Core Lightning、AI生成レポートに見つかった実在の欠陥を警告

Bitcoin Lightningノード実装の一つであるCore Lightningのチームは、AI生成の脆弱性報告が多数寄せられ、その中に実際の問題が発見されたことを受けて、緊急のセキュリティ警告を発表しました。 水曜日にX（Twitter）で投稿された内容によると、Core Lightningはノード運用者に対し、自動化されたCVE報告で指摘された複数の問題が実際に存在することを明らかにし、開発チームは修正作業を協調して進めていると説明しました。運用者は、リリース次第すぐにアップデートをインストールして検証するよう促されました。また、直ちにアップグレードできない場合は、ノードを完全に電源オフにするのではなく、--offlineフラグを付けて再起動するよう推奨されています。 なぜノードを単に電源オフにしないのか？ Core Lightningは、推奨される--offlineフラグはピア接続を無効化し、入出金のルーティングを停止しますが、バックグラウンドでデーモンを稼働させ続けることで、Bitcoinチェーンの監視を継続できると説明しています。このバックグラウンド監視は極めて重要です。Lightning Networkのチャネルは閉鎖時にオンチェーンで決済されるため、対向者がチャネルを強制的に閉鎖した場合、稼働中のノードは即座に対応できます。一方、電源オフのノードでは対応できないため、チームは電源オフを最悪の選択肢と位置づけています。 このプロジェクトは、外部貢献者を含む小さなコアチームが、複数のソースから寄せられた大量のAI生成報告を約10日間精査しました。当初は迅速なポイントリリースを計画していましたが、代わりに署名済みで再現可能なバイナリを配布し、修正作業が完了し、運用者がノードをアップデートするまでの少なくとも2週間は技術的詳細を非公開に保つ方針です。チームは確認された脆弱性の数や、攻撃者が何を達成できるか、あるいは既に攻撃が観測されたかについては明かしていません。 プロジェクトからの実用的なガイドライン： - 次回リリースの署名を検証し、速やかにインストールしてください。 - 直ちにアップグレードできない場合は、--offlineフラグを使用して支払いとピア接続をブロックしつつ、オンチェーン監視を維持してください。 - 旧バージョン（26.04を含む）のサポートは終了します。バージョン26.09は9月下旬のリリース予定です。 この警告は、AI支援によるセキュリティ研究がBitcoinエコシステム全体で脆弱性を次々と発見しているという広範なトレンドの一部です。7月にはハードウェアウォレットメーカーCoinkiteが、AIを利用してColdcardのシード生成に脆弱性を発見し、数百万ドル分のBitcoinが盗まれたと発表しました。今月早々にはBoltzが、攻撃者がパッチを適用するよりも速く脆弱性を発見したため、一時的にサービスを停止しました。 ボランティアのBitcoin Red Teamはこの現象の規模を記録しています。彼らのAI支援によるレビューでは、390のBitcoinプロジェクトに対して4,962件の可能性のある脆弱性が特定され、そのうち85件が「極めて重大」と評価され、635件が「非常に深刻」と評価されました（一部は誤検出の可能性あり）。匿名の開発者でRed TeamメンバーであるCalleはDecryptに対し、「今や問題は時間の問題だ」と語り、AIによって従来のセキュリティ訓練を受けたことのない人々でもエンドツーエンドの攻撃コードを作成するハードルが下がったと述べました。 Core Lightningのメッセージは明確です：これは現在進行中のセキュリティイベントと捉えてください。次回のパッチ済みバイナリがリリースされ次第、速やかにインストールして検証するか、--offlineを使用してノードを安全に保ちながらオンチェーンでの資金保護を継続してください。単にノードの電源をオフにしてチャネル監視を放置しないでください。コミュニティと他のチームは、2週間の非公開期間中に詳細と修正が公開される様子を注目しています。