Bitcoin Core меняет подход к обработке уязвимостей безопасности, объясняя это тем, что большие языковые модели значительно упростили обнаружение определённых программных недостатков.
В электронном письме в рассылку Bitcoin Development Mailing List в четверг разработчик Bitcoin Core Антуан Пуансо заявил, что раньше уязвимости обычно скрывали на протяжении длительных периодов эмбарго, чтобы пользователи успели обновить ПО до публикации подробностей.
Сохранение такой тайны обычно означало, что исправления нельзя было перенести в старые версии ПО, из-за чего пользователям приходилось ждать следующего крупного релиза. Однако Пуансо заявил, что LLM сделали некоторые уязвимости настолько простыми для повторного обнаружения, что задержка исправлений практически не обеспечивает защиты.
«Период эмбарго даёт мало пользы, но задерживает доступность исправленного релиза», — сказал Пуансо. «Поэтому мы обновляем нашу политику раскрытия информации, чтобы учитывать это».
Изменения происходят на фоне того, как исследования безопасности с помощью ИИ усиливают давление на разработчиков по всей программной экосистеме Bitcoin.
Согласно обновлённой политике, уязвимости, которые считаются «легко обнаруживаемыми», будут исправляться как можно скорее во всех поддерживаемых основных версиях, а рекомендации по безопасности будут публиковаться одновременно с обновлениями.
«Эта классификация применяется к уязвимостям, которые можно обнаружить с минимальными усилиями, например с помощью простого запроса к LLM», — говорится в документе.
Связано: Изъян PHP привлёк миллионы попыток эксплуатации, предупреждает генеральный директор Cloudflare
Другие уязвимости по-прежнему будут раскрываться по графикам, зависящим от степени серьёзности: от критических недостатков, угрожающих фундаментальной безопасности Bitcoin, до менее опасных багов с ограниченным влиянием на отдельные узлы.
В Bitcoin Core заявили, что уязвимости низкой степени серьёзности будут раскрываться через две недели после выпуска основной версии, содержащей исправление, а сведения об уязвимостях средней и высокой степени серьёзности — через две недели после того, как последний затронутый релиз достигнет статуса «конца жизненного цикла» (End of Life), обычно через год после выпуска исправления в новой основной версии.
«Критические баги не рассматриваются в рамках стандартной политики, поскольку, скорее всего, потребуют специальной процедуры», — говорится в документе.
«В прошлом я не соглашался с подходом Антуана к безопасности, но это хорошее обновление», — сказал Люк де Вулф, ведущий шоу Bitcoin Infinity Show и автор книги «Defending Bitcoin».
В августе волонтёрская Bitcoin Red Team сообщила почти о 5 000 потенциальных проблемах в 390 проектах, хотя на тот момент была воспроизведена лишь примерно пятая часть обнаруженных ею проблем.
В том же месяце разработчики Core Lightning призвали операторов обновить ПО или отключить свои узлы после получения нескольких созданных ИИ отчётов об уязвимостях, одновременно удержав технические подробности на протяжении двух недель.
Журнал: Новый запрет DeepSeek в США, углубление криптосвязей Швейцарии и Азии: Asia Express