बिटकॉइन कोर आसानी से खोजे जा सकने वाली त्रुटियों के लिए एक वर्ष लंबे प्रतिबंध को समाप्त कर देता है

बिटकॉइन कोर एक साल की प्रतीक्षा को समाप्त कर रहा है, जिसमें एक भाषा मॉडल एक ही प्रॉम्प्ट में सुरक्षा पैच ढूंढ सकता है। 22 अक्टूबर को मर्ज किए गए प्रोजेक्ट की सुरक्षा अनुदान नीति में बदलाव किया गया है, जिससे एक “आसानी से खोजने योग्य” वल्नरेबिलिटी की श्रेणी बन गई है और रखरखावकर्ताओं को एक पॉइंट रिलीज और एक सार्वजनिक सलाह “जितनी जल्दी हो सके” जारी करने का निर्देश दिया गया है — मानक निषेध को छोड़कर, जो मध्यम या उच्च-गंभीरता वाली बग को लगभग एक साल तक गुप्त रखता है।

ट्रिगर सीधा है। रखरखावकर्ता बग्स के अधिक रिपोर्ट्स प्राप्त कर रहे हैं, जो लगातार फिर से पाए जा रहे हैं, क्योंकि भाषा मॉडल उन्हें खोजने के लिए आवश्यक प्रयास को कम कर चुके हैं। चेनकोड लैब्स में बिटकॉइन कोर योगदानकर्ता एंटवान प्वांसोट ने उसी दिन पुल रिक्वेस्ट के मर्ज होने के साथ बिटकॉइन डेवलपमेंट मेलिंग लिस्ट पर इस बदलाव की घोषणा की।

"हमने हाल ही में सुरक्षा विभेदों की रिपोर्ट की संख्या में वृद्धि देखी है, जिन्हें आसानी से (पुनः) खोजा जा सकता है," पॉंसोट ने लिखा। "यह मुख्य रूप से LLMs के कारण है, जो कुछ प्रकार की समस्याओं को खोजने या गुप्त सुधारों की पहचान करने की बाधा को काफी कम कर देते हैं।"

बिटकॉइन कोर की पिछली नीति में खुलासे के समय को गंभीरता से जोड़ा गया था। कम गंभीरता वाली त्रुटियाँ अगले प्रमुख रिलीज़ के लॉन्च के दो सप्ताह बाद सार्वजनिक हो गईं। मध्यम- और उच्च-गंभीरता वाली त्रुटियाँ तब तक गुप्त रखी गईं जब तक कि प्रभावित अंतिम रिलीज़ का समापन न हो जाए — एक ऐसी अवधि जिसे नीति स्वयं “लगभग एक वर्ष” के रूप में वर्णित करती है, जो ठीक होने वाले प्रमुख संस्करण के पहले रिलीज़ होने के बाद की होती है।

उस समयसूची का अस्तित्व एक कारण के लिए था। बिटकॉइन कोर, बिटकॉइन के अधिकांश नोड्स चलाने वाला संदर्भ कार्यान्वयन है, और नोड संचालक धीरे-धीरे अपग्रेड करते हैं। एक लंबा प्रतिबंध इस बात के लिए रखा गया था कि नेटवर्क को जानकारी सार्वजनिक होने से पहले पैच लगाने का समय मिले। इसका विकल्प यह था कि सुधार सामान्यतः पुराने संस्करणों में नहीं लागू किए जाते थे, इसलिए पुराने संस्करण पर संचालक को अगले प्रमुख संस्करण का इंतजार करना पड़ता था, जिसे प्रोजेक्ट लगभग हर छह महीने में जारी करने का लक्ष्य रखता है।

चेतावनी संरचनात्मक है, आकस्मिक नहीं। बिटकॉइन के Taproot अपग्रेड जैसे सहमति में बदलाव धीरे-धीरे और सावधानी से लागू किए जाते हैं, ताकि संचालक अपनी अपनी अवधि में उन्हें अपना सकें।

"हमारे प्रोजेक्ट की प्रकृति और धीमी अपग्रेड संस्कृति के कारण, हमारी सुरक्षा नीति एक लंबे निषेध अवधि का समर्थन करती है," पॉंसोट ने लिखा। "इसका सामान्यतः अर्थ है कि सुरक्षा ठीक किए जा सकते हैं, और केवल अगले प्रमुख रिलीज के साथ उपयोगकर्ताओं के लिए उपलब्ध होते हैं।"

