Bitcoin Core hat seine Sicherheitsrichtlinie aktualisiert, um mit Schwachstellen umzugehen, die „leicht auffindbar“ sind, und verwies dabei auf eine Zunahme von Fehlermeldungen, deren Entdeckung durch große Sprachmodelle (LLMs) „die Hürde drastisch gesenkt“ hat. Bei solchen Schwachstellen wird das Projekt künftig einen Fix auf alle gepflegten Versionen zurückportieren und so schnell wie möglich eine neue Version veröffentlichen – begleitet von einem Sicherheitsadvisory –, anstatt das Problem unter ein langes Embargo zu stellen, da ein stiller Patch „wenig bewirken würde“, wenn eine KI-Analyse ihn ohnehin aufdecken kann.

Die Aktualisierung der Richtlinie wurde am Donnerstag zusammengeführt, nachdem Chaincode-Labs-Entwickler Antoine Poinsot sie Anfang des Monats in einem Pull Request im bitcoincore.org-Repository eingereicht hatte, mit Verweis auf eine Häufung von Berichten über Fehler, die „leicht (wieder-)entdeckt“ werden können. Der Grund, so Poinsot, sei, dass große Sprachmodelle „die Hürde drastisch gesenkt“ haben, bestimmte Klassen von Problemen zu finden – oder einen still ausgelieferten Fix im Code zu erkennen. Im Kern erkennt die Änderung an, dass KI einige Schwachstellen so leicht auffindbar gemacht hat, dass Geheimhaltung keinen Sinn mehr ergibt.

Die Änderung richtet sich gegen eine Spannung im Zentrum jeder Disclosure-Richtlinie. Bitcoin Core, die Software-Implementierung, die den Großteil der Knoten des Bitcoin-Netzwerks betreibt, hat lange ein langes Embargo bevorzugt – die Open-Source-Konvention, Schwachstellenmeldungen privat zu halten, bis ein Fix bereitsteht –, wobei Sicherheitsfixes still gehalten und oft bis zur nächsten Hauptversion zurückgehalten wurden. Dieser vorsichtige Ansatz spiegelt die berühmt langsame Upgrade-Kultur von Bitcoin wider, in der es eigene Risiken birgt, Node-Betreiber zur Aktualisierung zu drängen. Doch die Entwickler kamen zu dem Schluss, dass bei Fehlern, die ein Angreifer mit einem einzigen KI-Prompt aufdecken kann, ein langes Embargo „wenig bewirkt, sondern nur die Verfügbarkeit eines behobenen Releases verzögert“. Ein früher verfügbarer Fix verkürzt die Zeit, in der eine bekannte Schwachstelle auf den Knoten des Netzwerks ausnutzbar bleibt.

Nach der neuen Richtlinie kann Bitcoin Core eine gemeldete Schwachstelle als „easily discoverable“ kennzeichnen – ein Label, das für Probleme vorg ist, die sich durch eine einfache LLM-Abfrage finden lassen. In diesen Fällen wird das Projekt einen Fix auf jede gepflegte Version zurückportieren und so schnell wie möglich eine neue Version erstellen, wobei Details in einem Sicherheitsadvisory – einer öffentlichen Beschreibung der Schwachstelle und ihres Fixes – zusammen mit der gepatchten Software veröffentlicht werden, anstatt die Änderung zurückzuhalten. Die Logik, wie Poinsot in der Diskussion ausführte, sei, dass ein verdecktes Patchen eines solchen Fehlers „wenig bewirken würde“, da eine triviale KI-Analyse ihn finden kann und ein aggressiver Backport den Fix ohnehin verrät.

Der Schritt zeigt, wie stark KI die Sicherheitslandschaft rund um Bitcoin verändert hat. Im Sommer begann ein freiwilliges „Bitcoin Red Team“, KI-auffindbare Schwachstellen zu finden, bevor Angreifer es tun. Anfang August verzeichnete ein KI-gestütztes Audit fast 5.000 Feststellungen über Hunderte Krypto-Projekte hinweg, und Entwickler haben eilig KI-aufgedeckte Fehler in Lightning-Implementierungen und Hardware-Wallets gepatcht. Eine Bitcoin-Bridge wurde sogar eingestellt, nachdem man zu dem Schluss kam, dass KI Fehler schneller fand, als sie behoben werden konnten. Künftig wird sich in den Sicherheitsadvisories des Projekts zeigen, wie oft das Label „easily discoverable“ vergeben wird – und wie schnell die entsprechenden behobenen Releases folgen.