Bitcoin Core изменяет политику безопасности из-за простоты обнаружения багов с помощью ИИ

Изменения в политике раскрытия уязвимостей Bitcoin Core

В четверг в письме к Bitcoin Development Mailing List разработчик Bitcoin Core Антуан Пуансо сообщил, что в прошлом уязвимости обычно скрывали под длительным эмбарго на раскрытие, чтобы у пользователей было время обновиться до того, как подробности станут общедоступными.

Соблюдение этой секретности обычно означало, что исправления не могли быть перенесены в более старые версии программы, из-за чего пользователям приходилось ждать следующего крупного релиза. Однако, по словам Пуансо, большие языковые модели сделали некоторые уязвимости настолько простыми для повторного обнаружения, что задержка с выпуском исправлений не обеспечивает существенной защиты.

«Период эмбарго мало чего добивается, но задерживает доступность исправленной версии», — отметил Пуансо. «Поэтому мы обновляем нашу политику раскрытия, чтобы учитывать эти изменения.»

Это изменение происходит на фоне давления на разработчиков в экосистеме программного обеспечения Bitcoin со стороны исследований в области безопасности с помощью ИИ.

Согласно обновлённой политике, уязвимости, признанные «легко обнаружимыми», будут исправляться как можно скорее во всех поддерживаемых основных версиях, а уведомления о безопасности публиковаться параллельно с обновлениями.

«Эта классификация применяется к уязвимостям, которые можно обнаружить с минимальными усилиями, например, с помощью простого запроса к LLM», — говорится в документе.

Другие уязвимости продолжат раскрываться согласно графику, зависящему от важности: от критических ошибок, угрожающих фундаментальной безопасности Bitcoin, до менее серьёзных багов с ограниченным воздействием на отдельные узлы.

Bitcoin Core сообщил, что уязвимости низкой степени серьёзности будут раскрыты через две недели после выпуска основной версии с исправлением, а уязвимости средней и высокой степени — две недели после наступления «конца жизни» последнего пострадавшего выпуска, что обычно происходит через год после релиза с исправлением в новой версии.

«Критические ошибки не рассматриваются в рамках стандартной политики, так как, скорее всего, потребуют особой процедуры», — добавили разработчики.

«Раньше я не соглашался с подходом Антуана к безопасности, но это хорошее обновление», — заявил Люк де Вулф, ведущий Bitcoin Infinity Show и автор книги «Защита Bitcoin.»

В августе добровольческая команда Bitcoin Red Team сообщила о почти 5000 потенциальных проблемах в 390 проектах, хотя только около пятой части этих находок была воспроизведена на тот момент.

В том же месяце разработчики Core Lightning призвали операторов обновиться или отключить свои узлы после получения нескольких сгенерированных ИИ отчётов об уязвимостях, при этом технические детали были засекречены на две недели.