Bitcoin Coreは脆弱性開示ポリシーを調整し、AI脆弱性の発掘に対応します。

ビットコインコア開発者の Antoine Poinsot は、ビットコイン開発メールリストでセキュリティ脆弱性の開示ポリシーの調整を発表しました。彼は、過去には脆弱性が長期間秘密にされていたため、ユーザーが詳細が公開される前にアップグレードを完了できるようにしていたが、これにより修正が旧バージョンに戻せなくなり、ユーザーは次のメジャーバージョンのリリースを待たなければならなかったと述べました。Poinsot は、大規模言語モデルが一部の脆弱性を再発見しやすくしているため、修正の遅延が提供できる保護は非常に限られていると指摘しました。

新しいポリシーに基づき、「発見しやすい」と判断された脆弱性は、すべてのメンテナンスされているメジャーバージョンでできるだけ早く修正され、安全公告が同時に発表されます。この分類は、簡単な LLM プロンプトを通じて発見できる脆弱性に適用されます。他の脆弱性は、重大度に応じて開示スケジュールに従います：低重大度の脆弱性は修正を含むメジャーバージョンのリリースから2週間後に開示され、中高重大度の脆弱性は最後の影響を受けたバージョンがライフサイクルの終了（通常は新しいメジャーバージョンのリリースから1年後）に達してから2週間後に開示されます。重要な脆弱性は標準ポリシーの範囲外であり、一時的な手続きが必要になる可能性があります。

ビットコインエコシステムのセキュリティ研究者である Luke de Wolf は、彼は過去に Poinsot のセキュリティポリシーに同意していなかったが、今回の更新は良い調整であると考えていると述べました。今年の8月、ボランティアの Bitcoin Red Team は390のプロジェクトで約5000の潜在的な問題を報告し、その時点で再現されたのは約5分の1に過ぎませんでした。同月、Core Lightning 開発者は複数の AI 生成の脆弱性報告を受けて、オペレーターにアップグレードを促すか、ノードをオフラインにするように求め、技術的な詳細を2週間保持しました。