重點摘要
- 比特幣核心加速修復易於發現的漏洞
- AI 研究人員在比特幣項目中發現了 4,962 個問題
- 開發者面臨速度與測試之間的新取捨
比特幣核心開發者在人工智慧工具協助研究人員發現比特幣生態系統中數千個潛在漏洞後，修改了其安全規則，引發了對傳統保密軟體缺陷方法效力逐漸降低的擔憂。
於10月22日合併的政策更新，針對透過簡單AI提示等最少努力即可發現的漏洞，引入了更快的披露與修補機制。
根據 官方比特幣核心安全政策，開發者現在將在所有受支援的軟體版本中發布這些易於發現的漏洞修補程式，無需再等待先前適用的漫長保密期。
為何 Bitcoin Core 正在放棄長期的安全保密規定
比特幣核心傳統上會延遲公開某些漏洞，以讓節點運營者有時間更新，以免攻擊者學會利用這些漏洞。
中度和高度嚴重的漏洞可能因受影響軟體版本的支援期限結束時間而長達一年未被披露。
然而，人工智慧正在改變這一計算。
比特幣核心貢獻者安托萬·波瓦索特在 10 月 22 日的開發者公告 中解釋，大型語言模型已使某些安全漏洞變得更容易識別或獨立重新發現。
在修訂後的方法下，開發人員可將漏洞分類為易於發現，向所有受支援的主要版本分發修復程式，並同時發布安全公告。
GitHub 提案 於 10 月 16 日提交，六天後合併。
其他漏洞將繼續根據嚴重性披露時間表處理，而關鍵的比特幣網路安全問題則需個別處理。
該漲跌幅繼此前關於 Bitcoin Core 升級 的討論，開發者在新功能與安全性及網路穩定性之間取得平衡。
AI 安全審查發現近 5,000 個潛在比特幣漏洞
今年早些時候的一次大型AI輔助安全審查中，這種緊迫性變得顯而易見。
大約 30 小時後，一支由 16 名開發者組成的志願者 Bitcoin Red Team 檢查了 390 個與 Bitcoin 相關的軟體專案。
研究人員報告了 4,962 個潛在的安全問題，其中包括 85 個最初被分類為關鍵級別，以及 635 個被分類為高嚴重性。
Coinpaper 之前記錄了 Bitcoin Red Team 的發現，展示了自動化分析如何在極短時間內生成大量漏洞報告。
然而，這些數字需要一個重要的區分。
這些發現來自數百個與比特幣相關的項目，並非比特幣核心（Bitcoin Core）本身的已確認漏洞。許多需要進一步驗證，且分類僅為初步結果。
透過廣泛的安全努力所發現的一些漏洞仍然十分嚴重。
在八月，支付處理商 BTCPay Server 遭遇了一個被積極利用的漏洞，導致與 Lightning Network 節點相關的憑證外洩。
該事件迫使進行緊急安全回應，包括限制遠端 Lightning 存取。
另一家比特幣基礎設施供應商 Boltz 在報告涉及 AI 協助技術的自動化攻擊後，暫時 停用了交換服務。
更快的比特幣安全更新會帶來新的風險嗎？
修訂後的披露規則可能有助於節點運營者更早獲得重要修復，但加速發布也會帶來自身的挑戰。
Poinsot 承認，快速分發的補丁在到達用戶前可能經過較少的測試。
開發者也討論了某些安全警告是否應在額外保護措施到位前保持私密。
最終方案傾向於為容易被重新發現的漏洞發布諮詢資訊並同時提供快速修復，而非僅發布警告而無可用更新。
這些擔憂不僅限於運行比特幣節點的軟體。
今年早些時候，一項獨立的 Coldcard 硬體錢包漏洞導致了大規模的比特幣盜竊，促使人們重新關注 錢包安全。
該事件並未涉及比特幣核心的漏洞，但展示了周邊基礎設施的弱點如何在底層區塊鏈正常運行的情況下危及加密貨幣資產。
Coinpaper 的 硬體錢包分析 也解釋了為何安全的密鑰生成和更新的固件仍然是必要的保護措施。