Bitcoin Core ha rivisto la sua politica di divulgazione della sicurezza per accelerare le correzioni delle vulnerabilità che i modelli linguistici di grandi dimensioni possono individuare con il minimo sforzo, eliminando gli embarghi di mesi che tali bug comportavano un tempo.

I manterratori hanno integrato la modifica nella politica di sicurezza del progetto giovedì. Lo sviluppatore di Chaincode Labs Antoine Poinsot, autore della proposta, l'ha annunciata lo stesso giorno in un messaggio alla Bitcoin Development Mailing List.

"Abbiamo recentemente registrato un aumento del numero di segnalazioni di vulnerabilità di sicurezza che possono essere facilmente (ri)individuate", ha scritto Poinsot. "Questo è in gran parte dovuto al fatto che gli LLM hanno ridotto drasticamente la barriera per trovare determinate classi di problemi o identificare correzioni coperte."

La revisione rende l'individuabilità, e non solo la gravità, un fattore nella velocità con cui il software che esegue la maggior parte dei nodi Bitcoin riceve una correzione pubblica.

Come funzionava la politica in precedenza

Nel quadro precedente, Bitcoin Core — il software che gira sulla maggior parte dei nodi della rete Bitcoin — classificava ogni vulnerabilità segnalata in base alla gravità e calibrava la divulgazione di conseguenza. Le vulnerabilità a bassa gravità venivano rese pubbliche due settimane dopo il rilascio della successiva versione major. I problemi di gravità media e alta restavano sotto embargo fino a due settimane dopo che l'ultima versione interessata avesse raggiunto la fine del ciclo di vita, un periodo che poteva estendersi fino a un anno.

I lunghi tempi erano pensati per dare agli operatori dei nodi, molti dei quali effettuano gli aggiornamenti con lentamente, il tempo di migrare al software corretto prima che i dettagli diventassero pubblici. In pratica, questo approccio significava che le correzioni non venivano rilasciate per le versioni precedenti mantenute ed arrivavano solo con la successiva versione major.

Poinsot ha sostenuto che questo compromesso fallisce per i bug facili da riscoprire. "Il periodo di embargo ottiene poco ma ritarda la disponibilità di una versione corretta", recita la politica.

Cosa cambia

Durante la triage, Bitcoin Core può ora contrassegnare una vulnerabilità come "facilmente individuabile", una categoria che la politica definisce come problemi trovabili "con il minimo sforzo, ad esempio attraverso un semplice prompt LLM". L'etichetta è applicabile anche a vulnerabilità trovate con altri mezzi.

Per questi problemi, il progetto eseguirà il backport della correzione su ogni versione major mantenuta, preparerà rilasci puntuali il più presto possibile e pubblicherà un avviso di sicurezza con alcuni dettagli contemporaneamente al software corretto. Poinsot ha rosciuto che tali correzioni avranno meno tempo di test prima di raggiungere gli utenti. Per gli operatori su versioni precedenti mantenute, ciò significa che le patch ora arrivano come rilasci puntuali anziché attendere la successiva versione major, con i dettagli pubblicati nel momento in cui la correzione viene rilasciata.

Le vulnerabilità al di fuori di questa categoria mantengono il programma esistente basato sulla gravità. I bug critici — quelli che potrebbero consentire il furto di monete a livello di protocollo, gonfiare l'offerta o causare una divisione permanente della catena — restano esclusi dalla politica standard e saranno gestiti caso per caso.

Lo sviluppatore Antoine Riard ha spinto per un'opzione che consenta di rilasciare una correzione senza un avviso e di trattenere i dettagli caso per caso. Poinsot ha rifiutato, scrivendo che avvisare gli utenti senza dettagli "potrebbe creare inutilmente più rischi", spingendo a una migrazione frettolosa tra utenti che diversamente non sarebbero stati coinvolti.

Un'estate di segnalazioni guidate dall'IA

Il cambio di politica fa seguito a mesi di pressione accentuata sui progetti open source di Bitcoin. Alla fine di luglio, un gruppo di volontari composto da 16 sviluppatori noto come Bitcoin Red Team ha eseguito modelli di IA su 390 repository bitcoin in circa un giorno, registrando 4.962 segnalazioni, di cui 85 valutate critiche.

Nel giro di pochi giorni, una vulnerabilità di BTCPay Server segnalata privatamente dal gruppo è stata sfruttata su server commerciali attivi, svuotando i nodi Lightning. Ad agosto, gli sviluppatori di Core Lightning hanno chiesto agli operatori di aggiornare o disconnettersi dopo che le segnalazioni generate dall'IA al progetto si erano rivelate accurate.

L'iniziativa del Red Team è seguita a un exploit del portafoglio hardware Coldcard in cui gli aggressori hanno svuotato 594 BTC in 25 minuti il 30 luglio. Le perdite across quattro azioni hanno sfiorato i 114 milioni di dollari.

La frequenza con cui verrà applicata l'etichetta "facilmente individuabile" — e la rapidità con cui seguiranno le correzioni — sarà visibile negli avvisi e nei rilasci puntuali di Bitcoin Core in futuro.

Fonte: Bitcoin Magazine | Scritto da Micah Zimmerman