漏洞披露政策

ChainCatcher 消息，Google 安全團隊 Project Zero 宣布啟用新的 "Full X" 漏洞披露政策：漏洞將在報告給廠商 X 天後公開。新政策即日起按 "Full 90" 執行，2027 年 2 月 2 日縮短至 60 天，2028 年 1 月 3 日縮短至 30 天。原有的 "90+30" 政策隨之取消，寬限期和變體（variant）規則等特殊條款也一並移除。例外情況只剩三種：已遭在野利用的漏洞、細節已被他人公開的漏洞、廠商主動要求公開的漏洞。Project Zero 表示，AI 已大幅加快漏洞的發現與利用速度，其發現的漏洞數量也明顯增加。

ChainCatcher 消息，比特幣核心開發者 Antoine Poinsot 在比特幣開發郵件列表中宣布調整安全漏洞披露政策。他表示，過去漏洞通常被長期保密，以便用戶在細節公開前完成升級，但這也導致修復無法回移植到舊版本，用戶需等待下一個大版本發布。Poinsot 指出，大語言模型使部分漏洞極易被重新發現，繼續延遲修復所能提供的保護已十分有限。根據新政策，被判定為"易於發現"的漏洞將儘快在所有受維護的主版本中修復，並同步發布安全公告。該分類適用於僅需極少努力即可發現的漏洞，例如通過簡單的 LLM 提示詞。其他漏洞仍按嚴重程度遵循披露時間表：低嚴重性漏洞在包含修復的大版本發布兩週後披露；中高嚴重性漏洞則在最後一個受影響版本達到生命周期終止（通常為修復在新大版本發布一年後）兩週後披露。關鍵漏洞不在標準政策範圍內，可能需要臨時程序處理。比特幣生態安全研究者 Luke de Wolf 表示，他過去不認同 Poinsot 的安全策略，但認為此次更新是好的調整。今年 8 月，志願性質的 Bitcoin Red Team 在 390 個項目中報告了近 5000 個潛在問題，當時僅約五分之一得到複現。同月，Core Lightning 開發者在收到多份 AI 生成的漏洞報告後，敦促運營者升級或將節點下線，並保留技術細節兩週。