Bitcoin Core 已修订其漏洞披露政策，取消了对易于发现的漏洞——包括通过向语言模型发送简单提示就可能浮现的问题——基于严重程度的 embargo（禁运期）。开发者 Antoine Poinsot 于 10 月 22 日将这一变更提交至项目的安全政策。

此次更新是一项披露规则，而非新漏洞利用的报告，且与比特币的密码学或用户私钥的安全性无关。

AI 为何削弱了 embargo 的作用

开发者写道，他们最近收到更多关于容易被发现或被再次发现的漏洞的报告。他们将此主要归因于语言模型，因为语言模型降低了发现某些类别漏洞的门槛，还能识别隐蔽修复——即合入代码中但未标注为安全补丁的补丁。

第二点削弱了 embargo 的意义。embargo 指维护者在准备修复版本期间对已报告缺陷细节保密的窗口期。Bitcoin Core 是开源的，因此修复在细节公布之前很久就已在公开代码中可见。如果模型能够识别出某项变更是安全修复，那么保持沉默几乎无法向攻击者隐藏漏洞，却仍会延迟用户获得修复版本的时间。

"embargo 期收效甚微，却延迟了修复版本的可用性，"开发者写道。

漫长的 embargo 也影响了修复的落地范围。开发者指出，他们的做法通常意味着安全修复无法回移（backport）到较旧的仍在支持的版本，只能随下一个大版本发布才能到达用户手中。

新规则如何改变时间线

项目安全公告页面中列出的现有时间线显示了这一等待可能有多长。开发者在评估报告时决定漏洞的分类。

新规则预计将覆盖那些只需极少努力就能发现的漏洞，例如通过向语言模型发送简单提示即可发现的漏洞，但并不限于 AI 的发现。对于这类漏洞，基于严重程度的 embargo 不再适用，细节可以与修复版本一同公布，而无需等待期。

哪些节点会获得补丁

Bitcoin Core 的维护政策覆盖最新的三个大版本。当新的大版本发布时，最旧的版本将进入生命周期终点，通常不再获得安全修复。

仍在运行 28.x 或更早版本的节点通常不会收到这些修复。该项目力争每六到七个月发布一个大版本，下一个版本 32.0 将使 29.x 退出维护窗口。Bitcoin Core 建议运行运营者可升级到的最新大版本中的最新维护版本，其下载页面说明了如何验证版本的校验和与签名。

回移还取决于人力。项目的生命周期页面指出，随着版本老化，回移变更的门槛会提高，而且并不总有足够的志愿者处理。维护能力也影响了其他决策，正如早前关于 Bitcoin Core 支持 CJDNS 隐私网络的争论所显示的那样。

权衡与关注点

开发者将每一项安全政策都视为透明度——它对攻击者和防御者都有帮助——与给用户留出升级时间之间的平衡，而 Bitcoin Core 缓慢的升级文化使后者更为困难。在发布修复版本的同时发布公告，意味着在部分节点仍运行未打补丁软件时细节就已公开。对于攻击者自己也能发现的漏洞，开发者判断快速修复比保密细节更为重要。

在新规则下发布的第一份安全公告将显示，点版本（大版本内的次要更新）在实践中能以多快的速度覆盖全部三个受维护的版本。此外，32.0 的发布将缩小能够接收这些修复的节点范围。

本文仅供信息参考，不构成财务或投资建议。节点运营者应遵循 Bitcoin Core 官方发布说明和验证指引。

来源：Coindoo