AI इस समझौते को तोड़ देता है। यदि एक बग को एक साधारण LLM स्कैन के साथ पुनः खोजा जा सकता है, तो इसे छिपाने से कुछ नहीं मिलता, क्योंकि दोष पहले से ही किसी भी चैटबॉट रखने वाले के लिए पहुँच में है। "इन मुद्दों के लिए जो आसानी से पाए जा सकते हैं, यह गलत समझौता है। निषेध अवधि कम ही प्राप्त करती है, लेकिन यह एक ठीक किए गए रिलीज की उपलब्धता में देरी करती है," पोंसोट ने लिखा।

संशोधित नीति के तहत, अब प्रकटीकरण घड़ी में तीसरा सेटिंग है। एक वल्नरेबिलिटी को ट्रायेज के दौरान "आसानी से खोजने योग्य" के रूप में चिह्नित किया जा सकता है — जिसे "न्यूनतम प्रयास के साथ, जैसे कि एक साधारण LLM प्रॉम्प्ट के माध्यम से" खोजा जा सकता है, के रूप में परिभाषित किया गया है। यह लेबल केवल AI द्वारा पाए गए बग्स तक सीमित नहीं है: यह दर्शाता है कि पुनः खोजने में कितना कम प्रयास लगता है, न कि किस उपकरण ने खोज की।

उन बग्स के लिए, प्रत्येक अक्ष पर प्रतिक्रिया बदल जाती है। अगले प्रमुख रिलीज़ में एकल ठीक करने के बजाय, रखरखावकर्ता प्रत्येक वर्तमान में समर्थित प्रमुख संस्करण में ठीक करना शुरू कर देंगे — बिटकॉइन कोर के नियम के अनुसार अपने नवीनतम तीन रिलीज़ समर्थित हैं — और जितनी जल्दी हो सके, पॉइंट रिलीज़ करेंगे। एक सुरक्षा सलाह ठीक किए गए सॉफ़्टवेयर के साथ प्रकाशित की जाती है।

गंभीरता की सीढ़ी अभी भी सब कुछ नियंत्रित करती है। कम गंभीरता वाली त्रुटियाँ दो सप्ताह के अनुसूची पर रहती हैं। मध्यम और उच्च गंभीरता वाली त्रुटियाँ लगभग एक वर्ष के समयचक्र पर रहती हैं। गंभीर त्रुटियाँ — जो प्रोटोकॉल स्तर पर कॉइन चुने जा सकती हैं, आपूर्ति में वृद्धि कर सकती हैं, या श्रृंखला को स्थायी रूप से विभाजित कर सकती हैं — मानक नीति के बाहर हैं और जैसे हमेशा, उन्हें मामला-दर-मामला संभाला जाता है।

उस छूट का होना एक अच्छे कारण के लिए है। बिटकॉइन कोर के इतिहास में, सितंबर 2018 में CVE-2018-17144 के रूप में उजागर किया गया अनुप्रयोग बग ऐसा दोष था जिसने विशेष प्रबंधन का औचित्य स्थापित किया: इससे जारीकरण अनुसूची के बाहर कॉइन बनाए जा सकते थे। नया “आसानी से खोजने योग्य” मार्ग उस स्तर को छूता नहीं है—एक महत्वपूर्ण बग को अभी भी पूरे नेटवर्क के लिए जोखिम के आधार पर एक अनुकूल प्रतिक्रिया मिलेगी।

बदलाव को डिस्क्लोजर विंडो में एक कॉलेप्स के रूप में सबसे आसानी से पढ़ा जा सकता है। आज ठीक किया गया एक मीडियम-सीवेरिटी बग सामान्यतः लगभग 52 सप्ताह तक निजी रहता है, और केवल अंतिम प्रभावित रिलीज के एंड ऑफ लाइफ के दो सप्ताह बाद ही खुलासा किया जाता है। एक ही बग, जब आसानी से पता लगाया जा सकने वाला घोषित किया जाता है, तो उसके साथ एडवाइजरी के साथ "जितनी जल्दी हो सके" एक पॉइंट रिलीज के रूप में जारी किया जाता है। यह एक वर्ष और, प्रबंधकों के अपने ही संदर्भ में, एक लक्ष्यित पैच को लिखने, समीक्षा करने और परीक्षण करने में लगने वाले समय के बीच का अंतर है।

