Bitcoin Core, эталонная реализация протокола Bitcoin, утвердила пересмотр своей политики раскрытия уязвимостей: ошибки, которые достаточно просто обнаружить при минимальных усилиях, теперь будут исправляться и раскрываться немедленно, минуя период эмбарго, который обычно отделяет исправление от публичного раскрытия.

Что изменилось в правилах раскрытия

Разработчик Антуан Пуансо объявил о пересмотре 22 октября 2026 года в обсуждении в списке рассылки Bitcoin Development Mailing List. Обновление вводит новую категорию уязвимостей под названием «легко обнаруживаемые», охватывающую ошибки, которые можно выявить с небольшими усилиями. Главный пример — всё, что всплывает в результате простых запросов к большим языковым моделям (LLM), технологии, лежащей в основе современных ИИ-чатботов.

Ошибки, попавшие в эту категорию, получают иной режим обращения, чем все остальные: исправления будут немедленно портированы (backport) на каждую активно поддерживаемую мажорную версию Bitcoin Core, а рекомендация по безопасности будет опубликована одновременно.

Остальная часть политики остается в силе. Уязвимости низкой критичности по-прежнему раскрываются через две недели после мажорного релиза. Уязвимости средней и высокой критичности продолжают ждать до двух недель после того, как последний затронутый релиз достигнет конца жизненного цикла — окно, которое обычно составляет около года после исправления. Критические уязвимости полностью остаются за рамками нового механизма и будут по-прежнему обрабатываться в индивидуальном порядке.

Эти периоды ожидания являются стандартом скоординированного раскрытия уязвимостей в софтверной индустрии: сначала выпускается исправление, а публичные детали следуют после того, как у пользователей будет время обновиться, что ограничивает распространенность знания об уязвимости до установки патчей.

Почему ИИ вынудил изменить правила

Изменение отвечает на рост числа отчетов об уязвимостях, связанный с растущим использованием ИИ-инструментов, которые сделали определенные типы проблем проще в обнаружении и воспроизведении.

Команда Bitcoin Core признала связанные с этим компромиссы. С одной стороны — прозрачность, с другой — срочность побуждения пользователей к обновлению. Для ошибок, которые легко найти повторно, команда пришла к выводу, что длительные эмбарго не приносят ощутимой пользы.

Это обоснование следует из самой технологии: эмбарго обеспечивает защиту лишь до тех пор, пока уязвимость остается труднонаходимой, а ошибка, которую чатбот может выявить с помощью простого запроса, может быть найдена снова в любой момент.

Стоит отметить две детали. Во-первых, в новую категорию пока не помещена ни одна уязвимость, поэтому политика фактически не применялась к реальной ошибке. Во-вторых, категория не ограничивается уязвимостями, обнаруженными ИИ: определение зависит от того, насколько легко найти ошибку, а не от того, каким инструментом она была найдена.

Что это означает для операторов узлов

Наиболее прямой эффект коснется тех, кто управляет узлами Bitcoin Core. Приении легко находимой ошибки они могут увидеть патч и рекомендацию по безопасности, опубликованные одновременно, без льготного периода до того, как детали станут публичными. Это сокращает разрыв между появлением исправления и тем моментом, когда уязвимость становится общеизвестной.

Здесь важно обязательство по обратному портированию. Поскольку исправления выпускаются для всех активно поддерживаемых мажорных версий, операторы, не использующие последний релиз, все равно получат патч без необходимости переходить на новую мажорную версию.

Открытые вопросы носят практический характер. Как команда будет решать, что считается «легко обнаруживаемым», и насколько последовательно будет проводиться эта граница, когда начнут поступать реальные отчеты? Первая ошибка, отнесенная к новой категории, даст самый ясный ответ.