Bitcoin Core меняет политику раскрытия уязвимостей из-за угрозы их обнаружения с помощью ИИ

Разработчик ядра Bitcoin Антуан Пуансо объявил об изменении политики раскрытия уязвимостей безопасности в рассылке для разработчиков Bitcoin. Он заявил, что ранее уязвимости часто долго держались в секрете, чтобы пользователи успели обновиться до публикации деталей, но это также приводило к тому, что исправления не переносились в старые версии, и пользователям приходилось ждать следующего крупного релиза. Пуансо отметил, что большие языковые модели делают некоторые уязвимости очень легко обнаруживаемыми повторно, и защита, которую может обеспечить продолжение задержек с исправлением, теперь довольно ограничена. Согласно новой политике, уязвимости, считающиеся «легко обнаруживаемыми», будут исправляться как можно скорее во всех поддерживаемых основных версиях, а объявления о безопасности будут публиковаться одновременно. Эта классификация применяется к уязвимостям, которые можно обнаружить с минимальными усилиями, например, с помощью простых запросов к LLM. Другие уязвимости по-прежнему будут следовать графику раскрытия в зависимости от серьезности: уязвимости низкой степени серьезности будут раскрыты через две недели после основного релиза, содержащего исправление; уязвимости средней и высокой степени серьезности будут раскрыты через две недели после того, как последняя затронутая версия достигнет конца жизненного цикла (обычно через год после выпуска исправления в новой основной версии). Критические уязвимости не подпадают под стандартную политику и могут требовать специальных процедур. Исследователь безопасности экосистемы Bitcoin Люк де Вольф заявил, что ранее не соглашался со стратегией безопасности Пуансо, но считает это обновление хорошей корректировкой. В августе этого года добровольческая команда Bitcoin Red Team сообщила о почти 5 000 потенциальных проблем в 390 проектах, и только около одной пятой из них на тот момент были воспроизводимы. В том же месяце разработчики Core Lightning призвали операторов обновиться или отключить узлы после получения множества отчетов об уязвимостях, сгенерированных ИИ, сохраняя технические детали в тайне в течение двух недель.