Разработчики Bitcoin Core в четверг, 22 октября, изменили порядок раскрытия уязвимостей: ошибки, которые можно найти с минимальными усилиями, например простым запросом к языковой модели, будут исправлять без стандартного эмбарго. Это говорится в принятом запросе на изменение на GitHub.
Согласно обновленной политике безопасности, легко обнаруживаемые уязвимости отмечают при разборе сообщений о них. Для таких ошибок проект как можно скорее выпустит корректирующий релиз для каждой поддерживаемой основной версии вместе с бюллетенем безопасности.
Для остальных уязвимостей порядок прежний, говорится в политике: подробности какое-то время держат в секрете (это и есть эмбарго). В зависимости от опасности ошибки их раскрывают через несколько недель или примерно через год после выхода версии с исправлением.
Автор изменения, разработчик Chaincode Labs Антуан Пуансо, написал в описании запроса, что проекту стали чаще сообщать об уязвимостях, которые легко обнаружить повторно. По его словам, «во многом это связано с тем, что языковые модели резко снизили планку для поиска некоторых классов проблем или выявления негласных исправлений».
Для таких ошибок прежний порядок Пуансо назвал неверным компромиссом. Он написал: «Период эмбарго мало что дает, но задерживает появление исправленной версии». При этом он признал, что исправления будут меньше времени «обкатываться» в ветках разработки до выхода к пользователям.
Исследователь безопасности биткоина Антуан Риар предлагал сохранить за проектом право в отдельных случаях выпускать исправления без бюллетеня и не раскрывать подробности. Пуансо возразил, что предупреждение об уязвимости без деталей «может без необходимости создать дополнительный риск», например спровоцировать спешное обновление у тех, кого проблема не затрагивает.
Перед принятием изменение одобрили несколько участников проекта, следует из обсуждения на GitHub.
По подсчету исследователей Bitcoin Red Team, в конце июля группа из 16 разработчиков-добровольцев примерно за день проверила моделями ИИ 390 биткоин-проектов и насчитала 4962 находки, 85 из них критические. Уязвимость BTCPay Server, о которой группа сообщила в частном порядке, позже использовали для атак на серверы продавцов.
Напомним, 30 июля через ошибку в прошивке аппаратных кошельков Coldcard, существовавшую с 2021 года, злоумышленники за 25 минут вывели 594 BTC, а потери за четыре волны вывода приблизились к $114 млн.
