Points clés
- Bitcoin Core accélère les correctifs pour les vulnérabilités facilement détectables
- Des chercheurs en IA ont signalé 4 962 problèmes dans des projets bitcoin
- Les développeurs font face à de nouveaux compromis entre vitesse et tests
Les développeurs de Bitcoin Core ont modifié leurs règles de sécurité après que des outils d'intelligence artificielle aient aidé des chercheurs à identifier des milliers de vulnérabilités potentielles à travers l'écosystème Bitcoin plus large, suscitant des inquiétudes quant au fait que les méthodes traditionnelles de confidentialité des défauts logiciels deviennent moins efficaces.
La mise à jour de la politique, fusionnée le 22 octobre, introduit une divulgation et un correctif plus rapides pour les vulnérabilités pouvant être découvertes avec un minimum d'efforts, y compris via une simple requête d'IA.
Selon la politique de sécurité officielle de Bitcoin Core, les développeurs vont désormais publier des correctifs pour ces vulnérabilités facilement détectables sur les versions logicielles maintenues, sans attendre les périodes de non-divulgation longues qui s'appliquaient précédemment.
Pourquoi Bitcoin Core abandonne les embargo de sécurité prolongés
Bitcoin Core a traditionnellement retardé la divulgation publique de certaines vulnérabilités pour donner aux opérateurs de nœuds le temps de mettre à jour avant que les attaquants ne découvrent comment les exploiter.
Des failles de gravité moyenne et élevée pourraient rester non divulguées pendant environ un an, selon la date à laquelle les versions concernées du logiciel ont cessé de recevoir du support.
Cependant, l'intelligence artificielle modifie ce calcul.
Le contributeur de Bitcoin Core Antoine Poinsot a expliqué dans une annonce développeur du 22 octobre que les grands modèles linguistiques ont rendu certains défauts de sécurité beaucoup plus faciles à identifier ou à redécouvrir indépendamment.
Dans la nouvelle approche, les développeurs peuvent classer une vulnérabilité comme facilement détectable, distribuer des correctifs à chaque version majeure maintenue et publier un avis de sécurité en parallèle des mises à jour.
La proposition GitHub a été soumise le 16 octobre et fusionnée six jours plus tard.
D'autres vulnérabilités continueront de suivre les calendriers de divulgation basés sur la gravité, tandis que les problèmes critiques de sécurité du réseau bitcoin nécessitent une gestion individuelle.
Le changement fait suite aux débats précédents sur les mises à jour de Bitcoin Core, où les développeurs ont équilibré de nouvelles fonctionnalités avec la sécurité et la stabilité du réseau.
L'analyse de sécurité par IA signale près de 5 000 bogues potentiels du bitcoin
L'urgence est devenue évidente lors d'un vaste examen de sécurité assisté par l'IA plus tôt cette année.
Dans environ 30 heures, une équipe bénévole de Bitcoin Red Team composée de 16 développeurs a examiné 390 projets logiciels liés au bitcoin.
Les chercheurs ont signalé 4 962 problèmes de sécurité potentiels, dont 85 initialement classés comme critiques et 635 comme gravité élevée.
Coinpaper a précédemment documenté les trouves de l'équipe rouge Bitcoin, qui ont démontré comment l'analyse automatisée pouvait produire un grand nombre de rapports de vulnérabilités en un laps de temps remarquablement court.
Cependant, les chiffres nécessitent une distinction importante.
Ces résultats proviennent de centaines de projets liés au bitcoin, et non de vulnérabilités confirmées dans Bitcoin Core lui-même. Beaucoup nécessitaient une vérification supplémentaire, et les classifications étaient préliminaires.
Certaines vulnérabilités identifiées dans le cadre de l'effort de sécurité plus large étaient néanmoins graves.
En août, le processeur de paiements BTCPay Server a fait face à une vulnérabilité activement exploitée qui a exposé les identifiants associés aux nœuds du Lightning Network.
L'incident a déclenché une réponse de sécurité d'urgence, incluant des restrictions sur l'accès Lightning à distance.
Un autre fournisseur d'infrastructure bitcoin, Boltz, a temporairement désactivé les services d'échange après avoir signalé des attaques automatisées impliquant des techniques assistées par l'IA.
Les mises à jour plus rapides de la sécurité de bitcoin pourraient-elles introduire de nouveaux risques ?
Les règles de divulgation révisées pourraient aider les opérateurs de nœuds à recevoir des correctifs importants plus tôt, mais les versions accélérées créent leurs propres défis.
Poinsot a reconnu que les correctifs distribués rapidement peuvent faire l'objet de moins de tests avant d'atteindre les utilisateurs.
Les développeurs ont également débattu de la question de savoir si certaines alertes de sécurité devaient rester privées jusqu'à ce que des protections supplémentaires soient disponibles.
L'approche finale privilégie la publication d'une alerte accompagnée d'une correction accélérée pour les vulnérabilités jugées faciles à retrouver, plutôt que de publier des avertissements sans mise à jour disponible.
Les préoccupations vont au-delà des logiciels exécutant des nœuds Bitcoin.
Une vulnérabilité distincte du portefeuille matériel Coldcard a entraîné de grands vols de bitcoin plus tôt cette année, suscitant une nouvelle attention sur wallet security.
Cet incident n'a pas impliqué une vulnérabilité dans Bitcoin Core, mais il a démontré comment des faiblesses dans l'infrastructure environnante peuvent mettre en péril les actifs en cryptomonnaie, même lorsque la blockchain sous-jacente continue de fonctionner normalement.
L'analyse du portefeuille matériel de Coinpaper explique également pourquoi la génération sécurisée des clés et les mises à jour du micrologiciel restent des protections essentielles.