Bitcoin Core обновил свою политику безопасности, чтобы работать с уязвимостями, которые являются «легко обнаруживаемыми», сославшись на всплеск сообщений об ошибках, поиск которых большие языковые модели (LLM) «радикально упростили». Для таких уязвимостей проект теперь будет переносить исправление во все поддерживаемые ветки и выпускать новую версию как можно быстрее — вместе с рекомендацией по безопасности — вместо длительного эмбарго, поскольку тихое исправление «мало что даст», если ИИ-сканирование всё равно способно его обнаружить.

Обновление политики было объединено в четверг после того, как разработчик Chaincode Labs Антуан Пуансо открыл его в начале месяца в pull request в репозитории bitcoincore.org, сославшись на рост числа сообщений об ошибках, которые можно «легко (повторно) обнаружить». Причина, как написал Пуансо, в том, что большие языковые модели «радикально снизили планку» для поиска определённых классов проблем — или для выявления тихо выпущенного исправления в коде. По сути, это изменение признаёт, что ИИ сделал некоторые уязвимости настолько доступными для обнаружения, что сохранение их в секрете больше не имеет смысла.

Это изменение нацелено на противоречие, лежащее в основе любой политики раскрытия информации. Bitcoin Core — программная реализация, на которой работает большинство узлов сети Bitcoin, — давно отдавал предпочтение длительному периоду эмбарго: конвенции open-source, по которой сообщения об уязвимостях держатся в тайне до готовности исправления, а исправления безопасности часто откладываются до следующего крупного релиза. Такой осторожный подход отражает известную медлительность культуры обновлений Bitcoin, где спешка с обновлением узлов операторами несёт собственные риски. Но разработчики пришли к выводу, что для уязвимостей, которые злоумышленник может выявить одним ИИ-запросом, длительное эмбарго «мало что даёт, лишь откладывая выпуск исправленной версии». Чем раньше выходит исправленный релиз, тем меньше времени известная уязвимость остаётся эксплуатируемой на узлах сети.

Согласно новой политике, Bitcoin Core может помечать сообщённую уязвимость как «легко обнаруживаемую» — этот ярлык, как ожидается, будет присваиваться проблемам, находимым с помощью простого запроса к LLM. Для них проект перенесёт исправление во все поддерживаемые ветки и выпустит новую версию как можно быстрее, публикуя подробности в рекомендации по безопасности — публичном описании уязвимости и её исправления — вместе с исправленным ПО, а не откладывая изменение. Логика, как выразился Пуансо в обсуждении, такова, что скрытое исправление такой уязвимости «мало что даст», посколькуарное ИИ-сканирование может её найти, а активный бэкпорт всё равно выдаёт исправление.

Этот шаг отражает то, насколько резко ИИ изменил ландшафт безопасности вокруг Bitcoin. Летом волонтёрская «Bitcoin Red Team» начала наперегонки с злоумышленниками искать уязвимости, обнаруживаемые с помощью ИИ. В начале августа ИИ-аудит зафиксировал почти 5 000 находок в сотнях криптопроектов, а разработчики спешно закрывали выявленные ИИ уязвимости в реализациях Lightning и аппаратных кошельках. Один Bitcoin-мост даже прекратил работу, придя к выводу, что ИИ находит уязвимости быстрее, чем их удаётся исправлять. В дальнейшем рекомендации проекта по безопасности покажут, как часто применяется ярлык «легко обнаруживаемая» — и насколько быстро вслед за ним выходят соответствующие исправленные версии.