बैकपोर्ट प्रतिबद्धता दूसरा हिस्सा है। बदलाव से पहले, एक फिक्स आमतौर पर पुरानी रखरखाव वाली शाखा पर उपयोगकर्ताओं तक नहीं पहुंचता था; यह अगले प्रमुख रिलीज़ के साथ पहुंचता था। अब एक पुराने समर्थित संस्करण पर संचालक नवीनतम प्रमुख संस्करण में हर फीचर और व्यवहार में बदलाव अपनाए बिना लक्षित पॉइंट रिलीज़ ले सकता है। एक ऐसे नेटवर्क के लिए, जहां अपग्रेड धीमे और सावधानी से होते हैं, यह एक पैच को वास्तव में कितनी जल्दी लागू किया जा सकता है, इस तरीके में एक महत्वपूर्ण बदलाव है।

तेज़ रास्ते की कीमत होती है, और पॉइंसोट ने पुल रिक्वेस्ट में इसे स्पष्ट रूप से कहा। “यह विशेष रूप से महत्वपूर्ण है क्योंकि इस नीति के तहत, उपायों को उपयोगकर्ताओं को जारी किए जाने से पहले डेवलपमेंट शाखाओं में कम ‘बेक समय’ मिलेगा,” उन्होंने लिखा। कुछ दिनों में जारी होने वाला एक फिक्स, कुछ महीनों तक रुके हुए फिक्स की तुलना में कम समय तक समीक्षा और परीक्षण में बिताता है।

चर्चा यह भी विभाजित हो गई कि अनुपालन को और भी तेज़ किया जाना चाहिए या नहीं। कुछ योगदानकर्ताओं का तर्क था कि एक ठीक किए गए सुधार का पुल अनुरोध खोलना स्वयं हमलावरों को संकेत दे सकता है, क्योंकि प्रतिभागी को स्वचालित रूप से भंडार को देखना सस्ता है, इसलिए अनुपालन को पैच के साथ या उससे पहले, समाधान मार्गदर्शन के साथ किया जाना चाहिए। एक अलग योगदानकर्ता ने स्वैच्छिक या विलंबित सलाह के साथ सुधारों को जारी करने का प्रस्ताव रखा। पॉइंसोट ने इसे खारिज कर दिया, लिखते हुए कि बिना विवरण के उपयोगकर्ताओं को सूचित करने से ऐसे संचालकों में जल्दबाज़ी में स्थानांतरण हो सकता है, जो कभी प्रभावित नहीं हुए।

एक्सचेंज मायने रखता है क्योंकि यह दर्शाता है कि नई नीति एक जानबूझकर बीच का रास्ता है, एक स्पष्ट नहीं। संयुक्त पाठ सलाह को ठीक करने के साथ-साथ समान समय पर रखता है और एक अस्पष्ट चेतावनी के बजाय पूरी विस्तार से जानकारी रखता है।

अभी तक नए क्लास में कोई वल्नरेबिलिटी नहीं डाली गई है, इसलिए यह प्रक्रिया में बदलाव है, न कि किसी लाइव बग का खुलासा। पहला वास्तविक परीक्षण तब आता है जब रखरखावकर्ता ट्राइएज के दौरान कुछ को “आसानी से खोजने योग्य” चिह्नित करते हैं और सभी रखरखाव किए जा रहे शाखाओं पर समान समय पर सलाह के साथ पॉइंट रिलीजेस जारी करते हैं।

व्यापक संकेत यह है कि AI-सहायता वाली बग खोज ने पहले ही बिटकॉइन परितंत्र को आंदोलित कर दिया है। कोर लाइटनिंग ने इस साल पहले नोड संचालकों को अपग्रेड करें या अलग कर दें कहा था, क्योंकि AI-उत्पन्न वल्नरेबिलिटी रिपोर्ट्स सही साबित हुईं। बिटकॉइन कोर का नीति बदलाव प्रोटोकॉल के बेस लेयर पर एक ही गणना कर रहा है: जब पुनः खोज सस्ती हो, तो गोपनीयता कम लाभ देती है, और एक लंबे प्रतिबंध से केवल निर्धारित रिलीज़ ही टाली जाती है।

नोड ऑपरेटर्स के लिए, आज कुछ भी नहीं बदलता। अपग्रेड की आवृत्ति वही रहती है। अंतर अगली बार आएगा जब कोई बग आसानी से पता लगाने योग्य माना जाएगा, जब एक पैच और उसकी सलाह एक साथ कम सूचना के साथ आएंगे, जितनी कभी नेटवर्क को मिली हो।