Les développeurs de Bitcoin Core ont modifié jeudi 22 octobre leurs règles de divulgation : les failles qu'un effort minimal suffit à trouver, par exemple une simple requête à un modèle d'IA, seront corrigées sans l'embargo habituel, selon une demande de modification fusionnée sur GitHub.
D'après la politique de sécurité mise à jour, les mainteneurs décident lors du tri si une faille signalée est facile à découvrir. Dans ce cas, le projet publiera au plus vite une version corrective pour chaque version majeure prise en charge, accompagnée d'un bulletin de sécurité.
Pour les autres failles, rien ne change d'après la politique : les détails restent confidentiels pendant une période appelée embargo. Selon la gravité, ils sont rendus publics quelques semaines ou environ un an après la sortie de la version corrigée.
Antoine Poinsot, développeur chez Chaincode Labs et auteur du changement, a écrit dans la demande que le projet reçoit de plus en plus de signalements de failles faciles à redécouvrir. Il l'attribue aux modèles de langage : « Cela est dû en grande partie au fait que les LLM abaissent considérablement la barre pour trouver certaines catégories de problèmes ou repérer des correctifs discrets. »
Pour ce type de failles, l'ancienne approche constitue selon lui un mauvais compromis. « La période d'embargo apporte peu, mais elle retarde la disponibilité d'une version corrigée », a-t-il écrit. Il a aussi reconnu que les correctifs passeront moins de temps en test dans les branches de développement avant d'arriver chez les utilisateurs.
Antoine Riard, chercheur de longue date en sécurité de bitcoin, souhaitait que le projet puisse, dans certains cas, publier des correctifs sans bulletin et décider au cas par cas de révéler les détails. Antoine Poinsot a refusé : alerter les utilisateurs sans détails « pourrait créer davantage de risques inutilement » et pousser des utilisateurs non concernés à une mise à jour précipitée.
Plusieurs contributeurs ont approuvé la modification avant sa fusion, d'après la discussion sur GitHub.
Selon le décompte des chercheurs de Bitcoin Red Team, ce groupe de 16 développeurs bénévoles a examiné fin juillet avec des modèles d'IA 390 projets liés à bitcoin en une journée environ et relevé 4 962 découvertes, dont 85 critiques. Une faille de BTCPay Server signalée en privé par le groupe a ensuite servi à attaquer des serveurs de commerçants.
Dans une affaire distincte, le 30 juillet, des attaquants ont exploité une faille présente depuis 2021 dans le micrologiciel des portefeuilles matériels Coldcard et emporté 594 BTC en 25 minutes ; les pertes sur quatre vagues ont approché 114 millions de dollars.
