بٹ کوائن کور میں آسانی سے دریافت ہونے والی خامیوں کے لیے ایک سالہ پابندی ختم

بٹ کوائن کور اس سال بھر کے انتظار کو ختم کر رہا ہے جس میں ایک زبان ماڈل ایک ہی پرامپٹ میں دوبارہ سیکیورٹی پیچز تلاش کر سکتا ہے۔ 22 اکتوبر کو مرج کیا گیا منصوبے کی سیکیورٹی ڈسکلوزر پالیسی میں تبدیلی نے ایک "آسانی سے دریافت کی جانے والی" کلاس کی خرابی تشکیل دی ہے اور مینٹینرز کو ایک پوائنٹ ریلیز اور ایک عوامی اشتہار "جتنا جلد ممکن ہو" جاری کرنے کی ہدایت کرتی ہے — جس سے معیاری امبارگو کو نظرانداز کر دیا جاتا ہے جو اوسط یا اعلیٰ شدت والی خرابی کو تقریباً ایک سال تک راز رکھتا ہے۔

ٹریگر سیدھا سادہ ہے۔ مینٹینرز کو ایسی خرابیوں کی مزید رپورٹس مل رہی ہیں جو دوبارہ دریافت ہو رہی ہیں، کیونکہ زبانی ماڈلز کو ان کی دریافت کے لیے درکار کوشش کم کر دی گئی ہے۔ چین کوڈ لیبس میں بٹ کوائن کور کنٹریبیوٹر انتوان پوئنسوٹ نے اسی دن بٹ کوائن ڈویلپمنٹ میلنگ لسٹ پر اس تبدیلی کا اعلان کیا جب پل ریکسٹ کو مرج کر دیا گیا۔

ہم نے حال ہی میں ایسی سیکیورٹی کمزوریوں کی تعداد میں اضافہ دیکھا ہے جنہیں آسانی سے (دوبارہ) دریافت کیا جا سکتا ہے،" پوانسوٹ نے لکھا۔ "یہ زیادہ تر اس لیے ہے کہ LLMs کی وجہ سے کچھ قسم کے مسائل یا پوشیدہ فکسز کی شناخت کرنے کا بارڈر بہت کم ہو گیا ہے۔"

بٹ کوائن کور کی پچھلی پالیسی میں افشا کے وقت کو شدت سے جوڑا گیا تھا۔ کم شدت والی خامیاں اگلے بڑے ریلیز کے جاری ہونے کے دو ہفتے بعد عوامی طور پر جاری کی جاتی تھیں۔ درمیانی اور اعلیٰ شدت والی خامیاں تب تک پوشیدہ رہتی تھیں جب تک کہ آخری متاثرہ ریلیز کا مختتم ہونے کا وقت نہ ہو جائے — ایک ونڈو جسے پالیسی خود "فکس کے ساتھ ایک بڑے ورژن کے پہلے جاری ہونے کے تقریباً ایک سال بعد" کے طور پر بیان کرتی ہے۔

وہ شیڈول ایک وجہ کے ساتھ وجود رکھتا تھا۔ بٹ کوائن کور بٹ کوائن کے زیادہ تر نوڈس چلانے والی ریفرنس ایمپلیمنٹیشن ہے، اور نوڈ آپریٹرز سستی سے اپ گریڈ کرتے ہیں۔ لمبا پابندی کا عرصہ اس لیے تھا تاکہ نیٹ ورک کو جانکاری عوام کے سامنے آنے سے پہلے پیچ کرنے کا وقت مل سکے۔ اس کا تبادلہ یہ تھا کہ فکسز عام طور پر پیچھے کی طرف نہیں لائے جاتے تھے، اس لیے پرانی ریلیز پر آپریٹر اگلے بڑے ورژن کا انتظار کرتا تھا، جس کا مقصد منصوبہ تقریباً ہر چھ ماہ میں جاری کرنا ہے۔

احتیاط ساختی ہے، نہ کہ غیر متوقع۔ بٹ کوائن کے Taproot اپگریڈ جیسے متفقہ تبدیلیاں اس لیے آہستہ اور محتاط طریقے سے ہوتی ہیں تاکہ آپریٹرز اپنی اپنی مرضی سے ان کو اپناسکیں۔

"ہمارے منصوبے کی طبیعت اور ایک سست اپ گریڈ کلچر کے باعث، ہماری سیکیورٹی پالیسی لمبے امبارگو دورانیے کو ترجیح دیتی ہے،" پوئنسوٹ نے لکھا۔ "یہ عام طور پر اس بات کا مطلب ہے کہ سیکیورٹی فکسز کو بیک پورٹ نہیں کیا جا سکتا، اور صرف اگلے بڑے اصدار کے ساتھ صارفین تک دستیاب ہوتے ہیں۔"

