Bitcoin Core 已修訂其漏洞揭露政策，取消對易被發現漏洞的基於嚴重性的禁運期——包括透過對語言模型提出簡單提示就可能浮現的問題。開發者 Antoine Poinsot 已於 10 月 22 日將此變更提交至專案的安全政策。

此次更新是一項揭露規則，並非新漏洞利用的報告，也不涉及 Bitcoin 的密碼學或用戶私鑰的安全性。

為何 AI 削弱了禁運期的作用

開發者寫道，他們最近收到更多有關漏洞容易被發現、或被再次發現的報告。他們將此主要歸因於語言模型，因為這些模型降低了挖掘某些類別漏洞的門檻，還能辨識隱蔽的修補——即未經標記就合併進程式碼的安全補丁。

第二點削弱了禁運期（即維護者在準備修復版本期間暫緩公布已回報缺陷細節的時間窗口）的目的。Bitcoin Core 是開源的，因此修補內容在其細節公布之前早已可在公開程式碼中看到。如果模型能辨識出某項變更是安全修補，保持沉默幾乎無法向攻擊者隱藏漏洞，卻仍延遲了修補版本向用戶提供。

開者寫道：「禁運期收效甚微，卻延遲了修復版本的提供。」

漫長的禁運期也影響了修補落地的位置。開發者指出，他們的做法通常意味著安全修補無法向後移植——即回移至仍在支援的較舊版本——而只能隨下一個主要版本才送達用戶。

新規則如何改變時間線

專案安全公告頁面上列出的現有時間線顯示了這種等待可能有多長。開發者在評估報告時決定其分類。

預計新規則將涵蓋能以極低成本發現的漏洞，例如透過對語言模型的簡單提示即可發現，但並不限於 AI 的發現。對這類漏洞，基於嚴重性的禁運期不再適用，其細節可與修復版本一同公布，而非經過等待期後再公布。

哪些節點會獲得修補

Bitcoin Core 的維護政策涵蓋最新的三個主要版本。當新版本發布時，最舊的版本即達生命週期終點，通常不再獲得安全修補。

仍在運行 28.x 或更舊版本的節點一般不會收到這些修補。該專案目標是每六至七個月發布一個主要版本，下一個版本 32.0 將使 29.x 退出維護窗口。Bitcoin Core 建議運營者運行其可升級的最新主要版本中的最新維護版本，其下載頁面說明如何驗證版本的校驗和與簽名。

向後移植也取決於人力。專案的生命週期頁面指出，隨著版本老化，向後移植變更的門檻會提高，而且並不總有足夠的志願者來處理。維護能力也影響過其他決策，例如早前關於 Bitcoin Core 支援 CJDNS 隱私網路的辯論。

權衡與值得關注之處

開發者將每一項安全政策視為透明度（對攻擊者和防禦者皆有幫助）與給予用戶升級時間之間的平衡——而 Bitcoin Core 緩慢的升級文化使後者更難實現。在發布修復版本的同時發布公告，意味著細節公開時部分節點仍在運行未修補的軟體。對於攻擊者自己也可能發現的漏洞，開發者認為快速修復比保密更為重要。

在新規則下發布的第一份安全公告，將顯示點版本（即主要版本內的小幅更新）在實務中能多快送達所有三個維護中的版本。此外，32.0 的發布將縮小可收到這些修補的節點範圍。

本文僅供參考，不構成財務或投資建議。節點運營者應遵循 Bitcoin Core 官方版本說明與驗證指引。

來源：Coindoo