Bitcoin Core — podstawowa implementacja referencyjna protokołu Bitcoin, czyli oprogramowanie uruchamiane przez operatorów węzłów w celu niezależnej weryfikacji transakcji i bloków w sieci — przebudowuje sposób postępowania z lukami bezpieczeństwa, wyjaśniając, że duże modele językowe (LLM) znacznie ułatwiły odkrywanie niektórych klas błędów oprogramowania.

W e-mailu wysłanym w czwartek na listę mailingową Bitcoin Development Mailing List deweloper Bitcoin Core Antoine Poinsot powiedział, że w przeszłości informacje o lukach były zazwyczaj objęte długimi embargami na ujawnianie, aby dać użytkownikom czas na aktualizację węzłów przed upublicznieniem szczegółów technicznych. Utrzymywanie takiej tajemnicy oznaczało zazwyczaj, że poprawek nie można było przenieść do starszych, wciąż utrzymywanych wersji oprogramowania — praktyka ta polega na stosowaniu łatek do wcześniejszych wspieranych wydań, a nie tylko do najnowszego kodu — co zmuszało użytkowników tych wersji do czekania na kolejne wydanie główne.

Poinsot stwierdził jednak, że LLM sprawiły, iż niektóre luki da się tak łatwo odkryć ponownie, że opóźnianie poprawek zapewnia jedynie minimalną ochronę.

"Okres embarga niewiele daje, a jedynie opóźnia udostępnienie poprawionego wydania" — powiedział Poinsot. "Dlatego aktualizujemy naszą politykę ujawniania, aby ją do tego dostosować."

Zmiana polityki następuje w momencie, gdy badania bezpieczeństwa wspomagane przez AI wywierają rosnącą presję na deweloperów w całym ekosystemie oprogramowania Bitcoina.

Zgodnie z zaktualizowaną polityką luki uznane za "łatwe do odkrycia" otrzymają poprawki tak szybko, jak to możliwe, we wszystkich utrzymywanych wersjach głównych, a alongside aktualizacjami publikowane będą poradniki bezpieczeństwa. "Ta klasyfikacja dotyczy luk, które można odkryć przy minimalnym wysiłku, na przykład za pomocą prostego prompta LLM" — napisano w ogłoszeniu. Dla operatorów praktycznym skutkiem jest to, że łatki dla takich luk mogą teraz trafiać bezpośrednio do starszych, utrzymywanych wersji, a towarzyszące im poradniki stanowią publiczny zapis każdej poprawki.

Wszystkie pozostałe luki będą nadal podlegać harmonogramom ujawniania opartym na wadze zagrożenia — od luk krytycznych zagrażających fundamentalnemu bezpieczeństwucoina po błędy o niższym ryzyku o ograniczonym wpływie na poszczególne węzły. Bitcoin Core poinformował, że luki o niskiej wadze będą ujawniane dwa tygodnie po wydaniu wersji głównej zawierającej poprawkę, natomiast luki o średniej i wysokiej wadze będą ujawniane dwa tygodnie po tym, jak ostatnie dotknięte wydanie osiągnie koniec cyklu życia ("End of Life"), co zazwyczaj przypada rok po wprowadzeniu poprawki w nowej wersji głównej.

"Błędy krytyczne nie są objęte standardową polityką, ponieważ najprawdopodobniej wymagałyby procedury ad hoc" — napisano w komunikacie.

"W przeszłości nie zgadzałem się z podejściem Antoine'a do bezpieczeństwa, ale to dobra aktualizacja" — powiedział Luke de Wolf, gospodarz programu Bitcoin Infinity Show i autor książki "Defending Bitcoin".

Zmiana następuje po okresie nasilonej działalności w dziedzinie bezpieczeństwa napędzanej przez AI w ekosystemie Bitcoina. W sierpniu wolontariacki Bitcoin Red Team zgłosił blisko 5 000 potencjalnych problemów w 390 projektach, przy czym w tamtym momencie tylko około jedna piąta ustaleń została zweryfikowana. W tym samym miesiącu deweloperzy Core Lightning wezwali operatorów węzłów do aktualizacji lub wyłączenia węzłów po otrzymaniu wielu raportów o lukach wygenerowanych przez AI, wstrzymując się przez dwa tygodnie z ujawnieniem szczegółów technicznych. Operatorzy węzłów mogą śledzić, jak nowe harmonogramy będą funkcjonować w praktyce, poprzez stronę poradników bezpieczeństwa Bitcoin Core oraz trwającą dyskusję na liście mailingowej deweloperów.