Bitcoin Core, die primäre Referenzimplementierung des Bitcoin-Protokolls – die Software, die Node-Betreiber ausführen, um Transaktionen und Blöcke im Netzwerk unabhängig zu verifizieren – überarbeitet seinen Umgang mit Sicherheitsschwachstellen und erklärt, dass große Sprachmodelle (LLMs) bestimmte Klassen von Softwarefehlern erheblich leichter auffindbar gemacht haben.

In einer am Donnerstag an die Bitcoin-Entwicklungsmailingliste gesendeten E-Mail erklärte der Bitcoin-Core-Entwickler Antoine Poinsot, dass Schwachstellen in der Vergangenheit in der Regel unter langen Embargofristen zur Offenlegung gehalten wurden, um Nutzern Zeit zu geben, ihre Nodes zu aktualisieren, bevor technische Details öffentlich wurden. Die Aufrechterhaltung dieser Geheimhaltung bedeutete in der Regel, dass Korrekturen nicht auf ältere, weiterhin gepflegte Versionen der Software zurückportiert werden konnten – eine Praxis, bei der Patches auf früher unterstützte Releases angewendet werden und nicht nur auf den neuesten Code –, sodass Nutzer dieser Versionen auf das nächste große Release warten mussten.

Poinsot sagte jedoch, LLMs hätten einige Fehler so leicht wieder auffindbar gemacht, dass das Hinauszögern von Korrekturen kaum noch Schutz biete.

"Die Embargofrist bringt kaum etwas, verzögert aber die Verfügbarkeit eines korrigierten Releases", sagte er. "Wir aktualisieren daher unsere Offenlegungsrichtlinie, um dies zu berücksichtigen."

Die Richtlinienänderung erfolgt, da KI-gestützte Sicherheitsforschung die Entwickler im gesamten Software-Ökosystem von Bitcoin zunehmend unter Druck setzt.

Nach der aktualisierten Richtlinie werden als "leicht auffindbar" eingestufte Schwachstellen so schnell wie möglich über alle gepflegten Hauptversionen hinweg behoben, wobei Sicherheitshinweise gemeinsam mit den Updates veröffentlicht werden. "Diese Einstufung gilt für Schwachstellen, die mit minimalem Aufwand entdeckt werden können, beispielsweise durch einen einfachen LLM-Prompt", hieß es in der Ankündigung. Für Betreiber bedeutet dies in der Praxis, dass Patches für solche Fehler nun direkt ältere, gepflegte Versionen erreichen können, während die begleitenden Hinweise einen öffentlichen Nachweis jeder Korrektur liefern.

Alle anderen Schwachstellen folgen weiterhin Offenlegungszeitplänen basierend auf dem Schweregrad – von kritischen Fehlern, die die grundlegende Sicherheit von Bitcoin bedrohen, bis hin zu gering riskanten Fehlern mit begrenzten Auswirkungen auf einzelne Nodes. Bitcoin Core teilte mit, dass Schwachstellen mit niedrigem Schweregrad zwei Wochen nach der Veröffentlichung einer Hauptversion mit der Korrektur offengelegt werden, während Schwachstellen mittleren und hohen Schweregrads zwei Wochen nach dem "End of Life" des letzten betroffenen Releases offengelegt werden – in der Regel ein Jahr nach der Veröffentlichung der Korrektur in der neuen Hauptversion.

"Kritische Fehler sind in der Standardrichtlinie nicht berücksichtigt, da sie höchstwahrscheinlich ein Ad-hoc-Verfahren erfordern würden", hieß es.

"Ich habe Antoines Ansatz zur Sicherheit in der Vergangenheit nicht immer geteilt, aber dies ist ein gutes Update", sagte Luke de Wolf, Moderator der Bitcoin Infinity Show und Autor von "Defending Bitcoin".

Die Änderung folgt auf eine Phase intensiverer KI-gestützter Sicherheitsaktivitäten im Bitcoin-Ökosystem. Im August meldete das freiwillige Bitcoin Red Team nahezu 5.000 potenzielle Probleme in 390 Projekten, wobei zu diesem Zeitpunkt nur etwa ein Fünftel der Funde reproduziert worden war. Im selben Monat forderten die Core-Lightning-Entwickler Node-Betreiber auf, ihre Nodes zu aktualisieren oder offline zu nehmen, nachdem sie mehrere KI-generierte Schwachstellenberichte erhalten hatten, und hielten technische Details zwei Wochen lang zurück. Node-Betreiber können die Umsetzung der neuen Zeitpläne über die Sicherheitshinweis-Seite von Bitcoin Core und die laufende Diskussion auf der Entwicklungsmailingliste verfolgen.