Bitcoin Coreは、大規模言語モデルが容易に再発見できる脆弱性に対する修正と開示を加速するため、セキュリティ開示ポリシーを改定しました。この変更により、これらの脆弱性に対する数か月にわたる開示制限が終了します。メンテナーは木曜日にこの改定をマージしました。提案を作成したChaincode Labsの開発者Antoine Poinsotは、その日、Bitcoin開発メーリングリストを通じてこの変更を発表しました。
ポワソは、簡単に再発見されるセキュリティ脆弱性に関する報告が最近増加していると述べた。ポワソは、この増加の大部分が大規模言語モデルによって特定のクラスの脆弱性や隠された修正がより簡単に特定されるようになったことに起因すると説明した。
Bitcoin Coreは、Bitcoinネットワークのほとんどのノードで動作しています。以前のポリシーでは、報告された脆弱性の深刻度に応じて開示時期を定めていました。低深刻度の脆弱性は、次のメジャーバージョンがリリースされてから2週間後に公開されました。中程度および高深刻度の脆弱性は、影響を受ける最終リリースのサポート終了から2週間後まで非公開に保たれ、隠蔽期間が1年まで延長される可能性がありました。これらのタイムラインにより、アップグレードが遅いことが多いノード運用者は、公開前にパッチ済みソフトウェアをインストールする余裕が得られていました。実際には、維持されている旧バージョンには修正がリリースされず、代わりに次のメジャーリリースに含まれていました。Poinsotは、この妥協策が簡単に再発見可能な脆弱性には適用できないと主張しました。このポリシーによれば、このような脆弱性に対して隠蔽期間を設けることはほとんど利益をもたらさず、修正済みリリースへのアクセスを遅らせるだけです。
Bitcoin Coreは、トリアージ中に脆弱性を簡単に発見可能と分類できるようになりました。このカテゴリには、大規模言語モデルへの単純なプロンプトなど、わずかな労力で見つけられる脆弱性が含まれます。他の方法で発見された脆弱性も対象となります。Bitcoin Coreは、対象となる脆弱性に対して、すべての維持中の主要バージョンに修正をバックポートします。Bitcoin Coreは、可能な限り迅速にポイントリリースを提供します。修正済みソフトウェアが利用可能になった際、Bitcoin Coreは一部の詳細を含むセキュリティアドバイザリーを公開します。Poinsotは、加速された修正がユーザーに提供される前に、より少ないテストしか行われないことを認めました。
対象とならない脆弱性は、従来の深刻度に基づく開示スケジュールを維持します。重大な脆弱性は標準ポリシーの対象外であり、個別に対応されます。重大な脆弱性には、プロトコルレベルでのコイン盗難を可能にする不具合、コイン供給量の増加、またはチェーンの永続的な分岐を引き起こす可能性のある不具合が含まれます。
開発者アントワーヌ・リヤールは、個別の状況が許す場合、アドバイザリーを伴わずに修正を許可し、詳細を控えることを提案した。ポワンソーはこの提案を拒否した。ポワンソーは、詳細のない警告が、影響を受けていないユーザーに急いで移行させる可能性があり、不必要なリスクを高める可能性があると主張した。
この方針の見直しは、Bitcoinのオープンソースプロジェクトに対する圧力が数ヶ月間増大した後に実施された。7月下旬、16人の開発者からなるボランティアグループであるBitcoin Red Teamは、AIモデルを用いて約1日で390のBitcoinリポジトリを調査した。同グループは4,962件の発見を記録し、そのうち85件が重要と分類された。数日後、攻撃者がこのグループが非公開で報告したBTCPay Serverの脆弱性を悪用し、ライブマーチャントサーバー上のLightningノードから資金を盗み取った。8月には、Core Lightningの開発者が、AIによって生成された脆弱性報告が正確であることを確認したため、運用者にアップグレードまたは切断を指示した。
Bitcoin Red Teamの活動は、Coldcardハードウェールウォレットを悪用した攻撃に続いて発生した。攻撃者は7月30日に25分以内に594 BTCを不正に引き出しました。4回の送金による損失は合計で約1億1400万ドルに達しました。