Core Lightningは、AIが生成した複数のセキュリティ報告が自社ソフトウェアの実際の欠陥を特定したことを確認し、ノード運用者に対して近日中のアップデートの検証と迅速なインストールを呼びかけました。

Bitcoin決済ソフトウェア「Core Lightning」の開発者は、水曜日のX投稿でノード運用者に対し、AIが生成したセキュリティ報告の波で指摘された複数の脆弱性が実在すること、そして開発者が修正を調整していることを警告しました。

同プロジェクトは、運用者に対し近日中のアップデートを迅速にインストールして検証するか、アップグレードできない場合はノードをシャットダウンして支払いチャネルを監視できない状態にするのではなく、オフラインで稼働させ続けるよう伝えました。

「このフラグはピア接続を停止させるため、ノードの内外、あるいは経由での支払いは一切ルーティングされなくなります」とCore Lightningは書いています。「ノードは稼働し続けるため、チェーンの監視を続け、相手方がチャネルを強制閉鎖した場合でも対応できます。電源を切られたノードにはそれができず、だからこそシャットダウンはより悪い選択肢なのです」

Bitcoinインフラ企業Blockstreamが保守するCore Lightningは、Bitcoin取引を高速化する第2層ネットワークであるLightning Network上でBitcoinの支払いを送信・ルーティングするために運用者が利用できる、LNDやEclairと並ぶ複数の実装のひとつです。チームは、大量のAI生成CVE報告（ソフトウェアの潜在的な脆弱性を記述した提出物）のレビューに数週間を費やしたと述べています。

同プロジェクトは、確認された脆弱性の数、攻撃者がそれらで何ができるか、悪用されたかどうかを明らかにしていません。詳細は、開発者が修正を準備し運用者がノードを更新する間、少なくとも2週間非公開とされます。これは、欠陥の詳細が公開される前に保守者がパッチを当てる時間を確保する、セキュリティ分野で一般的な情報公開の慣行です。

「リリースが公開されたら、署名を検証してインストールしてください。しかも『いずれ』ではなく『直ちに』行ってください」とCore Lightningは続報の投稿で述べました。

🟥 URGENT: Critical vulnerability in Core Lightning Blockstream developers urge users to shut down CLN Lightning nodes right NOW! Please let everyone know! pic.twitter.com/4HpobzMs7Y — calle 🟥 (@callebtc) August 26, 2026

🟥 URGENT: Critical vulnerability in Core Lightning

Blockstream developers urge users to shut down CLN Lightning nodes right NOW!

Please let everyone know! pic.twitter.com/4HpobzMs7Y

— calle 🟥 (@callebtc) August 26, 2026

Core Lightning Discord Serverでの別の投稿で、同プロジェクトは「小規模なチームと外部のコントリビューター」が10日間かけて複数のソースからのAI生成脆弱性報告をレビューし、修正を開発したと述べました。Core Lightningは当初、数日以内にポイントリリースを公開する計画でしたが、後に詳細を2週間のエンバーゴ下に置いたまま署名済みの再現可能なバイナリを配布することを選択し、その間に運用者へアップグレードを強く促しました。

Core Lightningがシャットダウンを勧めなかった理由

Core Lightningは、迅速にアップグレードしない運用者に対し、ノードを--offlineで再起動するよう指示しました。これにより、ソフトウェアはBitcoinブロックチェーンの監視を続けながら、支払いや他のLightningノードとの接続をブロックします。同プロジェクトは、26.09バージョンが9月末の予定のまま残る一方、26.04を含む以前のバージョンのサポートを終了すると述べました。

監視が重要なのは、LightningチャネルがBitcoinブロックチェーンの外で支払いを処理し、閉鎖時にBitcoin上で決済されるためです。ノードのバックグラウンドソフトウェアを稼働させ続けることで、もう一方の参加者がチャネルを強制閉鎖した場合に対応できます。

「だからこそシャットダウンではなくこちらを提案するのです。稼働中のデーモンはチェーンを追い続け、相手方が強制閉鎖した場合に対応できますが、停止したものにはできません」とCore LightningはXで書いています。

Bitcoinソフトウェアの欠陥を巡るAIの捜索

この警告は、Bitcoin企業や開発者がエコシステム全体でAIによるセキュリティ欠陥の発見を報告した他の事例に続くものです。

7月には、ハードウェアウォレットメーカーのCoinkiteが、攻撃者がAIを使って古いソフトウェアコードを調査し、Coldcardウォレットのシード生成（ウォレットの資金を管理する秘密情報）の弱点を発見したと考えていると述べました。この欠陥は、盗まれたBitcoin数百万ドル相当と関連していました。

今月序めには、BitcoinスワッププロバイダーのBoltzがサービスを停止し、攻撃者とみられる者たちが開発者が修正するよりも速く弱点を発見していると述べました。

サイバーセキュリティとブロックチェーンの専門家によるボランティアグループBitcoin Red Teamによると、AI支援のレビューはこれまでに390のBitcoinプロジェクトで4,962件の潜在的な発見を生み出しました。同グループは当初、85件をクリティカル、635件を重大度高いと評価しましたが、誤検知が含まれる可能性も認めています。

仮名のBitcoin開発者でBitcoin Red TeamのメンバーであるCalleは、攻撃者より先に弱点を見つけることが同グループの目的だと述べました。

「現時点で、これは時間の問題です」とCalleはDecryptに語りました。「Bitcoin Red Teamが今存在する理由は、攻撃者よりできるだけ速く先手を打つ必要があるからです」

Cashuデジタルキャッシュプロトコルの保守にも携わるCalleは、AIによって、セキュリティの訓練を受けていない人でもソフトウェアの欠陥を悪用しやすくなったと述べました。

「単純なエクスプロイトは今や、AIなしではやり方を知らない人でも端から端まで完遂できます」と彼は言いました。