比特幣核心終止對可被人工智能重新發現的漏洞的禁令

Bitcoin Core 已修訂其安全披露政策，以加速修復和披露大型語言模型容易重新發現的漏洞。此變更終止了這些漏洞的數月保密期。維護者於週四合併了此修訂。提案作者、Chaincode Labs 開發人員 Antoine Poinsot 當天透過 Bitcoin 開發郵件列表宣布了此變更。

Poinsot 表示，近期輕易重新發現的安全漏洞報告有所增加。Poinsot 將大部分增加歸因於大型語言模型使某些類別的漏洞和隱藏的修復方案更容易被識別。

Bitcoin Core 在比特幣網絡的大多數節點上運行。先前的政策將披露時間與每個報告的漏洞所分配的嚴重性相關聯。低嚴重性漏洞在下一個主要版本發布後兩週公開。中等和高嚴重性漏洞則在最終受影響版本達到生命週期終點後兩週才保持機密，這可能使保密期延長至一年。這些時間表讓節點運營者（許多升級速度較慢）能在公開披露前安裝修補後的軟體。實際上，修補程式並未發布於較舊的維護版本中，而是出現在下一個主要版本中。Poinsot 認為，對於容易被重新發現的漏洞，這種妥協並不起作用。該政策指出，對於此類漏洞，保密期幾乎沒有好處，反而延遲了對修復版本的訪問。

Bitcoin Core 現在可以在分類時輕易將漏洞歸類為易於發現。此類別涵蓋只需極少努力即可發現的漏洞，包括透過對大型語言模型提出直接提示來發現的漏洞。透過其他方法發現的漏洞亦可符合資格。Bitcoin Core 將為符合資格的漏洞向所有受支援的主要版本回溯修補程式。Bitcoin Core 將盡快發布點版本更新。當修補軟體可用時，Bitcoin Core 將發布一份包含部分細節的安全公告。Poinsot 承認，加速修補的程式在用戶收到前將經過較少的測試。

不符合資格的漏洞將繼續沿用基於嚴重程度的披露時間表。關鍵漏洞仍豁免於標準政策，將獲得個別處理。關鍵漏洞包括可能允許協議層級的幣資盜竊、增加幣供應量或永久分叉區塊鏈的缺陷。

開發者 Antoine Riard 提議在個別情況下允許在無需附帶警告的情況下進行修復，並隱藏細節。Poinsot 拒絕了該提議，認為沒有細節的警告可能會促使未受影響的用戶匆忙遷移，從而無謂地增加風險。

此次政策修訂是在比特幣開源項目面臨數月來日益增加的壓力後進行的。七月底，由16名開發者組成的志願者團隊「Bitcoin Red Team」利用AI模型，在約一天內檢測了390個比特幣倉庫，共記錄了4,962項發現，其中85項被列為關鍵問題。數日內，攻擊者利用該團隊私下報告的BTCPay Server漏洞，竊取了實體商戶伺服器上的Lightning節點資金。八月，Core Lightning開發者在AI生成的漏洞報告得到驗證後，指示運營商升級或斷開連接。

比特幣紅隊的工作涉及利用 Coldcard 硬體錢包的漏洞。攻擊者於 7 月 30 日在 25 分鐘內盜取了 594 BTC。四次轉移造成的損失總計近 1.14 億美元。