Bitcoin Core 已修订其安全披露政策，以加快对大型语言模型仅需极少努力即可发现的漏洞的修复速度，终结了此类漏洞曾经经历的长达数月的保密期。

维护者于周四将该变更合并到项目的安全政策中。撰写该提案的 Chaincode Labs 开发者 Antoine Poinsot 于同日在 Bitcoin 开发邮件列表中宣布了这一变更。

“我们最近发现，可被轻易（重新）发现的安全漏洞报告数量有所增加，”Poinsot 写道。“这在很大程度上是由于 LLM 大幅降低了发现某些类别问题或识别隐蔽修复的门槛。”

此次修订使可发现性，而不仅仅是严重程度，成为影响比特币网络大多数节点所运行软件多快能获得公开修复的因素。

此前政策如何运作

在之前的框架下，Bitcoin Core——比特币网络大多数节点所运行的软件——会按严重程度对每个上报的漏洞进行分级，并相应安排披露时间。低严重程度漏洞在下一个主要版本发布两周后公开。中等和高严重程度问题的保密期持续到最后一个受影响版本停止维护后两周，这段时间可能长达一年。

较长的周期旨在让节点运营商——其中许多人升级速度较慢——在细节公开之前有时间迁移到已修复的软件。实际上，这种做法意味着修复不会针对较旧的受维护版本发布，而是随下一个主要版本一同推出。

Poinsot 认为，对于容易被重新发现的漏洞，这种权衡并不奏效。政策中写道：“保密期收效甚微，却延迟了修复版本的可用性。”

有何变化

在分类评估期间，Bitcoin Core 现在可以将漏洞标记为“易发现”，政策将该类别定义为“仅需极少努力即可发现的问题，例如通过一个简单的 LLM 提示”。该标签也适用于通过其他方式发现的漏洞。

对于此类问题，项目将把修复向后移植到每个受维护的主要版本，尽快发布点版本，并在发布修复软件的同时发布包含部分细节的安全公告。Poinsot 承认，此类修复在到达用户之前的测试时间会更少。对于使用较旧受维护版本的运营商来说，这意味着补丁现在会以点版本形式发布，而无需等待下一个主要版本，且细节会在修复发布的同时公开。

不在此类别中的漏洞仍遵循现有的按严重程度安排的时间表。关键漏洞——即可能在协议层面导致币被盗、增加供应量或造成永久性链分裂的漏洞——仍不在标准政策范围内，将逐案处理。

开发者 Antoine Riard 曾推动增加一项选项，即在不发布公告的情况下推出修复，并逐案决定是否保留细节。Poinsot 拒绝了这一提议，他写道，在没有细节的情况下提醒用户“可能会不必要地制造更多风险”，因为这会促使本不受影响的用户仓促迁移。

AI 驱动报告频发的夏天

此次政策调整之前，比特币的开源项目已连续数月面临巨大压力。7 月下旬，一个由 16 名开发者组成的志愿团队 Bitcoin Red Team 在大约一天内对 390 个比特币代码库运行了 AI 模型，记录了 4,962 项发现，其中 85 项被评为关键。

几天之内，该团队此前私下上报的一个 BTCPay Server 漏洞就在线上商户服务器上遭到利用，导致闪电网络节点资金被抽走。8 月，Core Lightning 开发者在该项目收到的 AI 生成报告被证实准确后，要求运营商升级或断开连接。

Red Team 的行动之前，还发生了一起 Coldcard 硬钱包漏洞利用事件，攻击者于 7 月 30 日在 25 分钟内抽走了 594 BTC。四次扫币的总损失接近 1.14 亿美元。

“易发现”标签的应用频率——以及修复推出的速度——未来将体现在 Bitcoin Core 的安全公告和点版本中。

来源：Bitcoin Magazine | 作者：Micah Zimmerman