Bitcoin Core, de belangrijkste referentie-implementatie van het Bitcoin-protocol — de software die node-operators draaien om transacties en blokken op het netwerk onafhankelijk te verifiëren — herontwikt hoe het omgaat met beveiligingskwetsbaarheden, omdat grote taalmodellen (LLM's) bepaalde klassen van softwarefouten aanzienlijk makkelijker vindbaar hebben gemaakt.

In een e-mail die donderdag naar de Bitcoin Development Mailing List werd gestuurd, zei Bitcoin Core-ontwikkelaar Antoine Poinsot dat kwetsbaarheden in het verleden doorgaans onder langdurige openbaarmakingsverboden werden gehouden om gebruikers de tijd te geven hun nodes te upgraden voordat technische details openbaar werden. Het handhaven van die geheimhouding betekende meestal dat fixes niet konden worden teruggezet naar oudere, nog onderhouden versies van de software — een praktijk waarbij patches worden toegepast op eerdere ondersteunde releases in plaats van alleen op de nieuwste code — waardoor gebruikers op die versies moesten wachten tot de volgende hoofdrelease.

Poinsot zei echter dat LLM's sommige fouten zo makkelijk herontdekbaar hebben gemaakt dat het uitstellen van fixes weinig bescherming biedt.

"De embargo-periode levert weinig op, maar stelt de beschikbaarheid van een gecorrigeerde release uit," zei hij. "We werken ons beleid voor openbaarmaking daarom bij om daarin te voorzien."

De beleidswijziging komt op een moment dat AI-ondersteund beveiligingsonderzoek de druk op ontwikkelaars in Bitcoin's software-ecosysteem vergroot.

Volgens het bijgewerkte beleid krijgen kwetsbaarheden die als "makkelijk vindbaar" worden aangemerkt zo snel mogelijk fixes in alle onderhouden hoofdversies, waarbij beveiligingsadviezen samen met de updates worden gepubliceerd. "Deze classificatie is van toepassing op kwetsbaarheden die met minimale inspanning kunnen worden ontdekt, bijvoorbeeld via een eenvoudige LLM-prompt," aldus de aankondiging. Voor operators is het praktische effect dat patches voor dergelijke fouten nu direct oudere, onderhouden versies kunnen bereiken, waarbij de bijbehorende adviezen een openbaar verslag van elke fix bieden.

Alle overige kwetsbaarheden blijven tijdlijnen voor openbaarmaking volgen op basis van ernst, variërend van kritieke fouten die de fundamentele veiligheid van Bitcoin bedreigen tot fouten met een lager risico en beperkte impact op individuele nodes. Bitcoin Core zei dat kwetsbaarheden met lage ernst twee weken na release van een hoofdversie met de fix worden openbaar gemaakt, terwijl kwetsbaarheden met middelhoge en hoge ernst twee weken nadat de laatst getroffen release zijn "End of Life" bereikt, worden openbaar gemaakt — doorgaans een jaar nadat de fix in de nieuwe hoofdversie verschijnt.

"Kritieke bugs worden niet meegenomen in het standaardbeleid, omdat daarvoor waarschijnlijk een ad-hocprocedure nodig zou zijn," aldus de aankondiging.

"Ik heb het in het verleden oneens geweest met Antoine's aanpak van beveiliging, maar dit is een goede update," zei Luke de Wolf, presentator van de Bitcoin Infinity Show en auteur van "Defending Bitcoin."

De verschuiving volgt op een periode van intensivering van AI-gedreven beveiligingsactiviteit in het Bitcoin-ecosysteem. In augustus meldde het vrijwillige Bitcoin Red Team bijna 5.000 mogelijke problemen in 390 projecten, hoewel op dat moment slechts ongeveer een vijfde van de bevindingen was gereproduceerd. Diezelfde maand riepen Core Lightning-ontwikkelaars node-operators op te upgraden of hun nodes offline te halen nadat meerdere AI-gegenereerde kwetsbaarheidsrapporten waren binnengekomen, waarbij technische details twee weken werden achtergehouden. Node-operators kunnen volgen hoe de nieuwe tijdlijnen uitpakken via de beveiligingsadviezenpagina van Bitcoin Core en de lopende discussie op de ontwikkelingsmailinglijst.