Bitcoin Core, l'implementazione di riferimento del protocollo Bitcoin, ha approvato una revisione della propria politica di divulgazione delle vulnerabilità: i bug abbastanza semplici da individuare con il minimo sforzo verranno ora corretti e divulgati immediatamente, saltando il periodo di embargo che normalmente separa una correzione dalla divulgazione pubblica.

Cosa è cambiato nelle regole di divulgazione

Lo sviluppatore Antoine Poinsot ha annunciato la revisione il 22 ottobre 2026, in una discussione sulla Bitcoin Development Mailing List. L'aggiornamento introduce una nuova categoria di vulnerabilità etichettata "facilmente individuabile", che copre le vulnerabilità identificabili con poco sforzo. L'esempio principale è tutto ciò che emerge da semplici prompt rivolti a modelli linguistici di grandi dimensioni (LLM), la tecnologia alla base dei moderni chatbot basati sull'IA.

I bug che rientrano in questa categoria ricevono un trattamento diverso da tutti gli altri: le correzioni verranno retroportate immediatamente su ogni versione principale attivamente supportata di Bitcoin Core, e un avviso di sicurezza verrà pubblicato contemporaneamente.

Il resto della politica resta invariato. Le vulnerabilità a bassa gravità vengono ancora divultate due settimane dopo una versione principale. Le vulnerabilità a gravità media e alta continuano ad attendere fino a due settimane dopo che l'ultima versione interessata raggiunge la fine del ciclo di vita — una finestra che si traduce tipicamente in circa un anno dopo la correzione. Le vulnerabilità critiche restano completamente al di fuori del nuovo quadro e continueranno a essere gestite caso per caso.

Questi periodi di attesa sono una consuetudine della divulgazione coordinata delle vulnerabilità nell'industria del software: prima viene rilasciata la correzione, e i dettagli pubblici seguono una volta che gli utenti hanno avuto il tempo di aggiornarsi, limitando quanto ampiamente una vulnerabilità diventa nota prima che le patch siano a posto.

Perché l'IA ha reso necessaria la modifica

La modifica risponde a un aumento delle segnalazioni di vulnerabilità legato alla crescente diffusione degli strumenti di IA, che hanno reso alcuni tipi di problemi più facili da scoprire e più facili da riprodurre.

Il team di Bitcoin Core ha riconosciuto i compromessi coinvolti. Da un lato c'è la trasparenza; dall'altro l'urgenza di spingere gli utenti ad aggiornarsi. Per le vulnerabilità facili da ritrovare, il team ha concluso che embarghiungati non offrivano un beneficio significativo.

La motivazione deriva dalla tecnologia stessa: un embargo offre protezione solo finché una vulnerabilità resta difficile da trovare, e un bug che un chatbot può far emergere da un semplice prompt è uno che può essere ritrovato in qualsiasi momento.

Due dettagli spiccano. Primo, nessuna vulnerabilità è stata ancora collocata nella nuova categoria, quindi la politica non è stata effettivamente applicata a un bug reale. Secondo, la categoria non è limitata ai problemi scoperti dall'IA: la definizione dipende da quanto è facile trovare una vulnerabilità, non dallo strumento che l'ha trovata.

Cosa significa per gli operatori di nodi

L'effetto più diretto ricade su chi gestisce nodi Bitcoin Core. Quando viene trovato un bug facilmente individuabile, potrebbero vedere arrivare insieme una patch e un avviso, senza periodo di grazia prima che i dettagli diventino pubblici. Ciò collassa il divario tra la disponibilità di una correzione e la diffusione della conoscenza della vulnerabilità ad essa collegata.

L'impegno di retroportazione conta qui. Poiché le correzioni arrivano su tutte le versioni principali attivamente supportate, gli operatori che non sono sull'ultima versione ricevono comunque una patch senza dover passare a una nuova versione principale.

Le domande aperte sono di natura pratica. Come deciderà il team cosa conta come "facilmente individuabile", e con quale coerenza verrà tracciata quella linea una volta che inizieranno ad arrivare segnalazioni reali? Il primo bug collocato nella categoria offrirà la risposta più chiara.