Bitcoin Core — основная эталонная реализация протокола Bitcoin, программное обеспечение, которое операторы узлов используют для независимой проверки транзакций и блоков в сети, — пересматривает подход к обработке уязвимостей, поясняя, что большие языковые модели (LLM) значительно упростили обнаружение отдельных классов программных ошибок.

В письме, отправленном в четверг в список рассылки разработчиков Bitcoin, разработчик Bitcoin Core Антуан Пуансо сообщил, что ранее уязвимости, как правило, удерживались под длительными эмбарго на раскрытие, чтобы у пользователей было время обновить узлы до публикации технических деталей. Сохранение такой секретности обычно означало, что исправления нельзя было портировать в старые, всё ещё поддерживаемые версии программного обеспечения — практика, при которой патчи применяются к ранее выпущенным поддерживаемым версиям, а не только к последнему коду, — и пользователям этих версий приходилось ждать следующего мажорного релиза.

Однако Пуансо отметил, что LLM сделали некоторые ошибки настолько лёгкими для повторного обнаружения, что откладывание исправлений практически не даёт защиты.

«Период эмбарго мало чего даёт, но задерживает выход исправленного релиза», — сказал Пуансо. «Поэтому мы обновляем нашу политику раскрытия, чтобы учесть это».

Изменение политики происходит на фоне того, как исследования безопасности с помощью ИИ оказывают растущее давление на разработчиков по всей экосистеме программного обеспечения Bitcoin.

Согласно обновлённой политике, уязвимости, признанные «легко обнаруживаемыми», будут исправляться как можно скорее во всех поддерживаемых мажорных версиях, а вместе с обновлениями будут публиковаться предупреждения о безопасности. «Эта классификация распространяется на уязвимости, которые можно обнаружить с минимальными усилиями, например с помощью простого запроса к LLM», — говорится в объявлении. Для операторов практический эффект заключается в том, что патчи для таких ошибок теперь могут напрямую попадать в старые поддерживаемые версии, а сопутствующие предупреждения служат публичным отчётом о каждом исправлении.

Все остальные уязвимости будут по-прежнему раскрываться по графикам в зависимости от критичности — от критических ошибок, угрожающих фундаментальной безопасности Bitcoin, до менее опасных багов с ограниченным влиянием на отдельные узлы. Bitcoin Core сообщил, что уязвимости низкой критичности будут раскрыты через две недели после выхода мажорной версии, содержащей исправление, а уязвимости средней и высокой критичности — через две недели после того, как последний затронутый релиз достигнет статуса «End of Life», как правило, через год после выпуска исправления в новой мажорной версии.

«Критические ошибки не рассматриваются в рамках стандартной политики, поскольку для них, скорее всего, потребуется специальная процедура», — говорится в сообщении.

«Раньше я не соглашался с подходом Антуана к безопасности, но это хорошее обновление», — сказал Люк де Вольф, ведущий Bitcoin Infinity Show и автор книги «Defending Bitcoin».

Это изменение следует за периодом усиления ИИ-активности в сфере безопасности экосистемы Bitcoin. В августе волонтёрская команда Bitcoin Red Team сообщила о почти 5000 потенциальных проблем в 390 проектах, хотя на тот момент была воспроизведена лишь примерно пятая часть находок. В том месяце разработчики Core Lightning призвали операторов узлов обновиться или отключить узлы после получения множества сгенерированных ИИ отчётов об уязвимостях, удерживая технические детали в течение двух недель. Операторы узлов могут отслеживать, как будут применяться новые сроки, через страницу предупреждений о безопасности Bitcoin Core и текущую дискуссию в списке рассылки разработчиков.