비트코인 코어 취약점 공개 정책 조정, AI 취약점 탐지 대응

비트코인 핵심 개발자 Antoine Poinsot가 비트코인 개발 메일링 리스트에서 보안 취약점 공개 정책 조정을 발표했습니다. 그는 과거 취약점이 일반적으로 오랜 기간 비밀로 유지되어 사용자가 세부 사항 공개 전에 업그레이드를 완료할 수 있도록 했지만, 이로 인해 수정 사항이 이전 버전으로 되돌아갈 수 없게 되었고, 사용자는 다음 주요 버전 출시를 기다려야 한다고 밝혔습니다. Poinsot는 대형 언어 모델이 일부 취약점을 쉽게 재발견할 수 있게 하여, 수정을 지연시키는 것이 제공할 수 있는 보호가 매우 제한적이라고 지적했습니다.

새로운 정책에 따르면, "발견하기 쉬운" 것으로 판단된 취약점은 가능한 한 빨리 모든 유지 관리되는 주요 버전에서 수정되며, 보안 공지가 동기화되어 발표됩니다. 이 분류는 극히 적은 노력으로 발견할 수 있는 취약점에 적용되며, 예를 들어 간단한 LLM 프롬프트를 통해 발견되는 경우입니다. 다른 취약점은 여전히 심각도에 따라 공개 일정에 따릅니다: 낮은 심각도 취약점은 수정이 포함된 주요 버전 출시 후 2주 후에 공개되며; 중간 및 높은 심각도 취약점은 마지막 영향을 받은 버전이 생애 주기 종료(일반적으로 수정이 새로운 주요 버전 출시 1년 후)에 도달한 후 2주 후에 공개됩니다. 주요 취약점은 표준 정책 범위에 포함되지 않으며, 임시 프로그램 처리가 필요할 수 있습니다.

비트코인 생태계 보안 연구자 Luke de Wolf는 그가 과거에 Poinsot의 보안 전략에 동의하지 않았지만 이번 업데이트가 좋은 조정이라고 생각한다고 밝혔습니다. 올해 8월, 자원봉사 성격의 Bitcoin Red Team은 390개 프로젝트에서 거의 5000개의 잠재적 문제를 보고했으며, 당시 약 5분의 1만 재현되었습니다. 같은 달, Core Lightning 개발자는 여러 AI 생성 취약점 보고서를 받은 후 운영자에게 업그레이드를 하거나 노드를 오프라인 상태로 전환할 것을 촉구하고, 기술 세부 사항을 2주 동안 보관하도록 했습니다.