Bitcoin Core, la implementación de referencia principal del protocolo de Bitcoin —el software que los operadores de nodos ejecutan para verificar de forma independiente las transacciones y los bloques de la red— está renovando su forma de manejar las vulnerabilidades de seguridad, explicando que los modelos de lenguaje de gran escala (LLM) han hecho que ciertos tipos de fallas de software sean considerablemente más fáciles de descubrir.

En un correo enviado el jueves a la lista de correo de desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot dijo que, en el pasado, las vulnerabilidades generalmente se mantenían bajo largos embargos de divulgación para dar a los usuarios tiempo de actualizar sus nodos antes de que los detalles técnicos se hicieran públicos. Mantener ese secretismo generalmente significaba que las correcciones no podían adaptarse a versiones anteriores del software que seguían siendo mantenidas —una práctica que aplica parches a versiones anteriores aún compatibles, y no solo al código más reciente—, dejando a los usuarios de esas versiones esperando hasta el próximo lanzamiento principal.

Sin embargo, Poinsot dijo que los LLM han hecho que algunas fallas sean tan fáciles de redescubrir que retrasar las correcciones ofrece poca protección.

"El período de embargo logra poco, pero retrasa la disponibilidad de una versión corregida", dijo. "Por lo tanto, estamos actualizando nuestra política de divulgación para adaptarnos a esos casos".

El cambio de política llega en un momento en que la investigación de seguridad asistida por IA ejerce una presión creciente sobre los desarrolladores de todo el ecosistema de software de Bitcoin.

Según la política actualizada, las vulnerabilidades consideradas "fácilmente detectables" recibirán correcciones lo antes posible en todas las versiones principales mantenidas, con avisos de seguridad publicados junto con las actualizaciones. "Esta clasificación se aplica a vulnerabilidades que pueden descubrirse con un esfuerzo mínimo, como mediante un simple prompt de LLM", indicó el anuncio. Para los operadores, el efecto práctico es que los parches para estas fallas ahora pueden llegar directamente a las versiones anteriores mantenidas, y los avisos correspondientes proporcionan un registro público de cada corrección.

Todas las demás vulnerabilidades seguirán sujetas a plazos de divulgación basados en la gravedad, que van desde fallas críticas que amenazan la seguridad fundamental de Bitcoin hasta errores de menor riesgo con impacto limitado en nodos individuales. Bitcoin Core indicó que las vulnerabilidades de gravedad baja se divulgarán dos semanas después del lanzamiento de la versión principal que contenga la corrección, mientras que las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después de que la última versión afectada llegue a su "fin de vida útil", típicamente un año después de que la corrección se publique en la nueva versión principal.

"Los errores críticos no se contemplan en la política estándar, ya que lo más probable es que requieran un procedimiento ad hoc", señaló el anuncio.

"He estado en desacuerdo con el enfoque de Antoine sobre la seguridad en el pasado, pero esta es una buena actualización", dijo Luke de Wolf, anfitrión del Bitcoin Infinity Show y autor de "Defending Bitcoin".

El cambio se produce tras un período de intensa actividad de seguridad impulsada por la IA en el ecosistema de Bitcoin. En agosto, el equipo voluntario Bitcoin Red Team reportó casi 5,000 posibles problemas en 390 proyectos, aunque solo alrededor de una quinta parte de sus hallazgos se había reproducido en ese momento. Ese mismo mes, los desarrolladores de Core Lightning instaron a los operadores de nodos a actualizar o desconectar sus nodos después de recibir múltiples reportes de vulnerabilidades generados por IA, reteniendo los detalles técnicos durante dos semanas. Los operadores de nodos pueden seguir la evolución de los nuevos plazos a través de la página de avisos de seguridad de Bitcoin Core y la discusión en curso en la lista de correo de desarrollo.