Bitcoin Core, l'implémentation de référence du protocole Bitcoin — le logiciel que les opérateurs de nœuds exécutent pour vérifier de manière indépendante les transactions et les blocs du réseau — remanie en profondeur sa gestion des vulnérabilités de sécurité, expliquant que les grands modèles de langage (LLM) ont rendu certaines catégories de failles logicielles nettement plus faciles à découvrir.

Dans un courriel envoyé jeudi à la liste de diffusion Bitcoin Development, le développeur de Bitcoin Core Antoine Poinsot a indiqué que, par le passé, les vulnérabilités étaient généralement maintenues sous de longs embargos de divulgation afin de laisser aux utilisateurs le temps de mettre à jour leurs nœuds avant que les détails techniques ne soient rendus publics. Le maintien de ce secret signifiait généralement que les correctifs ne pouvaient pas être rétroportés vers les versions antérieures encore maintenues du logiciel — une pratique consistant à appliquer les correctifs aux versions antérieures prises en charge plutôt qu'au seul dernier code — laissant les utilisateurs de ces versions attendre la prochaine version majeure.

Poinsot a toutefois souligné que les LLM ont rendu certaines failles si faciles à redécouvrir que retarder les correctifs n'offre quasiment aucune protection.

« La période d'embargo n'apporte que peu de choses, mais elle retarde la disponibilité d'une version corrigée », a-t-il déclaré. « Nous mettons donc à jour notre politique de divulgation pour tenir compte de ces cas. »

Ce changement de politique intervient alors que la recherche en sécurité assistée par l'IA exerce une pression croissante sur les développeurs de tout l'écosystème logiciel de Bitcoin.

Selon la politique actualisée, les vulnérabilités jugées « facilement détectables » bénéficieront de correctifs dès que possible sur toutes les versions majeures maintenues, avec la publication d'avis de sécurité accompagnant les mises à jour. « Cette classification s'applique aux vulnérabilités pouvant être découvertes avec un minimum d'effort, par exemple via une simple requête à un LLM », précise l'annonce. Pour les opérateurs, l'effet pratique est que les correctifs de ces failles peuvent désormais atteindre directement les versions antérieures maintenues, les avis associés constituant un registre public de chaque correction.

Toutes les autres vulnérabilités continueront de suivre des calendriers de divulgation fondés sur la gravité, allant des failles critiques menaçant la sécurité fondamentale de Bitcoin aux bugs moins risqués n'ayant qu'un impact limité sur les nœuds individuels. Bitcoin Core a indiqué que les vulnérabilités de faible gravité seront divulguées deux semaines après la publication de la version majeure contenant le correctif, tandis que les vulnérabilités de gravité moyenne et élevée seront divulguées deux semaines après que la dernière version affectée aura atteint sa « fin de vie », généralement un an après la publication du correctif dans la nouvelle version majeure.

« Les bugs critiques ne sont pas couverts par la politique standard, car ils nécessiteraient trèsment une procédure ad hoc », précise l'annonce.

« J'ai déjà été en désaccord avec l'approche d'Antoine en matière de sécurité, mais c'est une bonne mise à jour », a déclaré Luke de Wolf, animateur du Bitcoin Infinity Show et auteur de « Defending Bitcoin ».

Ce changement fait suite à une période d'intensification de l'activité de sécurité pilotée par l'IA dans l'écosystème Bitcoin. En août, la Bitcoin Red Team, composée de bénévoles, a signalé près de 5 000 problèmes potentiels dans 390 projets, bien qu'environ un cinquième seulement de ses découvertes ait été reproduit à ce moment-là. Ce même mois, les développeurs de Core Lightning ont exhorté les opérateurs de nœuds à mettre à jour leur logiciel ou à mettre leurs nœuds hors ligne après avoir reçu plusieurs rapports de vulnérabilités générés par IA, en retenant les détails techniques pendant deux semaines. Les opérateurs de nœuds peuvent suivre l'application des nouveaux délais via la page des avis de sécurité de Bitcoin Core et les discussions en cours sur la liste de diffusion de développement.