Deweloperzy Bitcoin Core zmienili w czwartek 22 października zasady ujawniania podatności: błędy, które można znaleźć minimalnym wysiłkiem, na przykład prostym zapytaniem do modelu AI, będą łatane bez standardowego embarga. Wynika to z zatwierdzonego pull requesta w repozytorium projektu na GitHubie.
Zgodnie z zaktualizowaną polityką bezpieczeństwa opiekunowie projektu oceniają przy wstępnej analizie zgłoszenia, czy podatność jest łatwa do wykrycia. W takich przypadkach projekt jak najszybciej wyda wersję poprawkową dla każdej obsługiwanej wersji głównej i jednocześnie opublikuje biuletyn bezpieczeństwa.
W przypadku pozostałych podatności nic się nie zmienia, wynika z polityki: szczegóły przez pewien czas pozostają tajne (to właśnie embargo). W zależności od wagi błędu ujawnia się je po kilku tygodniach lub mniej więcej po roku od wydania poprawionej wersji.
Autor zmiany, deweloper Chaincode Labs Antoine Poinsot, napisał w opisie, że projekt dostaje coraz więcej zgłoszeń podatności, które łatwo odkryć ponownie. Przyczynę wskazał wprost: „W dużej mierze wynika to z tego, że modele LLM drastycznie obniżyły poprzeczkę w wyszukiwaniu pewnych klas problemów lub wykrywaniu ukrytych poprawek”.
Dla takich błędów dotychczasowe podejście jest według Poinsota złym kompromisem. „Okres embarga niewiele daje, ale opóźnia udostępnienie poprawionej wersji”, napisał. Przyznał też, że poprawki będą krócej testowane w gałęziach deweloperskich, zanim trafią do użytkowników.
Badacz bezpieczeństwa bitcoina Antoine Riard chciał, by projekt mógł w niektórych przypadkach wydawać poprawki bez biuletynu i decydować indywidualnie o ujawnieniu szczegółów. Poinsot odrzucił ten pomysł: ostrzeżenie bez szczegółów „mogłoby niepotrzebnie stworzyć większe ryzyko” i skłonić do pospiesznej aktualizacji użytkowników, których problem nie dotyczy.
Przed włączeniem zmianę zatwierdziło kilku uczestników projektu, jak wynika z dyskusji na GitHubie.
Według wyliczeń badaczy Bitcoin Red Team pod koniec lipca ta grupa 16 deweloperów wolontariuszy w ciągu około doby sprawdziła modelami AI 390 projektów związanych z bitcoinem i odnotowała 4962 znaleziska, w tym 85 krytycznych. Podatność w BTCPay Server, którą grupa zgłosiła prywatnie, wykorzystano później do ataków na serwery sprzedawców.
W osobnej sprawie 30 lipca napastnicy wykorzystali błąd obecny od 2021 roku w oprogramowaniu sprzętowych portfeli Coldcard i wyprowadzili 594 BTC w 25 minut, a straty w czterech falach zbliżyły się do 114 mln dolarów.
