Bitcoin Core, de referentie-implementatie van het Bitcoin-protocol, heeft een herziening van zijn beleid voor de openbaarmaking van kwetsbaarheden goedgekeurd: bugs die met minimale inspanning te vinden zijn, worden voortaan onmiddellijk gepatcht en openbaar gemaakt, waarbij de embargo-periode die normaal gesproken een fix scheidt van openbaarmaking komt te vervallen.

Wat er is veranderd in de regels voor openbaarmaking

Ontwikkelaar Antoine Poinsot kondigde de herziening aan op 22 oktober 2026, in een discussie op de Bitcoin Development Mailing List. De update introduceert een nieuwe categorie kwetsbaarheden met het label "easily discoverable", die fouten omvat die met weinig moeite te identificeren zijn. Het bekendste voorbeeld is alles wat naar boven komt door eenvoudige prompts gericht op grote taalmodellen (LLM's), de technologie achter moderne AI-chatbots.

Bugs die in deze categorie vallen krijgen een andere behandeling dan alle overige: fixes worden onmiddellijk backport naar elke actief ondersteunde major-versie van Bitcoin Core, en tegelijkertijd wordt een beveiligingsadvies gepubliceerd.

De rest van het beleid blijft ongewijzigd. Kwetsbaarheden met lage ernst worden nog steeds openbaar gemaakt twee weken na een major release. Kwetsbaarheden met gemiddelde en hoge ernst wachten nog steeds tot twee weken nadat de laatst getroffen release het einde van de levensduur heeft bereikt — een termijn die doorgaans neerkomt op ongeveer een jaar na de fix. Kritieke kwetsbaarheden vallen volledig buiten het nieuwe kader en worden nog steeds ad hoc afgehandeld.

Die wachtperioden zijn een vaste gewoonte binnen gecoördineerde openbaarmaking van kwetsbaarheden in de software-industrie: een fix wordt eerst uitgebracht en de openbare details volgen zodra gebruikers tijd hebben gehad om te updaten, waardoor de kwetsbaarheid minder breed bekend raakt voordat patches op hun plaats zijn.

Waarom AI de aanleiding was

De wijziging reageert op een toename van kwetsbaarheidsrapporten die verband houden met het toenemende gebruik van AI-tools, die bepaalde soorten problemen gemakkelijker te vinden en gemakkelijker te reproduceren hebben gemaakt.

Het Bitcoin Core-team erkende de betrokken afwegingen. Aan de ene kant staat transparantie; aan de andere kant de urgentie om gebruikers te laten upgraden. Voor fouten die gemakkelijk opnieuw te vinden zijn, concludeerde het team dat langdurige embargoes geen wezenlijk voordeel opleverden.

De redenering volgt uit de technologie zelf: een embargo biedt alleen bescherming zolang een kwetsbaarheid moeilijk te vinden blijft, en een bug een chatbot met een eenvoudige prompt kan vinden, kan op elk moment opnieuw worden ontdekt.

Twee details vallen op. Ten eerste is er nog geen enkele kwetsbaarheid in de nieuwe categorie geplaatst, dus het beleid is nog niet daadwerkelijk toegepast op een echte bug. Ten tweede is de categorie niet beperkt tot door AI ontdekte problemen: de definitie draait om hoe gemakkelijk een fout te vinden is, niet om welke tool deze heeft gevonden.

Wat dit betekent voor node-operatoren

Het meest directe effect treft mensen die Bitcoin Core-nodes draaien. Wanneer een gemakkelijk te vinden bug wordt ontdekt, kunnen zij een patch en een advies tegelijk zien verschijnen, zonder overgangsperiode voordat de details openbaar worden. Daarmee vervalt het gat tussen het beschikbaar komen van een fix en het moment waarop de onderliggende kwetsbaarheid algemeen bekend raakt.

De backport-toezegging is hier belangrijk. Omdat fixes naar alle actief ondersteunde major-versies gaan, ontvangen operatoren die niet op de nieuwste release zitten alsnog een patch zonder dat ze naar een nieuwe major-versie hoeven te springen.

De openstaande vragen zijn praktisch van aard. Hoe bepaalt het team wat als "easily discoverable" geldt, en hoe consequent wordt die grens getrokken zodra er echte rapporten binnenkomen? De eerste bug die in de categorie wordt geplaatst, geeft het duidelijkste antwoord.