Bitcoin Core a révisé sa politique de divulgation de sécurité pour accélérer la correction et la divulgation des vulnérabilités que les grands modèles linguistiques peuvent facilement redécouvrir. Ce changement met fin aux embargos de plusieurs mois pour ces vulnérabilités. Les mainteneurs ont fusionné la révision jeudi. Le développeur de Chaincode Labs Antoine Poinsot, auteur de la proposition, a annoncé ce changement ce jour-là via la liste de diffusion Bitcoin Development.
Poinsot a déclaré que les rapports sur la redécouverte facile de vulnérabilités de sécurité avaient augmenté récemment. Il attribue une grande partie de cette augmentation aux grands modèles linguistiques, qui rendent beaucoup plus faciles l'identification de certaines classes de vulnérabilités et de correctifs cachés.
Bitcoin Core s'exécute sur la plupart des nœuds du réseau Bitcoin. La politique précédente liait le moment de la divulgation à la gravité attribuée à chaque vulnérabilité signalée. Les vulnérabilités de faible gravité devenaient publiques deux semaines après la sortie de la version majeure suivante. Les vulnérabilités de gravité moyenne et élevée restaient confidentielles jusqu'à deux semaines après la fin de vie de la dernière version affectée, ce qui pouvait prolonger l'embargo jusqu'à un an. Ces délais permettaient aux opérateurs de nœuds, dont beaucoup mettent à jour lentement, d'installer les logiciels corrigés avant la divulgation publique. En pratique, les correctifs n'étaient pas publiés pour les versions maintenues antérieures, mais apparaissaient uniquement dans la version majeure suivante. Poinsot a soutenu que cet compromis ne fonctionne pas pour les vulnérabilités facilement redécouvrables. La politique indique qu'un embargo offre peu d'avantage pour de telles vulnérabilités tout en retardant l'accès à une version corrigée.
Bitcoin Core peut désormais classer une vulnérabilité comme facilement détectable lors du tri. Cette catégorie couvre les vulnérabilités nécessitant peu d'efforts pour être trouvées, y compris par une simple requête adressée à un modèle de langage à grande échelle. Les vulnérabilités découvertes par d'autres méthodes peuvent également être concernées. Bitcoin Core appliquera les correctifs pour les vulnérabilités éligibles à chaque version majeure maintenue. Bitcoin Core publiera des versions ponctuelles dès que possible. Bitcoin Core publiera un avis de sécurité contenant certains détails lorsque le logiciel corrigé sera disponible. Poinsot a reconnu que les correctifs accélérés subiront moins de tests avant d'être livrés aux utilisateurs.
Les vulnérabilités qui ne répondent pas aux critères conservent le calendrier de divulgation basé sur la gravité existant. Les vulnérabilités critiques restent exemptées de la politique standard et feront l'objet d'un traitement individuel. Les vulnérabilités critiques incluent les défauts pouvant permettre le vol de pièces au niveau du protocole, augmenter l'offre de pièces ou diviser définitivement la chaîne.
Le développeur Antoine Riard a proposé de permettre des correctifs sans avis associés et de retenir les détails lorsque les circonstances individuelles le justifient. Poinsot a rejeté cette proposition. Poinsot a soutenu que des avertissements sans détails pourraient augmenter inutilement le risque en incitant les utilisateurs non concernés à migrer précipitamment.
La révision de la politique suit des mois de pression accrue sur les projets open-source de bitcoin. À la fin juillet, l'équipe Red de Bitcoin, un groupe de bénévoles composé de 16 développeurs, a utilisé des modèles d'IA pour examiner 390 dépôts de bitcoin en environ une journée. Le groupe a recensé 4 962 découvertes, dont 85 classées comme critiques. Quelques jours plus tard, des attaquants ont exploité une vulnérabilité du BTCPay Server que le groupe avait signalée en privé, vidant les nœuds Lightning sur des serveurs de merchant en ligne. En août, les développeurs de Core Lightning ont demandé aux opérateurs de mettre à niveau ou de se déconnecter après que les rapports de vulnérabilités générés par l'IA se soient révélés exacts.
Le travail de l'équipe rouge Bitcoin a suivi une exploitation impliquant des portefeuilles matériels Coldcard. Les attaquants ont vidé 594 BTC en 25 minutes le 30 juillet. Les pertes provenant de quatre prélèvements s'élèvent à près de 114 millions de dollars.
Bitcoin Core met fin aux embargos pour les vulnérabilités réutilisables par l'IA
FLASH AIPartager
Résumé
Bitcoin Core a levé les embargos sur les vulnérabilités redécouvrables par l'IA, révisant sa politique de sécurité pour permettre des correctifs plus rapides. Ce changement, fusionné jeudi, répond à une augmentation des signalements liés aux avancées de l'IA. Le mainteneur Antoine Poinsot a noté ce changement. Les problèmes éligibles bénéficient désormais de correctifs rétroactifs et de versions ponctuelles. Les avis sont publiés dès que les correctifs sont prêts. Les problèmes non éligibles suivent l'ancien calendrier. Cette mise à jour fait suite à des attaques pilotées par l'IA, notamment une violation de Coldcard pour 114 millions de dollars. Le calendrier d'approbation des ETF bitcoin reste incertain, mais l'intérêt pour les ETF bitcoin au comptant continue de croître.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.