Bitcoinプロトコルのリファレンス実装であるBitcoin Coreは、脆弱性公開ポリシーの改訂を承認した。最小限の労力で発見できるほど簡単なバグについては、修正と公開を直ちに行い、通常は修正と公開情報の間に設けられる embargo（公開猶予）期間を省略する。

公開ルールの変更点

開発者のAntoine Poinsot氏が2026年10月22日、Bitcoin Development Mailing Listでの議論の中でこの改訂を発表した。今回の更新では、「easily discoverable（容易に発見可能）」と呼ばれる新たな脆弱性カテゴリが導入され、大きな労力を要せず特定できる脆弱性が対象となる。代表的な例は、最新のAIチャットボットの基盤技術である大規模言語モデル（LLM）に対する簡単なプロンプトから見つかるものだ。

このカテゴリに分類されたバグには、他とは異なる扱いが適用される。修正は、アクティブにサポートされているすべてのBitcoin Coreメジャーバージョンに直ちにバックポートされ、同時にセキュリティアドバイザリが公開される。

ポリシーのその他の部分は変更されない。低深刻度の脆弱性は引き続きメジャーリリースの2週間後に公開される。中・高深刻度の脆弱性は、最後に影響を受けるリリースがサポート終了に達してから2週間後まで待機する。これは通常、修正後およそ1年に相当する。危険度「クリティカル」の脆弱性は、新しいフレームワークの対象外であり、引き続き個別対応となる。

こうした待機期間は、ソフトウェア業界における調整済み脆弱性公開の標準的な仕組みである。まず修正が提供され、ユーザーが更新する時間を確保した上で公開詳細が発表されることで、パッチが整う前に脆弱性が広く知られるリスクを抑える。

AIが問題を突きつけた理由

今回の変更は、AIツールの利用拡大に伴う脆弱性報告の増加に対応するものだ。AIツールによって、特定種類の問題が発見しやすく、再現しやすくなった。

Bitcoin Coreチームは、この変更に伴うトレードオフを認めている。一方には透明性があり、他方にはユーザーにアップグレードを促す緊急性がある。再発見が容易な脆弱性については、長期の公開猶予実質的なメリットをもたらさないとチームは結論付けた。

この理屈は技術そのものから導かれる。公開猶予が保護をもたらすのは、脆弱性の発見が困難である間だけだ。チャットボットが簡単なプロンプトから見つけられるバグは、いつでも再発見されうるものだ。

注目すべき点が2つある。第一に、現時点で新しいカテゴリに分類された脆弱性はなく、ポリシーが実際のバグに適用されたわけではない。第二に、このカテゴリはAIによる発見に限定されない。定義の基準は、脆弱性の発見がどれほど容易かであり、どのツールで見つかったかではない。

ノード運用者への影響

最も直接的な影響を受けるのは、Bitcoin Coreノードを運用する人々だ。「容易に発見可能」なバグが見つかった場合、修正パッチとアドバイザリが同時に提供され、詳細が公開されるまでの猶予期間はない。修正が利用可能になってから脆弱性が広く知られるまでの時間差が、なくなることになる。

ここでバックポートのコミットメントが重要になる。修正はアクティブにサポートされているすべてのメジャーバージョンに提供されるため、最新リリースを使用していない運用者でも、新しいメジャーバージョンへ移行することなくパッチを受け取れる。

残された課題は実務上のものだ。チームは何をもって「容易に発見可能」と判断するのか。実際の報告が届き始めたとき、その基準は一貫して適用されるのか。このカテゴリに初めて分類されるバグが、最も明確な答えを示すことになるだろう。