Bitcoin Core змінює правила безпеки після того, як ШІ виявив 4 962 потенційні вразливості

Розробники Bitcoin Core змінили свої правила безпеки після того, як інструменти штучного інтелекту допомогли дослідникам виявити тисячі потенційних вразливостей у всій більшій екосистемі Bitcoin, що викликало занепокоєння щодо того, що традиційні методи зберігання програмних недоліків у таємниці стають менш ефективними.

Оновлення політики, об’єднане 22 жовтня, вводить швидше розголошення та виправлення вразливостей, які можна виявити з мінімальними зусиллями, включаючи за допомогою простого запиту до ШІ.

Згідно з офіційною політикою безпеки Bitcoin Core, розробники тепер будуть випускати виправлення для цих легко виявлюваних вразливостей у підтримуваних версіях програмного забезпечення, не чекаючи довгих періодів конфіденційності, які раніше застосовувалися.

Bitcoin Core традиційно відкладав публічне розголошення певних вразливостей, щоб надати операторам нод час оновитися до того, як зловмисники дізнаються, як їх експлуатувати.

Середні та високі рівні вразливостей можуть залишатися нерозголошеними приблизно рік, залежно від того, коли вразливі версії програмного забезпечення досягли кінця своїх періодів підтримки.

Однак штучний інтелект змінює цей розрахунок.

Біткоін Кор розробник Антуан Пуансот пояснив у оголошенні розробників від 22 жовтня, що великі мовні моделі зробили деякі проблеми безпеки значно простішими для виявлення або самостійного відновлення.

За новим підходом розробники можуть класифікувати вразливість як легко виявляєму, розповсюджувати виправлення для кожної підтримуваної основної версії та публікувати інформаційне повідомлення з безпеки разом із оновленнями.

Пропозицію GitHub подано 16 жовтня, і її об’єднано через шість днів.

Інші вразливості будуть продовжувати розкриватися відповідно до графіків, заснованих на рівні серйозності, тоді як критичні питання безпеки мережі bitcoin вимагають індивідуального підходу.

Зміна відбулася після попередніх дискусій щодо оновлень Bitcoin Core, де розробники балансували нові функції з безпекою та стабільністю мережі.

Стрімкість стала очевидною під час масштабного безпекового огляду з використанням ШІ на початку цього року.

Приблизно через 30 годин добровільна Bitcoin Red Team з 16 розробників перевірила 390 проектів програмного забезпечення, пов’язаних з bitcoin.

Дослідники повідомили про 4 962 потенційні проблеми безпеки, з яких 85 спочатку були класифіковані як критичні, а 635 — як високого рівня серйозності.

Coinpaper раніше документувала висновки Bitcoin Red Team, які продемонстрували, як автоматизований аналіз може генерувати велику кількість звітів про вразливості за дуже короткий період часу.

Однак ці цифри вимагають важливого розрізнення.

Це були висновки, отримані на основі сотень проектів, пов’язаних з bitcoin, а не підтверджені вразливості в самому Bitcoin Core. Багато з них вимагали додаткової перевірки, а класифікації були попередніми.

Деякі вразливості, виявлені в рамках загальних заходів з безпеки, тим не менш були серйозними.

У серпні платіжний процесор BTCPay Server став жертвою активно експлуатованої вразливості, яка відкрила облікові дані, пов’язані з нодами Lightning Network.

Інцидент спричинив надзвичайну реакцію з питань безпеки, включаючи обмеження доступу до Lightning на відстані.

Ще один постачальник інфраструктури bitcoin, Boltz, тимчасово вимкнув сервіси обміну після повідомлення про автоматизовані атаки з використанням технологій, що підтримуються штучним інтелектом.

Оновлені правила розкриття інформації можуть допомогти операторам нод отримувати важливі виправлення раніше, але прискорені випуски створюють власні виклики.

Поінсо визнав, що патчі, які розповсюджуються швидко, можуть отримати менше тестування перед тим, як досягнути користувачів.

Розробники також обговорювали, чи слід зберігати деякі попередження щодо безпеки у конфіденційності, доки не будуть доступні додаткові заходи захисту.

Остаточний підхід передбачає публікацію рекомендації разом із прискореним виправленням для вразливостей, які вважаються легкими для повторного виявлення, замість видання попереджень без наявного оновлення.

Стурбованість поширюється далі за програмне забезпечення, що запускає ноди bitcoin.

Окрема вразливість апаратного гаманця Coldcard призвела до великих крадіжок bitcoin на початку цього року, що спричинило нове звернення уваги на безпеку гаманця.

Цей інцидент не стосувався вразливості в Bitcoin Core, але продемонстрував, як слабкості в супутній інфраструктурі можуть загрожувати зберіганню криптовалют, навіть коли базовий блокчейн продовжує працювати нормально.

Аналіз апаратного гаманця від Coinpaper також пояснює, чому безпечне створення ключів та оновлений прошивка залишаються важливими заходами захисту.