AI اس توازن کو توڑ دیتا ہے۔ اگر ایک بگ کو ایک معمولی LLM اسکین کے ساتھ دوبارہ دریافت کیا جا سکتا ہے، تو اسے چھپانا کچھ بھی حاصل نہیں کرتا، کیونکہ خرابی پہلے ہی کسی بھی چیٹ بوٹ رکھنے والے کے لیے دستیاب ہے۔ "ان مسائل کے لیے جو آسانی سے دریافت کیے جا سکتے ہیں، یہ غلط توازن ہے۔ امبارگو دورانیہ کم ہی حاصل کرتا ہے لیکن یہ ایک فکسڈ ریلیز کی دستیابی میں تاخیر پیدا کرتا ہے،" پوئنسوٹ نے لکھا۔

مُعدّل پالیسی کے تحت، اب اطلاع دینے کا گھڑی تین ترتیبات رکھتا ہے۔ ایک کمزوری کو ٹرائیج کے دوران "آسانی سے دریافت کی جا سکنے والی" کے طور پر نشان زد کیا جا سکتا ہے — جسے "کم سے کم کوشش کے ساتھ، جیسے ایک آسان LLM پرامپٹ کے ذریعے" دریافت کیا جا سکتا ہے، اس طور پر تعریف کیا گیا ہے۔ یہ لیبل صرف AI سے دریافت ہونے والی خامیوں تک محدود نہیں ہے: یہ اس بات پر منحصر ہے کہ دوبارہ دریافت کرنے میں کتنا کم اقدام درکار ہے، نہ کہ دریافت کرنے والا کون سا ٹول ہے۔

ان خطا کے لیے، جواب ہر محور پر تبدیل ہوتا ہے۔ اگلے بڑے اصدار میں ایک منفرد اصلاح کے замانے کے بجائے، مینٹینر ابھی جاری بڑے ورژن کے ہر ایک میں اصلاح کو بیک پورٹ کریں گے — بٹ کوائن کور کے اپنے تین تازہ ترین اصداروں کی حمایت کے قاعدے کے تحت تین برانچز — اور جتنی جلدی ممکن ہو سکے پوائنٹ ریلیزز جاری کریں گے۔ ایک سیکورٹی مشورہ اصلاح شدہ سافٹ ویئر کے ساتھ جاری کیا جائے گا۔

شدت کی سیڑھی اب بھی باقی سب کچھ کو ہدایت کرتی ہے۔ کم شدت والی خرابیاں دو ہفتے کے شیڈول پر رہیں گی۔ درمیانی اور اعلیٰ شدت والی خرابیاں تقریباً ایک سال کے گھڑی پر رہیں گی۔ انتہائی اہم خرابیاں — جو پروٹوکول کے سطح پر کرنسی چھین سکتی ہیں، آپریشن کو بڑھا سکتی ہیں، یا چین کو مستقل طور پر الگ کر سکتی ہیں — معیاری پالیسی کے باہر رہتی ہیں اور جیسے پہلے ہوتے تھے، ویسے ہی معاملہ وار سنبھالی جاتی ہیں۔

اس استثناء کا وجود ایک اچھے سبب کی بنا پر ہے۔ بٹ کوائن کور کی تاریخ میں، ستمبر 2018 میں CVE-2018-17144 کے طور پر افشار کیا گیا انفلیشن بگ ایسا خرابی تھا جس کے لیے خصوصی طریقہ کار کی ضرورت تھی: یہ کوائنز کو جاری کرنے کے شیڈول کے باہر بنانے کی اجازت دے سکتا تھا۔ نئی "آسانی سے دریافت ہونے والی" راہ اس درجہ کو نہیں چھوتی — ایک اہم خرابی اب بھی پورے نیٹ ورک کے لیے خطرے کے مطابق ایڈ ہاک ردعمل حاصل کرے گی۔

چینج کو ڈسکلوزر ونڈو میں ایک کولیپس کے طور پر سب سے آسانی سے پڑھا جا سکتا ہے۔ آج فکس کیا گیا ایک میڈیم سیورٹی بگ عام طور پر تقریباً 52 ہفتوں تک پرائیویٹ رہتا ہے، جب تک کہ آخری متاثرہ ریلیز کے خاتمے کے دو ہفتوں بعد ہی اس کا اعلان نہیں ہوتا۔ اسی بگ کو، جب آسانی سے دریافت کیا جا سکتا ہے، تو اس کے مشورے کے ساتھ "جتنی جلدی ممکن ہو" ایک پوائنٹ ریلیز کے طور پر جاری کر دیا جاتا ہے۔ یہ ایک سال اور، مینٹینرز کے اپنے الفاظ میں، ایک ہدایت شدہ پیچ لکھنے، جانچنے اور ٹیسٹ کرنے میں لگنے والے وقت کے درمیان فرق ہے۔

