Bitcoin Core 已修訂其安全揭露政策,加速修復大型語言模型可輕易發現的漏洞,終止此類錯誤過去所受的長達數月的禁發期。

維護者於週四將此變更合併至專案的安全政策。撰寫該提案的 Chaincode Labs 開發者 Antoine Poinsot 於同日在 Bitcoin Development 郵件清單中宣布此消息。

「我們最近發現,可輕易(重新)發現的安全漏洞報告數量有所增加,」Poinsot 寫道。「這主要是由於 LLM 大幅降低了發現某些類別問題或識別隱密修復的門檻。」

此次修訂使可發現性,而不僅僅是嚴重性,成為影響大多數 Bitcoin 節點運行軟體獲得公開修復速度的因素。

政策過去的運作方式

在先前的框架下,Bitcoin Core(運行於 Bitcoin 網路大多數節點的軟體)會按嚴重性對每個報告的漏洞進行分級,並相應安排揭露時間。低嚴重性缺陷在下一個主要版本發布兩週後公開。中高嚴重性問題則保持禁發狀態,直到最後一個受影響版本達到生命週期終止後兩週,這段時間可能長達一年。

漫長的時間表旨在讓節點運營者(其中許多人升級速度較慢)有時間在細節公開前遷移至已修補的軟體。實際上,這種做法意味著針對較舊受維護版本的修復不會發布,而是要等到下一個主要版本才會推出。

Poinsot 認為,對於容易重新發現的錯誤,這種權衡是失敗的。「禁發期收效甚微,但卻延遲了修復版本的可用性,」政策中寫道。

有何變更

在分類過程中,Bitcoin Core 現在可將漏洞標記為「易於發現」,政策將此類別定義為可「以極少努力(例如透過簡單的 LLM 提示)發現」的問題。此標籤也適用於透過其他方式發現的缺陷。

針對這些問題,專案將向所有受維護的主要版本回移修復,盡快發布點版本,並在修復軟體發布的同時發布包含部分細節的安全公告。Poinsot 承認,此類修復在送達用戶前的測試時間會較少。對於使用較舊受維護版本的運營者而言,這意味著修補程式現在會以點版本形式發布,而無需等待下一個主要版本,且細節會在修復發布時立即公開。

不屬於該類別的漏洞仍維持現有的基於嚴重性的時間表。關鍵錯誤——即可能在協議層面導致代幣被竊、通脹供應量或造成永久性鏈分裂的錯誤——仍不在標準政策範圍內,將逐案處。

開發者 Antoine Riard 曾推動一項選項,可在不發布公告的情況下推出修復,並逐案保留細節。Poinsot 拒絕了此提議,並寫道,在沒有細節的情況下提醒用戶「可能會不必要地製造更多風險」,因為這會促使原本不受影響的用戶倉促遷移。

一個充滿 AI 驅動報告的夏天

此次政策轉變是在 Bitcoin 開源專案面臨數月高度壓力之後。7 月下旬,一個由 16 名開發者組成的志願者團體「Bitcoin Red Team」在約一天內對 390 個 bitcoin 儲存庫運行 AI 模型,記錄了 4,962 項發現,其中 85 項被評為關鍵。

幾天內,該團體私下報告的 BTCPay Server 缺陷就在線上商家伺服器上被利用,導致 Lightning 節點資金被抽走。8 月,Core Lightning 開發者在向專案提交的 AI 生成的報告被證實準確後,要求運營者升級或斷線。

Red Team 的行動緊隨 7 月 30 日 Coldcard 硬體錢包漏洞事件,攻擊者在 25 分鐘內抽走 594 BTC。四次掃蕩造成的損失接近 1.14 億美元。

「易於發現」標籤的應用頻率以及修復的推出速度,未來將可在 Bitcoin Core 的安全公告和點版本中看到。

來源:Bitcoin Magazine | 作者:Micah Zimmerman