Bitcoin Core điều chỉnh chính sách công bố lỗ hổng, ứng phó với việc khai thác lỗ hổng AI

Các nhà phát triển cốt lõi của Bitcoin, Antoine Poinsot, đã thông báo về việc điều chỉnh chính sách công bố lỗ hổng bảo mật trong danh sách email phát triển Bitcoin. Ông cho biết, trước đây các lỗ hổng thường được giữ bí mật trong thời gian dài để người dùng có thể hoàn tất việc nâng cấp trước khi chi tiết được công bố, nhưng điều này cũng dẫn đến việc sửa chữa không thể được chuyển lại vào các phiên bản cũ, khiến người dùng phải chờ đợi bản phát hành lớn tiếp theo. Poinsot chỉ ra rằng, các mô hình ngôn ngữ lớn đã khiến một số lỗ hổng dễ dàng bị phát hiện lại, và việc tiếp tục trì hoãn sửa chữa đã cung cấp sự bảo vệ rất hạn chế.

Theo chính sách mới, các lỗ hổng được xác định là "dễ phát hiện" sẽ được sửa chữa càng sớm càng tốt trong tất cả các phiên bản chính được bảo trì và sẽ đồng thời phát hành thông báo bảo mật. Phân loại này áp dụng cho các lỗ hổng chỉ cần rất ít nỗ lực để phát hiện, chẳng hạn như thông qua các từ khóa gợi ý đơn giản của LLM. Các lỗ hổng khác vẫn sẽ tuân theo lịch trình công bố dựa trên mức độ nghiêm trọng: các lỗ hổng mức độ thấp sẽ được công bố hai tuần sau khi phát hành phiên bản lớn có chứa bản sửa; các lỗ hổng mức độ trung bình và cao sẽ được công bố hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng đạt đến thời điểm kết thúc vòng đời (thường là một năm sau khi bản sửa được phát hành trong phiên bản lớn mới). Các lỗ hổng quan trọng không nằm trong phạm vi chính sách tiêu chuẩn và có thể cần xử lý tạm thời.

Nhà nghiên cứu an ninh trong hệ sinh thái Bitcoin, Luke de Wolf, cho biết, trước đây ông không đồng tình với chiến lược an ninh của Poinsot, nhưng cho rằng bản cập nhật lần này là một điều chỉnh tốt. Vào tháng 8 năm nay, nhóm Bitcoin Red Team tình nguyện đã báo cáo gần 5000 vấn đề tiềm ẩn trong 390 dự án, trong đó chỉ khoảng một phần năm được tái hiện. Cùng tháng, các nhà phát triển Core Lightning đã kêu gọi các nhà điều hành nâng cấp hoặc đưa nút ra khỏi mạng sau khi nhận được nhiều báo cáo lỗ hổng do AI tạo ra, và giữ lại các chi tiết kỹ thuật trong hai tuần.