Bitcoin Core пересмотрел свою политику раскрытия уязвимостей, чтобы ускорить исправление и раскрытие уязвимостей, которые крупные языковые модели могут легко воссоздать. Это изменение прекращает месячные периоды неразглашения для таких уязвимостей. Разработчики объединили поправку в четверг. Разработчик Chaincode Labs Антуан Пуансот, автор предложения, объявил об этом изменении в тот же день через рассылку Bitcoin Development Mailing List.
Пуансо заявил, что в последнее время увеличилось количество сообщений о легко восстанавливаемых уязвимостях безопасности. Пуансо приписал значительную часть этого роста крупным языковым моделям, которые значительно упростили выявление определенных классов уязвимостей и скрытых исправлений.
Bitcoin Core работает на большинстве нод в сети Bitcoin. Предыдущая политика связывала время раскрытия информации с уровнем серьезности, присвоенным каждой сообщенной уязвимости. Уязвимости низкой серьезности становились общественными через две недели после выпуска следующей основной версии. Уязвимости средней и высокой серьезности оставались конфиденциальными до двух недель после окончания срока поддержки последней затронутой версии, что могло продлить эмбарго до года. Эти сроки позволяли операторам нод, многие из которых обновляются медленно, установить исправленное программное обеспечение до публичного раскрытия. На практике исправления не выпускались для более старых поддерживаемых версий, а появлялись только в следующей основной версии. Пуансот утверждал, что такой компромисс не работает для уязвимостей, которые легко можно повторно обнаружить. Политика утверждает, что эмбарго не приносит никакой выгоды для таких уязвимостей, откладывая доступ к исправленной версии.
Bitcoin Core теперь может классифицировать уязвимость как легко обнаруживаемую на этапе приоритизации. Эта категория охватывает уязвимости, для обнаружения которых требуется минимальные усилия, включая простой запрос к большой языковой модели. Уязвимости, обнаруженные другими методами, также могут попадать в эту категорию. Bitcoin Core будет переносить исправления для подходящих уязвимостей во все поддерживаемые основные версии. Bitcoin Core выпустит точечные обновления как можно скорее. Bitcoin Core опубликует информационное сообщение о безопасности с некоторыми деталями, когда станет доступна исправленная версия программного обеспечения. Поансо признал, что ускоренные исправления пройдут менее тщательное тестирование до того, как пользователи получат их.
Уязвимости, не соответствующие критериям, сохраняют существующий график раскрытия информации на основе уровня серьезности. Критические уязвимости остаются исключением из стандартной политики и получают индивидуальное рассмотрение. Критические уязвимости включают дефекты, которые могут позволить украсть монеты на уровне протокола, увеличить предложение монет или навсегда расколоть цепочку.
Разработчик Антуан Риар предложил разрешить внесение исправлений без сопутствующих уведомлений и скрывать детали, если этого требуют индивидуальные обстоятельства. Пуансо отклонил это предложение. Пуансо утверждал, что предупреждения без деталей могут необоснованно повысить риск, побуждая пользователей, не затронутых проблемой, поспешно перейти.
Пересмотр политики последовал за месяцами усилившегося давления на открытые проекты Bitcoin. В конце июля Bitcoin Red Team — добровольная группа из 16 разработчиков — с использованием моделей ИИ изучила 390 репозиториев bitcoin примерно за один день. Группа зафиксировала 4 962 обнаружения, из которых 85 были классифицированы как критические. В течение нескольких дней злоумышленники воспользовались уязвимостью BTCPay Server, о которой группа сообщила частным образом, и опустошили Lightning-ноды на рабочих серверах мерчантов. В августе разработчики Core Lightning потребовали от операторов обновить ПО или отключиться, после того как отчеты об уязвимостях, сгенерированные ИИ, подтвердились.
Работа Bitcoin Red Team была связана с эксплуатацией, затрагивающей аппаратные кошельки Coldcard. Злоумышленники вывели 594 BTC за 25 минут 30 июля. Потери от четырех переводов составили почти 114 миллионов долларов.