Bitcoin Core heeft zijn securitydisclosurebeleid herzien om fixes voor kwetsbaarheden die grote taalmodellen met minimale inspanning kunnen ontdekken te versnellen, waarmee een einde komt aan de maandenlange embargoes die dergelijke bugs ooit kregen.

Maintainers hebben de wijziging in het securitybeleid van het project donderdag samengevoegd. Chaincode Labs-ontwikkelaar Antoine Poinsot, die het voorstel schreef, kondigde diezelfde dag aan in een bericht aan de Bitcoin Development Mailing List.

"We hebben onlangs een toename gezien in het aantal meldingen van beveiligingskwetsbaarheden die eenvoudig (her)ontdekt kunnen worden", schreef Poinsot. "Dit komt grotendeels doordat LLM's de drempel drastisch verlagen om bepaalde klassen van problemen te vinden of covert fixes te identificeren."

De herziening maakt ontdekbaarheid, en niet alleen ernst, een factor in hoe snel de software die op de meeste Bitcoin-nodes draait een publieke fix krijgt.

Hoe het beleid eerder werkte

Onder het vorige kader beoordeelde Bitcoin Core — de software die op de meeste nodes in het Bitcoin-netwerk draait — elke gemelde kwetsbaarheid op ernst en stemde de openbaarmaking daarop af. Zwakke plekken met lage ernst werden twee weken na de release van de volgende major-versie openbaar gemaakt. Kwesties met gemiddelde en hoge ernst bleven onder embargo tot twee weken nadat de laatst getroffen release end of life had bereikt, een periode die kon oplopen tot een jaar.

De lange termijnen waren bedoeld om node-operatoren, van wie velen langzaam upgraden, de tijd te geven naar gepatchte software te migreren voordat details openbaar werden. In de praktijk betekende deze aanpak dat fixes voor oudere onderhouden versies niet werden uitgebracht en pas met de volgende major-versie arriveerden.

Poinsot betoogde dat deze afweging faalt voor bugs die eenvoudig te herontdekken zijn. "De embargo-periode levert weinig op maar vertraagt de beschikbaarheid van een fixed release", luidt het beleid.

Wat verandert er

Tijdens de triage kan Bitcoin Core een kwetsbaarheid nu markeren als "eenvoudig ontdekbaar", een categorie die het beleid definieert als problemen die "met minimale inspanning" te vinden zijn, "zoals via een simpele LLM-prompt". Het label geldt ook voor zwakke plekken die op andere manieren zijn gevonden.

Voor die problemen zal het project een fix backporten naar elke onderhouden major-versie, zo snel mogelijk point releases uitbrengen en tegelijk met de gefixte software een securityadvies met enkele details publiceren.insot gaf toe dat dergelijke fixes minder testtijd zullen hebben voordat ze gebruikers bereiken. Voor operatoren op oudere onderhouden versies betekent dit dat patches nu als point releases arriveren in plaats van te wachten op de volgende major-versie, met details die worden gepubliceerd op het moment dat de fix uitkomt.

Kwetsbaarheden buiten die categorie behouden het bestaande op ernst gebaseerde schema. Kritieke bugs — die diefstal van munten op protocolniveau mogelijk kunnen maken, de supply kunnen opblazen of een permanente chainsplit kunnen veroorzaken — blijven buiten het standaardbeleid en worden per geval behandeld.

Ontwikkelaar Antoine Riard pleitte voor een optie om een fix uit te brengen zonder advies en details per geval achter te houden. Poinsot wees dit af en schreef dat gebruikers waarschuwen zonder details "onnodig meer risico zou kunnen creëren", doordat het een haastige migratie zou uitlokken bij gebruikers die anders niet getroffen zouden worden.

Een zomer vol AI-gestuurde meldingen

De beleidswijziging volgt op maanden van verhoogde druk op Bitcoin's open-sourceprojecten. Eind juli draaide een vrijwilligersgroep van 16 ontwikkelaars, bekend als het Bitcoin Red Team, AI-modellen over 390 bitcoin-repositories in ongeveer een dag en registreerde 4.962 bevindingen, waaronder 85 als kritiek beoordeeld.

Binnen enkele dagen werd een zwakke plek in BTCPay Server die de groep privé had gemeld, misbruikt op live merchantservers, waarbij Lightning-nodes werden leeggeroofd. In augustus vertelden Core Lightning-ontwikkelaars operatoren te upgraden of de verbinding te verbreken nadat AI-gegenereerde meldingen aan het project accuraat bleken.

De Red Team-actie volgde op een exploit van de Coldcard hardware wallet waarbij aanvallers op 30 juli 594 BTC in 25 minuten leeghaalden. De verliezen over vier sweeps naderden $114 miljoen.

Hoe vaak het label "eenvoudig ontdekbaar" wordt toegepast — en hoe snel fixes volgen — zal zichtbaar zijn in Bitcoin Core's adviezen en point releases verderop.

Bron: Bitcoin Magazine | Geschreven door Micah Zimmerman