Розробники Bitcoin Core у четвер, 22 жовтня, змінили порядок розкриття вразливостей: помилки, які можна знайти з мінімальними зусиллями, наприклад простим запитом до мовної моделі, виправлятимуть без стандартного ембарго. Про це йдеться в ухваленому запиті на зміну в репозиторії проєкту на GitHub.
Згідно з оновленою політикою безпеки, розробники визначають, чи належить вразливість до легко виявлюваних, під час розгляду повідомлення про неї. Для таких помилок проєкт якнайшвидше випустить коригувальний реліз для кожної підтримуваної основної версії разом із бюлетенем безпеки.
Для решти вразливостей порядок не змінюється, ідеться в політиці: подробиці певний час тримають у таємниці (це і є ембарго). Залежно від небезпеки помилки їх розкривають через кілька тижнів або приблизно через рік після виходу версії з виправленням.
Автор зміни, розробник Chaincode Labs Антуан Пуансо, написав в описі запиту, що проєкт дедалі частіше отримує повідомлення про вразливості, які легко виявити повторно. За його словами, «значною мірою це пов'язано з тим, що мовні моделі різко знизили планку для пошуку певних класів проблем або виявлення прихованих виправлень».
Для таких помилок колишній порядок Пуансо назвав хибним компромісом. Він написав: «Період ембарго мало що дає, але затримує появу виправленої версії». Водночас він визнав, що виправлення матимуть менше часу на «обкатку» в гілках розробки, перш ніж потраплять до користувачів.
Дослідник безпеки біткоїна Антуан Ріар пропонував залишити проєкту змогу в окремих випадках випускати виправлення без бюлетеня й не розкривати подробиць. Пуансо заперечив: за його словами, попередження без деталей «може без потреби створити додатковий ризик» і спричинити поспішне оновлення в тих, кого проблема не стосується.
Перед ухваленням зміну схвалили кілька учасників проєкту, свідчить обговорення на GitHub.
За підрахунками дослідників Bitcoin Red Team, наприкінці липня ця група з 16 розробників-волонтерів приблизно за день перевірила моделями ШІ 390 проєктів, пов'язаних із біткоїном, і зафіксувала 4962 знахідки, 85 із них критичні. Вразливість BTCPay Server, про яку група повідомила приватно, згодом використали для атак на сервери продавців.
Нагадаємо, 30 липня через помилку в прошивці апаратних гаманців Coldcard, що існувала з 2021 року, зловмисники за 25 хвилин вивели 594 BTC, а збитки за чотири хвилі виведення наблизилися до $114 млн.
