Bitcoin Core, l'implementazione di riferimento del protocollo Bitcoin — il software che gli operatori di nodo eseguono per verificare in modo indipendente transazioni e blocchi sulla rete — sta rivedendo il proprio approccio alla gestione delle vulnerabilità di sicurezza, spiegando che i modelli linguistici di grandi dimensioni (LLM) hanno reso alcune classi di difetti software notevolmente più facili da scoprire.

In un'e-mail inviata giovedì alla Bitcoin Development Mailing List, lo sviluppatore di Bitcoin Core Antoine Poinsot ha dichiarato che in passato le vulnerabilità venivano generalmente mantenute sotto lunghi embarghi di divulgazione per dare agli utenti il tempo di aggiornare i propri nodi prima che i dettagli tecnici diventassero pubblici. Mantenere quel riserbo significava in genere che le correzioni non potevano essere applicate retroattivamente alle versioni precedenti del software ancora mantenute — una pratica che consiste nell'applicare le patch alle release supportate precedenti e non solo al codice più recente — lasciando gli utenti di tali versioni in attesa della prossima release maggiore.

Poinsot ha tuttavia affermato che gli LLM hanno reso alcuni difetti così facili da riscoprire che rimandare le correzioni offre poca protezione.

"Il periodo di embargo ottiene poco e si limita a ritardare la disponibilità di una release corretta", ha detto Poinsot. "Stiamo quindi aggiornando la nostra politica di divulgazione per tenere conto di questo."

La modifica della politica arriva mentre la ricerca sulla sicurezza assistita dall'IA esercita una pressione crescente sugli sviluppatori dell'intero ecosistema software di Bitcoin.

Secondo la politica aggiornata, le vulnerabilità ritenute "facilmente individuabili" riceveranno correzioni il prima possibile su tutte le versioni maggiori mantenute, con avvisi di sicurezza pubblicati insieme agli aggiornamenti. "Questa classificazione si applica alle vulnerabilità che possono essere scoperte con il minimo sforzo, ad esempio tramite un semplice prompt LLM", ha dichiarato l'annuncio. Per gli operatori, l'effetto pratico è che le patch per tali difetti possono ora arrivare direttamente sulle versioni precedenti mantenute, con gli avvisi allegati che forniscono una documentazione pubblica di ogni correzione.

Tutte le altre vulnerabilità continueranno a seguire calendari di divulgazione basati sulla gravità, dai difetti critici che minacciano la sicurezza fondamentale di Bitcoin ai bug a rischio inferiore con un impatto limitato sui singoli nodi. Bitcoin Core ha dichiarato che le vulnerabilità a bassa gravità saranno divulgative due settimane dopo il rilascio della versione maggiore contenente la correzione, mentre le vulnerabilità a gravità media e alta saranno divulgative due settimane dopo che l'ultima release interessata avrà raggiunto il suo "End of Life", in genere un anno dopo che la correzione è stata rilasciata nella nuova versione maggiore.

"I bug critici non sono considerati nella politica standard, poiché molto probabilmente richiederebbero una procedura ad hoc", si legge nell'annuncio.

"In passato espresso disaccordo con l'approccio di Antoine alla sicurezza, ma questo è un buon aggiornamento", ha detto Luke de Wolf, conduttore del Bitcoin Infinity Show e autore di "Defending Bitcoin".

La svolta segue un periodo di intensificazione dell'attività di sicurezza guidata dall'IA nell'ecosistema Bitcoin. Ad agosto, il gruppo volontario Bitcoin Red Team ha segnalato quasi 5.000 potenziali problemi su 390 progetti, anche se solo circa un quinto dei risultati era stato riprodotto in quel momento. Nello stesso mese, gli sviluppatori di Core Lightning hanno esortato gli operatori dei nodi ad aggiornare o mettere offline i propri nodi dopo aver ricevuto diversi report di vulnerabilità generati dall'IA, trattenendo i dettagli tecnici per due settimane. Gli operatori di nodo possono seguire l'evoluzione delle nuove tempistiche attraverso la pagina degli avvisi di sicurezza di Bitcoin Core e la discussione in corso sulla mailing list di sviluppo.