Dragonfly 的 Qureshi：2 美元的 AI 审计本可发现 Coldcard 漏洞

Dragonfly 管理合伙人 Haseeb Qureshi 警告称，在 Coldcard 于 7 月 31 日修复一个严重的种子漏洞后，AI 驱动的漏洞发现正使网络安全越来越取决于投入成本。据报道，使用 Anthropic Claude Code 的 AI 模型在 8 分钟内重新发现了 Coldcard 比特币钱包固件中的这一漏洞，其中一次测试的成本约为 2 美元。该熵漏洞影响使用某些固件版本创建的种子，导致设备依赖确定性软件生成器，而不是预期的硬件随机源。Coinkite 于 7 月 31 日发布了紧急更新，并指示受影响的用户创建新种子并转移资金。Qureshi 的警告凸显了加密货币安全领域的一种转变：漏洞发现的速度已缩短至几分钟，这可能使拥有更大测试预算的公司相比攻击者更具优势。

AI 模型在几分钟内重现 Coldcard 漏洞

据报道，一次测试使用 Anthropic 的 Claude Code，在大约 8 分钟后发现了该漏洞。Qureshi 提醒称，这一结果可能受到了互联网访问的影响，因为互联网可能使模型接触到了有关该漏洞的现有信息。另一次测试禁用了网络访问并使用 GLM 5.2，在大约 20 分钟内重现了该漏洞。根据模型的输入和输出成本，Qureshi 估计此次审计的成本约为 2 美元。“花 2 美元进行 AI 加固就能发现这个漏洞。对此没有任何借口。”他表示。仅安装新固件并不能修复受熵漏洞影响的旧种子。

Qureshi 提议使用发现成本指标评估漏洞

Qureshi 提出了一项名为发现成本（Cost of Discovery，或 CoD）的新指标。该指标将估算一个前沿 AI 模型独立重现某个漏洞的成本。“网络安全现在完全取决于投入。”Qureshi 在 X 上写道。他表示，关键问题在于，开发者在基于 AI 的测试上的投入与潜在攻击者相比有多少。Qureshi 建议，构建钱包、智能合约或其他保护资金的产品的初创公司，应在每次发布前进行 AI 安全审查。

更大的供应商通过自动化测试预算获得优势

Qureshi 认为，更大的供应商将拥有优势，因为它们可以在自动化测试、审计和发布加固方面投入更多资金。小型公司可能难以与能够以低成本持续扫描代码的攻击者匹敌。Qureshi 还质疑了关于开源安全的一种常见假设。他表示，公开代码可以保护用户免受恶意开发者的侵害，但不会自动保护他们免受攻击者的侵害。AI 可以服务于双方，在降低漏洞发现成本的同时，为开发者提供更强大的防御工具。“我们别无选择，只能适应。”Qureshi 说。

常见问题

Coldcard 于 7 月 31 日修复了什么？
Coldcard 于 7 月 31 日修复了一个影响某些固件版本的严重种子漏洞。该熵漏洞导致部分设备依赖确定性软件生成器，而不是预期的硬件随机源。Coinkite 发布了紧急更新，并告知受影响的用户创建新种子并转移资金。

AI 审计花费了多少钱才发现 Coldcard 漏洞？
Haseeb Qureshi 根据模型的输入和输出成本估计，AI 审计的成本约为 2 美元。据报道，一次使用 Anthropic Claude Code 进行的测试在约 8 分钟内发现了该漏洞，而另一次在无网络访问条件下使用 GLM 5.2 进行的测试在大约 20 分钟内重现了该漏洞。

Qureshi 提出的发现成本指标是什么？
Qureshi 提出将发现成本（Cost of Discovery，CoD）作为一项指标，用于估算一个前沿 AI 模型独立重现某个漏洞的成本。他认为，网络安全如今取决于开发者相对于潜在攻击者在基于 AI 的测试上投入多少，并建议构建保护资金的产品的公司在每次发布前进行 AI 安全审查。