Bitcoin Core は、大規模言語モデル(LLM)が最小限の労力で発見できる脆弱性の修正を迅速化するため、セキュリティ開示ポリシーを改定し、これまで対象バグに課されていた数か月に及ぶ embargo(報道猶予)を廃止しました。

メンテナーは木曜日、プロジェクトのセキュリティポリシーへのこの変更をマージしました。提案を執筆した Chaincode Labs の開発者 Antoine Poinsot 氏は同じ日、Bitcoin Development Mailing List へのメッセージでこれを発表しました。

「最近、簡単に(再)発見できるセキュリティ脆弱性の報告が増加しました」と Poinsot 氏は書いています。「これは主に、LLM が特定クラスの問題を発見したり、極秘の修正を特定したりするハードルを大幅に下げたことに起因します」

この改定により、Bitcoin ネットワークの大半のノードを稼働させるソフトウェアの公開修正の速さを決める要素として、深刻度だけでなく発見のしやすさが考慮されることになりました。

以前のポリシーの仕組み

以前の枠組みでは、Bitcoin Core — Bitcoin ネットワークの大半のノードで稼働するソフトウェア — は報告された脆弱性を深刻度で分類し、それに応じて開示時期を設定していました。低深刻度の欠陥は、次のメジャーバージョンのリリースから 2 週間後に公開されていました。

中および高深刻度の問題は、最後の影響を受けるリリースがサポート終了に達してから 2 週間まで embargo 下に置かれ、その期間は最大 1 年に及ぶこともありました。

長い時間軸は、アップグレードのペースが遅いことが多いノード運用者が、詳細が公開される前に修正済みソフトウェアへ移行する時間を確保するために設けられたものです。実際には、このアプローチにより、旧メンテナンスバージョン向けの修正はリリースされず、次のメジャーリリースとともに提供されることになっていました。

Poinsot 氏は、再発見が容易なバグについてはこのトレードオフが機能しないと主張しました。「embargo 期間はほとんど効果がなく、修正済みリリースの提供を遅らせるだ」とポリシーは述べています。

何が変わるのか

トリアージの際、Bitcoin Core は脆弱性を「簡単に発見可能」として分類できるようになりました。これは、ポリシー上「単純な LLM プロンプトなど、最小限の労力で発見できる」問題と定義されるカテゴリーです。このラベルは、他の手段で発見された欠陥にも適用されます。

該当する問題について、プロジェクトはメンテナンス中のすべてのメジャーバージョンに修正をバックポートし、できるだけ早くポイントリリースを作成し、修正済みソフトウェアと同時に一部の詳細を含むセキュリティ勧告を公開します。Poinsot 氏は、こうした修正はユーザーに届くまでのテスト期間が短くなることを認めています。旧メンテナンスバージョンを運用する運用者にとっては、パッチが次のメジャーバージョンを待たずにポイントリリースとして提供され、修正の公開と同時に詳細が公表されることを意味します。

このカテゴリー外の脆弱性は、既存の深刻度ベースのスケジュールを維持します。プロトコルレベルでのコイン窃取、供給量の水増し、恒久的なチェーン分割を引き起こす可能性があるクリティカルなバグは、標準ポリシーの対象外であり、個別に対応されます。

開発者の Antoine Riard 氏は、勧告なしに修正を公開し、ケースごとに詳細を非公開とする選択肢を求めました。Poinsot 氏はこれを退け、詳細のないままユーザーに警告することは、本来影響を受けないはずのユーザーに急いでの移行を促し「不必要にリスクを高める可能性がある」と述べました。

AI による報告が相次いだ夏

この方針転換は、Bitcoin のオープンソースプロジェクトに対する圧力が数か月にわたり高まってきたことを受けてのものです。7 月下旬、「Bitcoin Red Team」と呼ばれる 16 人の開発者によるボランティアグループが約 1 日で 390 の bitcoin リポジトリに AI モデルを実行し、クリティカル評価 85 件を含む 4,962 件の指摘を記録しました。

その数日後、同グループが非公開で報告していた BTCPay Server の脆弱性が稼働中の加盟店サーバーで悪用され、Lightning ノードから資金が流出しました。8 月には、プロジェクトへの AI 生成の報告が正確であることが判明した後、Core Lightning の開発者が運用者にアップグレードか切断を指示しました。

Red Team の取り組みは、7 月 30 日に攻撃者が 25 分で 594 BTC を引き出した Coldcard ハードウェアウォレットの悪用に続くものでした。4 回にわたる引き出しによる損失は合計 1 億 1,400 万ドル近くに達しました。

「簡単に発見可能」ラベルがどの程度適用され、どれほど速く修正が提供されるかは、今後 Bitcoin Core の勧告とポイントリリースで確認できるでしょう。

出典:Bitcoin Magazine| 著者:Micah Zimmerman