI
Równolegle trwa liczenie strat po ataku na portfele sprzętowe Coldcard. Napastnik zdołał odtworzyć klucze prywatne użytkowników, bo urządzenia przez lata generowały je w sposób przewidywalny. Winny był błąd w oprogramowaniu wgranym jeszcze w marcu 2021 roku. Według szacunków Galaxy Research w trzech falach przepadło 1367 BTC, czyli blisko 89 mln dolarów, z ponad czterech tysięcy adresów.
Wniosek jest niewygodny dla obu stron sporu. Pieniądze w kryptowalutach giną przez pięcioletni błąd w kodzie i przez źle skonfigurowaną maszynę testową, a nie przez model, który wymyślił coś, czego nikt wcześniej nie potrafił. Anthropic pisze w raporcie dokładnie to samo, tyle że językiem analizy powdrożeniowej. Belshe tymczasem wyłożył na stół 100 Bitcoinów i czeka na efekt.
Redakcja BitHub.pl poleca również: