Bitcoin Coreは、「簡単に発見可能（easily discoverable）」な脆弱性に対応するためセキュリティポリシーを更新しました。その理由として、LLMが「発見のハードルを大幅に下げた」ことによるバグ報告の急増を挙げています。この種の欠陥について、プロジェクトは今後、長期の embargo で情報を非公開にするのではなく、すべてのメンテナンス中リリースに修正をバックポートし、セキュリティアドバイザリーを添えて可能な限り速やかに新バージョンを公開します。AIスキャンでいずれ発見される以上、静かな修正は「ほとんど効果がない」ためです。

このポリシー更新は、Chaincode Labsの開発者Antoine Poinsotが今月初めにbitcoincore.orgリポジトリへのプルリクエストで提案したものが、木曜日にマージされたものです。Poinsot氏はその理由として、「簡単に（再）発見できる」バグの報告が急増していることを挙げました。氏が記したところによれば、大規模言語モデルが特定種類の問題を発見したり、コード内に静かに適用された修正を見抜いたりする際のハードルを「大幅に下げた」という事実があるためです。実際、この変更は、AIによって一部の脆弱性があまりに容易に発見できるようになり、秘密にしておく意味がもはやないことを認めるものです。

この転換は、あらゆる情報開示ポリシーの核心にある緊張関係を対象としています。Bitcoinネットワークを支えるノードの大半を稼働させているBitcoin Coreは、脆弱性報告を修正準備が整うまで非公開とするオープンソースの慣行である長期の embargo を好み、セキュリティ修正を伏せて次のメジャーリリースまで持ち越すことが少なくありませんでした。その慎重な姿勢は、ノード運用者に急いでアップデートさせること自体にリスクを伴う、Bitcoinの有名な緩やかなアップグレード文化を反映したものです。しかし開発者らは、攻撃者がAIへの1回のプロンプトで発見できるバグについては、長期の embargo は「ほとんど効果がなく、修正版の提供を遅らせるだけだ結論付けました。修正版が早く提供されるほど、既知の脆弱性がネットワーク上のノードで悪用可能な状態にある時間は短くなります。

新しいポリシーでは、Bitcoin Coreは報告された脆弱性を「簡単に発見可能」と分類できるようになります。このラベルは、単純なLLMクエリで発見できる問題に適用される想定です。該当する場合、プロジェクトはすべてのメンテナンス中リリースに修正をバックポートし、可能な限り速やかに新バージョンを作成して、修正を伏せるのではなく、パッチ適用済みソフトウェアとともにセキュリティアドバイザリー（脆弱性とその修正を説明する公開文書）で詳細を公表します。議論の中でPoinsot氏が述べた論理は、この種のバグを秘密裏に修正しても「ほとんど効果がなく」、簡単なAIスキャンで発見でき、積極的なバックポートはいずれにせよ修正の存在を明らかにしてしまう、というものです。

この動きは、Bitcoinを取り巻くセキュリティ情勢がAIによって劇的に変化したことを反映しています。この夏、ボランティアの「Bitcoin Red Team」が、攻撃者に先んじてAIで発見可能な脆弱性を特定する競争を開始しました。8月初めには、AI主導の監査が数百の暗号資産プロジェクトを対象に約5,000件の所見を記録し、開発者たちはLightning実装やハードウェアウォレットでAIによって明るみに出たバグの修正に追われました。あるBitcoinブリッジは、AIによるバグ発見が修正のスピードを上回ると判断して運用を停止する事態さえ発生しました。今後、プロジェクトのセキュリティアドバイザリーは、「簡単に発見可能」ラベルがどの程度の頻度で適用されているか、そしてそれに対応する修正版がどれだけ迅速に提供されているかを示すことになります。