Bitcoin Core ha aggiornato la propria politica di sicurezza per gestire le vulnerabilità "facilmente individuabili", citando un'impennata di segnalazioni di bug che i modelli linguistici di grandi dimensioni (LLM) hanno reso drasticamente più semplici da trovare. Per questi difetti, il progetto ora eseguirà il backport della correzione su tutte le release mantenute e pubblicherà una nuova versione il più rapidamente possibile, corredata da un avviso di sicurezza, invece di tenere il problema sotto un lungo embargo, dal momento che una correzione silenziosa "otterrebbe poco" quando una scansione IA può comunque portarla alla luce.

L'aggiornamento della politica è stato integrato giovedì, dopo che lo sviluppatore di Chaincode Labs Antoine Poinsot lo aveva aperto all'inizio del mese con una pull request sul repository bitcoincore.org, citando un'impennata di segnalazioni di bug che possono essere "facilmente (ri)individuati". Il motivo, ha scritto Poinsot, è che i modelli linguistici di grandi dimensioni hanno "ridotto drasticamente l'asticella" per trovare determinate classi di problemi, o per notare una correzione rilasciata silenziosamente nel codice. In sostanza, il cambiamento riconosce che l'IA ha reso alcune vulnerabilità così facili da trovare che mantenerle segrete non ha più senso.

La svolta mira a una tensione al centro di ogni politica di divulgazione. Bitcoin Core, l'implementazione software che esegue la maggior parte dei nodi che sostengono la rete Bitcoin, ha da sempre privilegiato un lungo periodo di embargo: la convenzione open source di mantenere riservate le segnalazioni di difetti finché la correzione non è pronta, tenendo discrete le correzioni di sicurezza e spesso rimandandole alla prossima major release. Questo approccio prudente riflette la famosa lenta cultura di aggiornamento di Bitcoin, in cui spingere gli operatori dei nodi ad aggiornare frettolosamente comporta rischi propri. Ma gli sviluppatori hanno concluso che, per i bug che un attaccante può portare alla luce con un singolo prompt IA, un lungo embargo "ottiene poco, se non ritardare la disponibilità di una release corretta". Una release corretta che arriva prima riduce il tempo in cui un difetto noto resta sfruttabile sui nodi che gestiscono la rete.

Secondo la nuova politica, Bitcoin Core può contrassegnare una vulnerabilità segnalata come "facilmente individuabile", un'etichetta che si prevede verrà applicata ai problemi trovabili con una semplice query LLM. Per questi, il progetto eseguirà il backport della correzione su ogni release mantenuta e pubblicherà una nuova versione il più rapidamente possibile, diffondendo i dettagli in un avviso di sicurezza, un documento pubblico sul difetto e sulla sua correzione, insieme al software aggiornato, invece di trattenere la modifica. La logica, come l'ha espressa Poinsot nella discussione, è che correggere in segreto un simile bug "otterrebbe poco", dal momento che una banale scansione IA può trovarlo e un backport aggressivo lo rivela.

La mossa riflette quanto radicalmente l'IA ha ridisegnato il panorama della sicurezza attorno a Bitcoin. Nel corso dell'estate, un volontario "Bitcoin Red Team" ha iniziato una corsa per individuare i difetti scopribili con l'IA prima degli attaccanti. All'inizio di agosto, un audit basato sull'IA ha registrato quasi 5.000 riscontri su centinaia di progetti crittografici, e gli sviluppatori si sono affannati a correggere bug portati alla luce dall'IA nelle implementazioni Lightning e nei portafogli hardware. Un ponte Bitcoin ha persino chiuso dopo aver stabilito che l'IA trovava bug più velocemente di quanto riuscisse a correggerli. D'ora in poi, gli avvisi di sicurezza del progetto mostreranno con quale frequenza viene applicata l'etichetta "facilmente individuabile" e quanto rapidamente seguono le release corrette corrispondenti.