Bitcoin Core изменяет правила безопасности после того, как ИИ выявил 4 962 потенциальных ошибки

Разработчики Bitcoin Core изменили свои правила безопасности после того, как инструменты искусственного интеллекта помогли исследователям выявить тысячи потенциальных уязвимостей во всей экосистеме Bitcoin, что вызвало опасения, что традиционные методы сохранения секретности программных ошибок становятся менее эффективными.

Обновление политики, введенное 22 октября, предусматривает более быстрое раскрытие и устранение уязвимостей, которые можно обнаружить с минимальными усилиями, включая с помощью простого запроса к ИИ.

Согласно официальной политике безопасности Bitcoin Core, разработчики теперь будут выпускать исправления для этих легко обнаруживаемых уязвимостей во всех поддерживаемых версиях программного обеспечения, не дожидаясь длительных периодов конфиденциальности, которые ранее применялись.

Bitcoin Core традиционно откладывает публичное раскрытие определённых уязвимостей, чтобы дать операторам нод время обновиться до того, как злоумышленники узнают, как их эксплуатировать.

Уязвимости средней и высокой степени тяжести могут оставаться необнаруженными в течение примерно года, в зависимости от того, когда версии затронутого программного обеспечения завершили свои сроки поддержки.

Однако искусственный интеллект меняет этот расчет.

Участник Bitcoin Core Антуан Пуансот объяснил в объявлении для разработчиков от 22 октября, что крупные языковые модели сделали некоторые уязвимости безопасности значительно проще для выявления или независимого повторного открытия.

В рамках пересмотренного подхода разработчики могут классифицировать уязвимость как легко обнаруживаемую, распространять исправления для каждой поддерживаемой основной версии и публиковать информационное сообщение о безопасности вместе с обновлениями.

Предложение GitHub было отправлено 16 октября и объединено шестью днями позже.

Другие уязвимости будут продолжать раскрываться в соответствии с графиком раскрытия по уровню серьезности, тогда как критические вопросы безопасности сети bitcoin требуют индивидуального подхода.

Изменение следует за предыдущими дискуссиями по поводу обновлений Bitcoin Core, в ходе которых разработчики сбалансировали новые функции с безопасностью и стабильностью сети.

Срочность стала очевидна во время масштабного анализа безопасности с использованием ИИ в начале этого года.

Примерно через 30 часов добровольная Bitcoin Red Team из 16 разработчиков проверила 390 проектов программного обеспечения, связанных с bitcoin.

Исследователи сообщили о 4 962 потенциальных проблемах безопасности, включая 85, изначально классифицированных как критические, и 635 как высокой степени серьезности.

Coinpaper ранее документировала результаты исследования Bitcoin Red Team, которые продемонстрировали, как автоматизированный анализ может генерировать большое количество отчетов об уязвимостях за исключительно короткий период времени.

Однако эти цифры требуют важного различия.

Это были выводы, полученные по сотням проектов, связанных с bitcoin, а не подтвержденные уязвимости в самом Bitcoin Core. Многие требовали дополнительной проверки, а классификации были предварительными.

Некоторые уязвимости, выявленные в рамках более широких мер безопасности, тем не менее были серьезными.

В августе процессор платежей BTCPay Server столкнулся с активно эксплуатируемой уязвимостью, которая раскрыла учетные данные, связанные с нодами Lightning Network.

Инцидент вызвал экстренную реакцию по безопасности, включая ограничения на удаленный доступ к Lightning.

Еще один провайдер инфраструктуры bitcoin, Boltz, временно отключил сервисы обмена после сообщения об автоматизированных атаках с использованием методов, поддерживаемых ИИ.

Пересмотренные правила раскрытия информации могут помочь операторам нод получать важные исправления раньше, но ускоренные релизы создают свои собственные трудности.

Пуансо признал, что патчи, распространяемые быстро, могут получать меньше тестирования перед тем, как дойдут до пользователей.

Разработчики также обсуждали, следует ли оставлять некоторые уведомления о безопасности закрытыми до появления дополнительных мер защиты.

Окончательный подход предполагает публикацию рекомендации вместе с ускоренным исправлением для уязвимостей, считающихся легкими для повторного обнаружения, вместо выпуска предупреждений без доступного обновления.

Озабоченности выходят за рамки программного обеспечения, запущенного на нодах Bitcoin.

Отдельная уязвимость аппаратного кошелька Coldcard привела к крупным кражам bitcoin в начале этого года, что вызвало повышенное внимание к безопасности кошельков.

Этот инцидент не был связан с уязвимостью в Bitcoin Core, но он продемонстрировал, как слабости в сопутствующей инфраструктуре могут ставить под угрозу хранение криптовалют, даже когда базовый блокчейн продолжает функционировать нормально.

Анализ аппаратного кошелька от Coinpaper также объясняет, почему безопасная генерация ключей и обновленная прошивка остаются важными мерами защиты.