بیک پورٹ کا عہد دوسری نصف ہے۔ تبدیلی سے پہلے، ایک فکس عام طور پر پرانی برانچ پر صارفین تک نہیں پہنچتا تھا؛ یہ اگلے بڑے اجرا کے ساتھ آتا تھا۔ اب ایک پرانے سپورٹ کیے جانے والے ورژن پر آپریٹر نئے بڑے ورژن میں موجود ہر خصوصیت اور رویے کو اپنانے کے بغیر ہدف مند نقطہ اجرا لے سکتا ہے۔ ایک ایسے نیٹ ورک کے لیے جہاں اپ گریڈ دیر سے اور محتاط طور پر ہوتے ہیں، یہ ایک مادی تبدیلی ہے کہ ایک پیچ کو حقیقت میں کتنی جلدی لایا جا سکتا ہے۔

تیز راستہ کی قیمت ہوتی ہے، اور پوینسو نے پل ریکسٹ میں اسے صاف صاف کہا۔ "یہ خاص طور پر اہم ہے کیونکہ اس پالیسی کے تحت، کمیٹیشنز کو صارفین تک پہنچانے سے پہلے ڈویلپمنٹ برانچز میں کم 'بیک ٹائم' ملے گا،" اس نے لکھا۔ کچھ دنوں میں جاری ہونے والا ایک فکس، اس وقت تک جو مہینوں تک رکا رہا، کم جائزہ اور ٹیسٹنگ کا وقت گزارتا ہے۔

بحث اس بات پر بھی تقسیم ہو گیا کہ کیا اطلاع دینا اور زیادہ تیز ہونا چاہیے۔ کچھ شرکاء نے دلیل دی کہ ایک فکس کا پل کریکٹ خود ہی حملہ آوروں کو اطلاع دے سکتا ہے، کیونکہ ریپوزٹری کو آٹومیٹک طور پر دیکھنا آسان ہے، اس لیے اطلاع کو پچ کے ساتھ یا اس سے پہلے، مخفی رہنمائی کے ساتھ دی جانی چاہیے۔ ایک دوسرے شرکاء نے فکسز کو ایک مختیاری یا تاخیر شدہ مشورے کے ساتھ جاری کرنے کا پroposal دیا۔ پوئنسوٹ نے اسے مسترد کر دیا، لکھتے ہوئے کہ تفصیلات کے بغیر صارفین کو اطلاع دینا آپریٹرز کے درمیان جلد بازی سے منتقلی کا باعث بنتا ہے جو کبھی متاثر نہیں ہوئے۔

ایکسچینج اہم ہے کیونکہ یہ ظاہر کرتا ہے کہ نیا پالیسی ایک جان بوجھ کر درمیانی راستہ ہے، واضح نہیں۔ ضم شدہ متن مشورہ کو فکس کے ساتھ ساتھ رکھتا ہے اور ایک عام تنبیہ کے بجائے مکمل تفصیلات برقرار رکھتا ہے۔

ابھی تک نئی کلاس میں کوئی کمزوری درج نہیں کی گئی ہے، اس لیے یہ عمل میں تبدیلی ہے، نہ کہ کسی فعال بگ کا اعلان۔ پہلا اصل ٹیسٹ تب آئے گا جب مینٹینر ترائج کے دوران کچھ "آسانی سے دریافت ہونے والا" نشان زد کریں اور برقرار رکھے گئے برانچز پر одноں کے ساتھ ایڈوائزری جاری کریں۔

وسیع سگنل یہ ہے کہ AI کی مدد سے بگ کی تلاش نے بٹ کوائن ایکو سسٹم کو پہلے ہی حرکت کرنے پر مجبور کر دیا ہے۔ کور لائٹننگ نے اس سال کے آغاز میں نوڈ آپریٹرز کو AI سے تخلیق کردہ خامیوں کی رپورٹس درست ثابت ہونے کے بعد اپ گریڈ کریں یا منقطع کر دیں کہا تھا۔ بٹ کوائن کور کی پالیسی میں تبدیلی پروٹوکول کی بنیادی لیئر پر اسی حساب کتاب کو حوالہ بناتی ہے: جب دوبارہ دریافت کرنا سستا ہو، تو پوشیدگی کم فائدہ دیتی ہے، اور صرف لمبی پابندی ایک مقررہ ریلیز کو تاخیر میں ڈالتی ہے۔

نود آپریٹرز کے لیے آج کچھ نہیں بدلتا۔ اپگریڈ کا معمول وہی رہتا ہے۔ فرق اس وقت آئے گا جب اگلی بار کوئی بگ آسانی سے دریافت ہونے والا قرار دیا جائے، جب ایک پیچ اور اس کا مشورہ اس سے پہلے کبھی نہیں ہوا، نیٹ ورک کو کم اطلاع دے کر ساتھ لائے جائیں۔