Политика раскрытия уязвимостей Bitcoin Core была скорректирована для противодействия добыче уязвимостей с помощью AI

Разработчик ядра Биткойн Антуан Пуансо объявил в списке рассылки по разработке Биткойн об изменении политики раскрытия уязвимостей. Он отметил, что ранее уязвимости обычно долго хранились в секрете, чтобы пользователи могли завершить обновление до публикации деталей, но это также привело к тому, что исправления не могли быть перенесены на старые версии, и пользователи должны были ждать следующего крупного релиза. Пуансо указал, что большие языковые модели делают некоторые уязвимости очень легко обнаруживаемыми, и дальнейшая задержка в исправлении предоставляет очень ограниченную защиту.

Согласно новой политике, уязвимости, которые будут признаны "легко обнаруживаемыми", будут исправлены как можно скорее во всех поддерживаемых основных версиях и одновременно будет выпущено уведомление о безопасности. Эта категория относится к уязвимостям, которые можно обнаружить с минимальными усилиями, например, с помощью простых подсказок LLM. Другие уязвимости по-прежнему будут следовать графику раскрытия в зависимости от степени серьезности: уязвимости низкой серьезности будут раскрыты через две недели после выпуска крупной версии с исправлением; уязвимости средней и высокой серьезности будут раскрыты через две недели после того, как последняя затронутая версия достигнет окончания жизненного цикла (обычно через год после выпуска нового крупного релиза). Критические уязвимости не подпадают под стандартную политику и могут потребовать временного решения.

Исследователь безопасности экосистемы Биткойн Люк де Вольф заявил, что ранее он не соглашался с безопасной стратегией Пуансо, но считает, что это обновление является хорошей корректировкой. В августе этого года добровольная группа Bitcoin Red Team сообщила о почти 5000 потенциальных проблем в 390 проектах, из которых только около пятой части были воспроизведены. В том же месяце разработчики Core Lightning, получив несколько отчетов об уязвимостях, сгенерированных ИИ, призвали операторов обновить или отключить узлы и сохранить технические детали в течение двух недель.