Bitcoin Core a révisé sa politique de divulgation de sécurité pour accélérer les correctifs et les divulgations pour les vulnérabilités que les grands modèles linguistiques peuvent facilement redécouvrir. Ce changement met fin aux embargos de plusieurs mois pour ces vulnérabilités. Les maintainers ont fusionné la révision jeudi. Le développeur de Chaincode Labs Antoine Poinsot, auteur de la proposition, a annoncé ce changement ce jour-là via la liste de diffusion Bitcoin Development.
Poinsot a déclaré que les rapports concernant des vulnérabilités de sécurité facilement redécouvertes avaient augmenté récemment. Il attribue une grande partie de cette augmentation aux grands modèles linguistiques, qui rendent certaines classes de vulnérabilités et leurs correctifs cachés beaucoup plus faciles à identifier.
Bitcoin Core s'exécute sur la plupart des nœuds du réseau Bitcoin. La politique précédente liait le moment de la divulgation à la gravité attribuée à chaque vulnérabilité signalée. Les vulnérabilités de faible gravité devenaient publiques deux semaines après la sortie de la version majeure suivante. Les vulnérabilités de gravité moyenne et élevée restaient confidentielles jusqu'à deux semaines après la fin de vie de la dernière version affectée, ce qui pouvait prolonger l'embargo jusqu'à un an. Ces délais permettaient aux opérateurs de nœuds, beaucoup d'entre eux mettant à jour lentement, d'installer les logiciels corrigés avant la divulgation publique. En pratique, les correctifs n'étaient pas publiés pour les versions maintenues antérieures, mais apparaissaient uniquement dans la version majeure suivante. Poinsot a argumenté que ce compromis ne fonctionne pas pour les vulnérabilités facilement redécouvrables. La politique indique qu'un embargo offre peu d'avantage pour de telles vulnérabilités tout en retardant l'accès à une version corrigée.
Bitcoin Core peut désormais classer une vulnérabilité comme facilement détectable lors du tri. Cette catégorie couvre les vulnérabilités nécessitant peu d'efforts pour être trouvées, y compris via une simple requête adressée à un modèle de langage à grande échelle. Les vulnérabilités découvertes par d'autres méthodes peuvent également être concernées. Bitcoin Core appliquera les correctifs pour les vulnérabilités éligibles à chaque version majeure maintenue. Bitcoin Core publiera des versions ponctuelles dans les plus brefs délais. Bitcoin Core publiera un avis de sécurité contenant certains détails lorsque le logiciel corrigé sera disponible. Poinsot a reconnu que les correctifs accélérés feront l'objet de moins de tests avant d'être transmis aux utilisateurs.
Les vulnérabilités qui ne sont pas éligibles conservent le calendrier de divulgation basé sur la gravité existant. Les vulnérabilités critiques restent exemptées de la politique standard et feront l’objet d’un traitement individuel. Les vulnérabilités critiques incluent les failles pouvant permettre le vol de pièces au niveau du protocole, augmenter l’offre de pièces ou diviser définitivement la chaîne.
Le développeur Antoine Riard a proposé de permettre des correctifs sans avis associés et de retenir les détails lorsque les circonstances individuelles le justifient. Poinsot a rejeté cette proposition. Poinsot a soutenu que des avertissements sans détails pourraient augmenter inutilement les risques en incitant les utilisateurs non concernés à migrer précipitamment.
La révision de la politique suit des mois de pression accrue sur les projets open-source de bitcoin. À la fin juillet, le Bitcoin Red Team, un groupe de bénévoles composé de 16 développeurs, a utilisé des modèles d'IA pour examiner 390 dépôts de bitcoin en environ une journée. Le groupe a recensé 4 962 découvertes, dont 85 classées comme critiques. Quelques jours plus tard, des attaquants ont exploité une vulnérabilité du BTCPay Server que le groupe avait signalée en privé, vidant des nœuds Lightning sur des serveurs de merchant en ligne. En août, les développeurs de Core Lightning ont demandé aux opérateurs de mettre à niveau ou de se déconnecter après que les rapports de vulnérabilités générés par l'IA se soient révélés exacts.
Le travail de l'équipe rouge Bitcoin a suivi une exploitation impliquant des portefeuilles matériels Coldcard. Les attaquants ont vidé 594 BTC en 25 minutes le 30 juillet. Les pertes provenant de quatre prélèvements s'élèvent à près de 114 millions de dollars.