Bitcoinプロトコルの主要リファレンス実装であるBitcoin Core — ノード運用者がネットワーク上のトランザクションやブロックを独立に検証するために実行するソフトウェア — は、大規模言語モデル（LLM）により特定種類のソフトウェア脆弱性が大幅に発見しやすくなったとして、セキュリティ脆弱性への対応方法を大幅に見直している。

木曜日にBitcoin Development Mailing Listへ送ったメールの中で、Bitcoin Coreの開発者Antoine Poinsot氏は、これまで脆弱性は一般に長期の開示 embargo（報道 embargo）期間によって秘匿され、技術的詳細が公になる前にユーザーがノードをアップグレードする時間を確保していたと述べた。この秘匿を維持するため、修正をメンテナンス中の旧バージョンにバックポート — 最新のコードだけでなく以前のサポート対象リリースにもパッチを適用する手法 — することができず、それらのバージョンを使うユーザーは次のメジャーリリースまで待たされることになっていた。

しかしPoinsot氏は、LLMによって一部の脆弱性が再発見することが極めて容易になり、修正を遅らせてもほとんど保護にならないと説明した。

「embargo期間はほとんど効果がなく、修正済みリリースの提供を遅らせるだけです。そのため、こうした状況に対応するよう開示ポリシーを更新しています」と同氏は述べた。

このポリシー変更は、AI支援によるセキュリティ調査がBitcoinのソフトウェアエコシステム全体の開発者に高まる圧力をかける中で行われた。

更新されたポリシーでは、「容易に発見可能」とみなされる脆弱性については、メンテナンス中のすべてのメジャーバージョンに対して可能な限り速やかに修正が提供され、セキュリティアドバイザリーがアップデートと併せて公開される。「この分類は、単純なLLMプロンプトなど、最小限の労力で発見できる脆弱性に適用されます」と発表文中で述べられている。ノード運用者にとって実務上の影響は、こうした脆弱性のパッチがメンテナンス中の旧バージョンに直接提供されるようになり、アドバイザリーが各修正の公開記録となることだ。

その他の脆弱性は引き続き重大度に基づく開示スケジュールに従い、Bitcoinの根幹のセキュリティを脅かす重大な欠陥から、個々のノードへの影響が限定的な低リスクのバグまで対応が分かれる。Bitcoin Coreによれば、低重大度の脆弱性は修正を含むメジャーバージョンのリリースから2週間後に開示され、中・高重大度の脆弱性は最後に影響を受けるリリースが「End of Life（サポート終了）」に達して2週間後に開示される。これは通常、修正が新しいメジャーバージョンでリリースされてから約1年後である。

「重大なバグは標準ポリシーの対象外です。個別の対応手順が必要になる可能性が高いためです」と発表文中で述べられている。

「これまでAntoineのセキュリティへのアプローチには賛同していませんでしたが、これは良い更新です」と、Bitcoin Infinity Showのホストで「Defending Bitcoin」の著者であるLuke de Wolf氏は述べた。

この方針転換は、BitcoinエコシステムでAI主導のセキュリティ活動が激化した時期に続くものだ。8月、ボランティアのBitcoin Red Teamは390のプロジェクトにわたり約5,000件の潜在的な問題を報告したが、その時点で再現確認ができていたのは報告の5分の1程度だった。同じ月、Core Lightningの開発者は複数のAI生成の脆弱性報告を受けた後、技術的詳細を2週間秘匿したうえで、ノード運用者にアップグレードまたはノードのオフライン化を呼びかけた。ノード運用者は、Bitcoin Coreのセキュリティアドバイザリーページと開発メーリングリストでの継続的な議論を通じて、新しいタイムラインの運用状況を確認できる。