Bitcoin Coreは脆弱性開示ポリシーを見直し、容易に発見可能なバグについて深刻度に基づく報道禁止期間（エンバーゴ）を廃止しました。対象には、言語モデルへの簡単なプロンプトから発見され得る問題も含まれます。開発者のAntoine Poinsotが10月22日、セキュリティポリシーへの変更をコミットしました。

今回の更新は開示ルールの変更であり、新たな脆弱性（エクスプロイト）の報告ではなく、ビットコインの暗号方式やユーザーの秘密鍵の安全性には一切関係ありません。

なぜAIがエンバーゴを無意味にしたのか

開発者らは、最近、簡単に発見できる、あるいは再発見される脆弱性の報告が増えていると記しています。その主因として彼らが挙げたのは言語モデルです。言語モデルは特定クラスのバグを見つけるハードルを下げるだけでなく、密かな修正、すなわちセキュリティ修正として明示されずにコードへマージされたパッチも特定できるといいます。

後者の点が、エンバーゴ、つまり修正版リリースの準備期間中に報告された脆弱性の詳細を公開しないでおく仕組みの意義を損ないます。Bitcoin Coreはオープンソースであり、修正の詳細が公表されるずっと前から、修正は公開コード上で確認できます。モデルがその変更をセキュリティ修正と認識できれば、情報を伏せても攻撃者からバグを隠す効果はほとんどなく、利用者には修正版リリースが遅れるだけとなります。

「ンバーゴ期間はほとんど効果がなく、修正版リリースの提供を遅らせるだけだ」と開発者らは記しています。

長いエンバーゴは修正の適用先にも影響を与えていました。開発者らによれば、この方針によりセキュリティ修正を旧バージョンへバックポートすることが一般にできず、利用者は次のメジャーリリースまで修正を待つことになっていたといいます。

新ルールがタイムラインをどう変えるか

プロジェクトのセキュリティアドバイザリーページに示された既存のタイムラインは、その待ち時間がどれほど長くなり得るかを物語っています。開発者は報告を評価する際に分類を決定します。

新ルールは、言語モデルへの簡単なプロンプトのような最小限の労力で発見できるバグを主な対象とすると見込まれますが、AIによる発見に限定されるわけではありません。こうしたバグについては深刻度に基づくエンバーゴは適用されず、待機期間を経ずに修正版リリースとともに詳細が公開されます。

どのノードがパッチを受け取れるのか

Bitcoin Coreのメンテナンスポリシーは最新の3つのメジャーバージョンを対象とします。新しいメジャーバージョンがリリースされると、最も古いバージョンはサポート終了（EOL）となり、原則としてセキュリティ修正を受け取れません。

28.x以前を実行しているノードは、一般にこれらの修正を受け取れません。プロジェクトは6〜7ヶ月ごとのメジャーリリースを目標としており、次の32.0のリリースにより29.xがメンテナンス対象外となります。Bitcoin Coreは、アップグレード可能な最新メジャーバージョンの最新メンテナンスリリースを実行することを推奨しており、ダウンロードページではリリースのチェックサムと署名の検証方法を説明しています。

バックポートは人的要因にも左右されます。ライフサイクルページには、バージョンが古くなるほどバックポートのハードルが上がること、そして対応できるボランティアが常に十分にあるわけではないことが記されています。メンテナンス体制の制約は他の決定にも影響しており、Bitcoin CoreのCJDNSプライバシーネットワークサポートをめぐる過去の議論でもそれが示されました。

トレードオと今後の注目点

開発者らは、あらゆるセキュリティポリシーを、攻撃者と防御者の双方に有利に働く透明性と、利用者にアップグレードの時間を与えることとのバランスとして捉えています。ただ、Bitcoin Coreのアップグレードが遅れがちな文化がそれを難しくしています。修正版リリースと同時にアドバイザリーを公開すると、一部のノードが依然として未修正のソフトウェアを実行している間に詳細が公になることを意味します。攻撃者が自力で発見し得るバグについては、開発者らは詳細を伏せるよりも迅速な修正の方が重要だと判断しました。

新ルールの下で発行される最初のセキュリティアドバイザリーは、ポイントリリース（メジャーバージョン内のマイナーアップデート）が実際に3つのメンテナンス対象バージョンすべてにどの程度迅速に届くかを示すことになります。また、32.0のリリースにより、修正を受け取れるノードの範囲は狭まります。

この記事は情報提供のみを目的としたものであり、金融または投資の助言を構成するものではありません。ノード運用者はBitcoin Coreの公式リリースノートおよび検証手順に従ってください。

出典：Coindoo