TL;DR: Bitcoin Coreは、AIを含む再発見が容易な脆弱性に対して、より迅速な修正と開示を採用しました。その他のセキュリティ上の欠陥については、従来通りの秘密保持期間が適用されます。
Bitcoin Coreは、攻撃者が簡単に発見できるセキュリティ上の欠陥に対処するためのスケジュールを変更しています。実際の問題は、ソフトウェアがほぼ即座にそのバグを再発見できる状況で、バグの説明を待つことが依然としてユーザーを保護するかどうかです。
10月22日に統合されたポリシーの更新により、これらのケースに対する迅速な対応ルートが確立されました。開発者アンソワーヌ・ポワンソは、大規模言語モデルにより、注目されないように意図された修正を特定するなど、いくつかの問題を見つけることが容易になったと主張しました。
これはBitcoinソフトウェアを保守する人々にとって難しい選択を生み出します：詳細を隠すことでアップグレードの時間を確保できますが、利用可能なパッチの遅延は運用者を脆弱な状態に置く可能性もあります。
簡単に再発見される不具合に対する迅速なリリース
更新された開示ポリシーにより、開発者は報告された脆弱性を容易に発見可能と分類できるようになります。シンプルなAIプロンプトがその一例であり、このカテゴリにはその他の方法で最小限の労力で発見された問題も含まれます。
これらの脆弱性に対して、メンテナーは各サポート対象のメジャーバージョンに対して、セキュリティアドバイザリを併せてできるだけ早く修正をリリースする予定です。これらのケースは、通常の深刻度に紐づく embargo をバイパスします。
独自のノードを運用する取引所や決済事業者にとっては、この違いが重要です。ポイントリリースにより、次の主要バージョンを待たずに特定の修正を提供できます。また、アドバイザリーは、運営者が自身の特定の設定が影響を受けているかどうかを判断するのにも役立ちます。
その他の開示ルールは変更ありません。低嚴重度の問題は、修正を含む主要リリースから2週間後に通常公開されます。中程度および高嚴重度の問題は、影響を受ける最新バージョンのサポート終了から2週間後に公開されることが一般的です。重大な脆弱性は依然として個別に対応が必要です。
秘密を減らすことは、テスト時間を短縮することも意味します
変動幅に伴う議論は、スピードにはコストが伴うことを明確に示している。ポワンソは、加速された修正措置はユーザーにリリースされる前に開発ブランチで過ごす時間が短くなると指摘した。したがって、開発者は欠陥を暴露するリスクと不適切な修正を導入するリスクの両方を天秤にかける必要がある。
キーセキュリティと同様に、パッチ対応の準備も運用上の重要な教訓です。ソフトウェアバージョンの最新のインベントリを維持し、それらに依存するサービスを理解し、制御されたアップグレードプロセスを整えることで、短い通知期間でも対応しやすくなります。
このアナウンス自体は、Bitcoinネットワークに対する新たな攻撃を特定するものではありません。これは、定義されたソフトウェア問題のカテゴリの対応方法を変更するものです。したがって、読者は、コインが盗まれたことやコンセンサスルールが失敗したことを示す証拠とは別に、改訂されたセキュリティプロセスを区別する必要があります。
その重要性はより狭く、実用的です：攻撃者が脆弱性を安価に再発見できる場合、修正されていないソフトウェアを使い続けることを正当化するのが難しくなります。対応は、早期に修正版をユーザーに提供することにシフトし、残るトレードオフを明確にします。
ニュースデスクが執筆し、サミュエル・レイが編集しました。