Bitcoin Core, l'implémentation de référence du protocole Bitcoin, a approuvé une révision de sa politique de divulgation des vulnérabilités : les bugs suffisamment simples pour être trouvés avec un minimum d'effort seront désormais corrigés et divulgués immédiatement, sans passer par la période d'embargo qui sépare habituellement un correctif de sa divulgation publique.

Ce qui a changé dans les règles de divulgation

Le développeur Antoine Poinsot a annoncé la révision le 22 octobre 2026, dans une discussion sur la liste de diffusion Bitcoin Development Mailing List. La mise à jour introduit une nouvelle catégorie de vulnérabilités étiquetée « facilement détectable » (easily discoverable), couvrant les failles qui peuvent être identifiées avec peu d'effort. L'exemple emblématique est tout ce qui découle de simples requêtes adressées aux grands modèles de langage (LLM), la technologie derrière les chatbots IA modernes.

Les bugs relevant de cette catégorie bénéficient d'un traitement différent du reste : les correctifs seront immédiatement rétroportés vers chaque version majeure activement prise en charge de Bitcoin Core, et un avis de sécurité sera publié en même temps.

Le reste de la politique reste en vigueur. Les vulnérabilités de faible gravité sont toujours divulguées deux semaines après une version majeure. Les vulnérabilités de gravité moyenne et élevée continuent d'attendre deux semaines après la fin de vie de la dernière version concernée — un délai qui correspond généralement à environ un an après le correctif. Les vulnérabilités critiques restent entièrement hors du nouveau cadre et continueront d'être traitées au cas par cas.

Ces délais d'attente sont une pratique établie de la divulgation coordonnée des vulnérabilités dans l'industrie du logiciel : un correctif est publié d'abord, et les détails publics suivent une fois que les utilisateurs ont eu le temps de se mettre à jour, limitant ainsi la notoriété de la faille avant que les correctifs ne soient en place.

Pourquoi l'IA a forcé la question

Ce changement répond à une hausse des rapports de vulnérabilités liée à l'utilisation croissante des outils d'IA, qui ont rendu certains types de problèmes plus faciles à découvrir et à reproduire.

L'équipe de Bitcoin Core a reconnu les compromis en jeu. D'un côté, la transparence ; de l'autre, l'urgence d'amener les utilisateurs à se mettre à jour. Pour les failles faciles à retrouver, l'équipe a conclu que les embargos prolongés n'apportaient aucun bénéfice significatif.

La logique découle de la technologie elle-même : un embargo ne procure une protection que tant qu'une faille reste difficile à trouver, et un bug qu'un chatbot peut mettre en évidence à partir d'une simple requête peut être retrouvé à tout moment.

Deux détails ressortent. Premièrement, aucune vulnérabilité n'a encore été placée dans la nouvelle catégorie, de sorte que la politique n'a pas réellement été appliquée à un vrai bug. Deuxièmement, la catégorie n'est pas limitée aux problèmes découverts par l'IA : la définition dépend de la facilité à trouver une faille, et non de l'outil qui l'a trouvée.

Ce que cela signifie pour les opérateurs de nœuds

L'effet le plus direct concerne les personnes qui exploitent des nœuds Bitcoin Core. Lorsqu'un bug facilement détectable est trouvé, elles peuvent voir un correctif et un avis arriver ensemble, sans période de grâce avant que les détails ne soient publics. Cela réduit à né l'écart entre la disponibilité d'un correctif et la divulgation de la faille qui le sous-tend.

L'engagement de rétroportage compte ici. Comme les correctifs sont appliqués à toutes les versions majeures activement prises en charge, les opérateurs qui ne sont pas sur la dernière version reçoivent tout de même un correctif sans avoir à passer à une nouvelle version majeure.

Les questions ouvertes sont d'ordre pratique. Comment l'équipe décidera-t-elle de ce qui compte comme « facilement détectable », et avec quelle constance cette ligne sera-t-elle tracée une fois que les premiers rapports réels arriveront ? Le premier bug placé dans la catégorie apportera la réponse la plus claire.