Coinkite披露固件漏洞，AI审查仍存安全盲区
人工智能正在进入软件开发流程，但在安全关键领域，AI并没有成为万能检测器。
近日，Bitcoin News 在 X 平台披露，硬件钱包厂商 Coinkite 表示，其此前发现的一项漏洞并非来自比特币代码或加密算法实现，而是隐藏在两个没有关联的固件子模块边界之间。由于问题位于系统组件交互层面，这一缺陷长期绕过了人工代码审查以及AI辅助审查。
这类漏洞的危险之处在于，它并不一定存在于最显眼的位置。
在加密行业，开发者通常会重点检查密码学逻辑、私钥管理、签名流程等核心模块。但现代软件系统越来越复杂，大量功能依赖不同组件拼接运行，模块之间的接口、构建流程以及依赖关系，反而可能成为攻击者寻找突破口的位置。
Coinkite表示，在事件发生后，公司测试了包括 Kimi K3、Claude Fable 和 Codex 5.6 在内的多款前沿AI模型，希望验证当前人工智能工具是否能够发现类似问题。但结果显示，这些模型均未识别出该缺陷。
这一结果再次暴露了AI代码审查能力的边界。
过去几年，AI编程助手快速普及，从代码生成、漏洞扫描到自动化测试，越来越多开发团队开始依赖人工智能提升效率。对于普通应用开发而言，这种方式能够明显降低重复劳动成本。
但安全关键系统的情况完全不同。
比特币生态中的硬件钱包、节点软件以及底层基础设施，涉及资产安全，一处隐藏较深的逻辑错误可能导致严重后果。AI模型虽然能够分析大量代码，但它们仍然依赖已有模式和上下文理解能力，对于复杂的软件架构关系、构建环境以及跨模块交互问题，仍可能存在盲区。
Coinkite此次提醒安全关键型项目，应重点审计 build 系统和子模块边界。
这一建议其实触及了软件安全领域长期存在的问题。随着项目规模扩大，开发团队往往越来越关注业务代码，却容易忽视构建流程、依赖管理和组件连接方式。而攻击者并不一定会直接攻击核心代码，有时外围环节反而更容易成为入口。
类似问题已经在传统软件行业出现过。
近年来，多起供应链攻击事件都不是通过修改核心程序实现，而是利用第三方依赖、开发工具链或者更新流程植入风险。这说明现代软件安全已经从“检查代码有没有错误”，转向“检查整个生产流程是否可信”。
对于比特币生态而言，这种风险更加特殊。
比特币强调去中心化和自主验证，但围绕它构建的钱包、交易工具和基础设施，依然依赖大量复杂软件。随着生态规模扩大，安全挑战也从单纯的密码学问题，扩展到工程管理和软件供应链问题。
AI辅助开发无疑会继续普及，但此次事件提醒行业，人工智能更适合作为安全团队的辅助工具，而不是最终防线。
未来，随着更多项目引入AI生成代码、自动测试和智能审计，如何让AI参与开发流程，同时避免产生新的安全盲区，将成为整个区块链行业需要面对的问题。对于掌握用户资产的软件来说，速度和效率固然重要，但底层可靠性始终是第一标准。
