Bitcoin Core ändrar hantering av säkerhetssårbarheter
Bitcoin Core meddelar att det inte längre är effektivt att hålla vissa sårbarheter hemliga i ljuset av AI-assisterad buggsökning. Organisationen ändrar sin hantering av säkerhetssårbarheter och förklarar att stora språkmodeller (LLM) har gjort det betydligt enklare att upptäcka vissa programvarufel.
Ny policy för offentliggörande av sårbarheter
I ett e-postmeddelande till Bitcoin Development Mailing List på torsdagen sa Bitcoin Core-utvecklaren Antoine Poinsot att sårbarheter tidigare ofta hölls under långa offentliggörandeembargon för att ge användarna tid att uppgradera innan detaljer blev offentliga. Att upprätthålla denna hemlighet innebar vanligtvis att lösningar inte kunde bakportas till äldre programvaruversioner, vilket lämnade användarna i väntan på nästa stora version.
”Embargo-perioden ger lite men fördröjer tillgången till en fixad version,” sa Poinsot. ”Vi uppdaterar därför vår policy för offentliggörande för att anpassa oss till detta.”
Ändringen kommer i en tid då AI-assisterad säkerhetsforskning sätter press på utvecklare inom hela Bitcoins programvaruekosystem. Under den nya policyn kommer sårbarheter som bedöms som ”lätt upptäckbara” att få lösningar så snart som möjligt över alla underhållna stora versioner, med säkerhetsmeddelanden publicerade samtidigt som uppdateringarna.
”Denna klassificering gäller sårbarheter som kan upptäckas med minimal ansträngning, till exempel genom en enkel LLM-prompt,” förklarade de.
Offentliggörandeplaner baserade på allvarlighetsgrad
Andra sårbarheter kommer att fortsätta följa offentliggörandeplaner baserade på allvarlighetsgrad, som sträcker sig från kritiska fel som hotar Bitcoins grundläggande säkerhet till lägre riskbuggar med begränsad påverkan på individuella noder. Bitcoin Core meddelade att sårbarheter med låg allvarlighetsgrad kommer att offentliggöras två veckor efter att en stor version som innehåller lösningen har släppts, medan medel- och högsårbarheter kommer att offentliggöras två veckor efter att den senaste drabbade versionen når sin ”End of Life”, vanligtvis ett år efter att lösningen har släppts i den nya stora versionen.
”Kritiska buggar beaktas inte i den standardpolicyn, eftersom de troligen skulle kräva en ad-hoc procedur,” sa de.
Reaktioner och framtida utmaningar
Luke de Wolf, värd för Bitcoin Infinity Show och författare till ”Defending Bitcoin”, kommenterade:
”Jag har varit oense med Antoines tillvägagångssätt till säkerhet tidigare, men detta är en bra uppdatering.”
I augusti rapporterade den frivilliga Bitcoin Red Team nästan 5 000 potentiella problem över 390 projekt, även om endast omkring en femtedel av deras fynd hade reproducerats vid den tidpunkten. Den månaden uppmanade Core Lightning-utvecklarna operatörer att uppgradera eller ta sina noder offline efter att ha mottagit flera AI-genererade sårbarhetsrapporter, samtidigt som de höll tekniska detaljer hemliga i två veckor.
Relaterat: PHP-fel drar till sig miljontals utnyttjandeförsök, Cloudflare-VD varnar.
