بٹ کوائن کور AI کے ذریعے دوبارہ دریافت ہونے والی کمزوریوں کے لیے پابندیاں ختم کر دیتی ہے

بٹ کوائن کور نے اپنی سیکیورٹی اطلاع دینے کی پالیسی میں ترمیم کی ہے تاکہ ان خامیوں کے لیے فوری اصلاحات اور اطلاعات فراہم کی جا سکیں جنہیں بڑے زبانی ماڈل آسانی سے دوبارہ دریافت کر سکتے ہیں۔ یہ تبدیلی ان خامیوں کے لیے ماہوں تک کے پابندیوں کو ختم کر دیتی ہے۔ مینٹینرز نے جمعرات کو اس ترمیم کو ضم کر دیا۔ اینٹوان پوانسو، جنہوں نے تجویز تحریر کی تھی، نے اسی دن بٹ کوائن ڈویلپمنٹ میلنگ لسٹ کے ذریعے اس تبدیلی کا اعلان کیا۔

پوانسو نے کہا کہ حالیہ وقت میں آسانی سے دوبارہ دریافت ہونے والی سیکیورٹی کمزوریوں کی رپورٹس میں اضافہ ہوا ہے۔ پوانسو نے اس اضافے کا بڑا حصہ بڑے زبانی ماڈلز کو ذمہ دار ٹھہرایا، جو کچھ قسم کی کمزوریوں اور پوشیدہ فکسز کو پہچاننا بہت آسان بناتے ہیں۔

بٹ کوائن کور بٹ کوائن نیٹ ورک کے زیادہ تر نوڈس پر چلتا ہے۔ پچھلی پالیسی میں افشا کے وقت کو ہر رپورٹ کی گئی کمزوری کے سطح سے منسلک کیا گیا تھا۔ کم سطح کی کمزوریاں اگلے بڑے ورژن کے جاری ہونے کے دو ہفتے بعد عوامی طور پر شائع ہوتی تھیں۔ درمیانی اور اعلیٰ سطح کی کمزوریاں تب تک سرپرست رکھی جاتی تھیں جب تک کہ آخری متاثرہ ریلیز کا خاتمہ نہ ہو جائے، جس سے اس مخفی رکھنے کا دور ایک سال تک بڑھ سکتا تھا۔ ان مدتیں نوڈ آپریٹرز، جن میں بہت سے آہستہ اپ گریڈ کرتے ہیں، کو عوامی افشا سے پہلے درست شدہ سافٹ ویئر انسٹال کرنے کا موقع دیتی تھیں۔ عمل میں، پرانے محفوظ ورژنز کے لیے درستگیاں جاری نہیں کی جاتی تھیں بلکہ وہ اگلے بڑے ورژن میں ظاہر ہوتی تھیں۔ پوئنسوٹ نے دلائل دیے کہ یہ مساوی حل آسانی سے دوبارہ دریافت ہونے والی کمزوریوں کے لیے کام نہیں کرتا۔ پالیسی کہتی ہے کہ اس قسم کی کمزوریوں کے لیے مخفی رکھنا کم فائدہ دे�تا ہے جبکہ درست شدہ ریلیز تک رسائی متعطل ہوتی ہے۔

اب بٹ کوائن کور کسی خطرے کو ٹرائیج کے دوران آسانی سے قابل دریافت کے طور پر درج کر سکتا ہے۔ یہ زمرہ ان خطرات کو شامل کرتا ہے جن کو دریافت کرنے کے لیے کم محنت درکار ہوتی ہے، جن میں بڑے زبانی ماڈل کو سیدھا سا سوال پوچھنا بھی شامل ہے۔ دوسرے طریقوں سے دریافت ہونے والے خطرات بھی اس میں شامل ہو سکتے ہیں۔ بٹ کوائن کور قابلِ اطلاق خطرات کے لیے ہر محفوظ بڑی ورژن میں فکسز کو بیک پورٹ کرے گا۔ بٹ کوائن کور جلد از جلد پوائنٹ ریلیز جاری کرے گا۔ جب اصلاح شدہ سافٹ ویئر دستیاب ہوگا، تو بٹ کوائن کور ایک سیکورٹی ایڈوائزر جاری کرے گا جس میں کچھ تفصیلات شامل ہوں گی۔ پوئنسوٹ نے تسلیم کیا کہ تیز رفتار فکسز صارفین تک پہنچنے سے پہلے کم ٹیسٹنگ سے گزرنگے۔

جس قسم کی کمزوریاں اہل نہیں ہیں، ان کے لیے موجودہ شدت کی بنیاد پر افشا کا اوقات کا جدول برقرار رکھا جائے گا۔ اہم کمزوریاں معیاری پالیسی سے مستثنیٰ رہیں گی اور ان کا الگ سے انتظام کیا جائے گا۔ اہم کمزوریاں وہ ہیں جو پروٹوکول سطح پر کوائن چوری، کوائن کی فراہمی میں اضافہ یا چین کو مستقل طور پر تقسیم کرنے کی اجازت دے سکتی ہیں۔

ڈیولپر انتوان ریارڈ نے ایسے فکسز کو سپورٹ کرنے کا پیش کیا جن کے ساتھ مشورے نہ ہوں اور جب انفرادی حالات کی ضرورت ہو تو تفصیلات کو چھپا دیا جائے۔ پوانسو نے اس پیشکش کو مسترد کر دیا۔ پوانسو نے استدلال کیا کہ بغیر تفصیلات کے انتباہات غیر متاثرہ صارفین کو جلدی منتقل ہونے کی ترغیب دے کر خطرہ بڑھا سکتے ہیں۔

پالیسی میں ترمیم بٹ کوائن کے اوپن سورس منصوبوں پر مہینوں کے بڑھتے دباؤ کے بعد ہوئی۔ جولائِ کے آخر میں، بٹ کوائن ریڈ ٹیم، جو 16 ڈویلپرز پر مشتمل ایک добخواہ گروہ ہے، نے تقریباً ایک دن میں 390 بٹ کوائن ریپوزٹریز کا جائزہ لینے کے لیے AI ماڈلز کا استعمال کیا۔ گروہ نے 4,962 دریافت کیں ریکارڈ کیں، جن میں سے 85 کو انتہائی اہم قرار دیا گیا۔ کچھ دنوں کے اندر، حملہ آوروں نے BTCPay Server کی ایک کمزوری کا فائدہ اٹھایا جسے گروہ نے پہلے ہی خفیہ طور پر رپورٹ کر دیا تھا، جس سے لائیو مرچنٹ سرورز پر لائٹننگ نوڈس خالی ہو گئے۔ اگست میں، کور لائٹننگ ڈویلپرز نے آپریٹرز کو AI سے تخلیق شدہ کمزوری رپورٹس درست ثابت ہونے کے بعد اپ گریڈ یا منقطع کرنے کا حکم دیا۔

بٹ کوائن ریڈ ٹیم کا کام کولڈکارڈ ہارڈ ویئر والٹس کے ساتھ متعلق ایک ایکسپلوٹ پر مبنی تھا۔ حملہ آوروں نے 30 جولائی کو 25 منٹوں میں 594 بٹ کوائن خالی کر دیے۔ چار سویپس سے کل نقصان تقریباً 114 ملین امریکی ڈالر تھا۔