Bitcoin Core erklärt, dass es seine Offenlegung von Sicherheitslücken überarbeitet. Dabei räumt das Projekt ein, dass moderne KI-Tools – insbesondere große Sprachmodelle – bestimmte Schwachstellen deutlich leichter auffindbar und reproduzierbar machen können. In einer E-Mail an die Bitcoin-Entwickler-Mailingliste argumentierte Bitcoin-Core-Entwickler Antoine Poinsot, dass der traditionelle Ansatz, Details über einen längeren Embargozeitraum geheim zu halten, in manchen Fällen kaum noch zusätzliche Sicherheit bietet.

Gemäß der aktualisierten Richtlinie werden Schwachstellen, die als „leicht auffindbar“ eingestuft werden, in allen gepflegten Hauptversionen schneller behoben. Gleichzeitig mit den Updates werden Sicherheitshinweise veröffentlicht. Für andere Fehler gelten weiterhin zeitbasierte Zeitpläne, die sich nach ihrem Schweregrad und den Software-Veröffentlichungszyklen richten.

Die wichtigsten Erkenntnisse

• Laut der aktualisierten Richtlinie verabschiedet sich Bitcoin Core von langen Offenlegungssperren für Fehler, die „leicht auffindbar“ sind – darunter Probleme, die sich mit „einem einfachen LLM-Prompt“ finden lassen.

• Für die neue Kategorie sollen Korrekturen so schnell wie möglich in allen weiterhin unterstützten Hauptversionen bereitgestellt und die Sicherheitshinweise zeitgleich mit den Korrekturen veröffentlicht werden.

• Schwachstellen mit niedrigem Schweregrad werden zwei Wochen nach Veröffentlichung einer korrigierten Hauptversion offengelegt. Bei Problemen mit mittlerem oder hohem Schweregrad erfolgt die Offenlegung zwei Wochen, nachdem die letzte betroffene Version ihr Supportende erreicht hat.

• Bitcoin Core weist darauf hin, dass kritische Fehler außerhalb der Standardrichtlinie behandelt werden – wahrscheinlich im Rahmen eines Ad-hoc-Verfahrens.

Warum Bitcoin Core seinen Ansatz zur Offenlegung ändert

Historisch gesehen nutzen viele Open-Source-Projekte Offenlegungssperren: Sie halten Details zu Schwachstellen eine gewisse Zeit geheim, damit Nutzer ein Update installieren können, bevor die Öffentlichkeit erfährt, wonach sie suchen muss. Poinsot erklärte auf der Bitcoin Development Mailing List, dass dieser Ansatz die Verfügbarkeit einer korrigierten Version verzögern kann, ohne einen nennenswerten Schutz zu bieten, wenn Schwachstellen leicht erneut entdeckt werden können.

In der E-Mail sagte Poinsot, die Sperrfrist „bringt wenig, verzögert aber die Verfügbarkeit einer korrigierten Version“. Deshalb werde Bitcoin Core seine Offenlegungsrichtlinie an diese Realität anpassen.

Der grundlegende Wandel hängt mit der Entwicklung der Sicherheitsforschung zusammen. Poinsot merkte an, dass KI-gestützte Suche Fehler schnell aufdecken und so die Zeitspanne zwischen einer „unbekannten Schwachstelle“ und einem „praktisch nutzbaren Exploit-Pfad“ verkürzen kann. Dadurch verändert sich der Nutzen, Details zurückzuhalten: Wenn Angreifer das Problem ohnehin schnell reproduzieren können, verzögert eine spätere Offenlegung womöglich vor allem defensive Updates, statt das Risiko wesentlich zu senken.

So funktioniert die aktualisierte Richtlinie

Die aktualisierte Richtlinie für Sicherheitshinweise von Bitcoin Core, die auf der Seite mit den Sicherheitshinweisen veröffentlicht wurde, unterscheidet klar zwischen Schwachstellen, für deren Behebung ein herkömmlicher Zeitplan erforderlich ist, und solchen, bei denen dies nicht der Fall ist.

Nach der neuen Einstufung werden „leicht auffindbare“ Schwachstellen zügig in allen weiterhin unterstützten Hauptversionen behoben. Der zugehörige Sicherheitshinweis wird zusammen mit den Updates veröffentlicht. Bitcoin Core beschreibt diese Kategorie ausdrücklich als Probleme, die sich mit minimalem Aufwand finden lassen – auch durch einen „einfachen LLM-Prompt“.

Für andere Schwachstellen gelten weiterhin Offenlegungsfristen, die sich nach Schweregrad und Lebenszyklus der Version richten:

• Schwachstellen mit niedrigem Schweregrad: Offenlegung zwei Wochen nach Veröffentlichung einer Hauptversion, die die Korrektur enthält.

• Schwachstellen mit mittlerem und hohem Schweregrad: Offenlegung zwei Wochen, nachdem die letzte betroffene Version ihr „Supportende“ erreicht hat. Das ist normalerweise ein Jahr nach Veröffentlichung der Korrektur in der neuen Hauptversion.

Bitcoin Core erklärte außerdem, dass kritische Fehler nicht unter den Standardzeitplan fallen und wahrscheinlich stattdessen ein Ad-hoc-Verfahren erfordern. Das deutet darauf hin, dass das Projekt bei den gefährlichsten Problemen mit einer anderen operativen Reaktion rechnet als bei gewöhnlichen Fehlerbehebungen und der zeitlich festgelegten Veröffentlichung von Sicherheitshinweisen.

Was das für Nutzer älterer Versionen bedeutet

Eine der praktisch folgenreichsten Auswirkungen des Offenlegungszeitpunkts ist der Druck, Updates zu installieren – insbesondere bei Systemen, die nicht sofort aktualisiert werden. Der bisherige Ansatz von Bitcoin Core ließ erkennen, dass Geheimhaltung von Schwachstellendetails die Rückportierung von Korrekturen verlangsamen konnte. Nutzer mussten dann bis zum nächsten Hauptversionszyklus auf Abhilfe warten. Poinsots Argument zielt darauf ab, diese Hürde abzubauen, wenn KI-Tools den Schutz durch Geheimhaltung mindern.

Indem Bitcoin Core der raschen Rückportierung von „leicht auffindbaren“ Problemen Vorrang gibt, versucht das Projekt effektiv, den Zeitraum zu verkürzen, in dem Betreiber gefährdet bleiben, weil ihre Version noch zu einer älteren Versionsreihe gehört. Für Node-Betreiber, Wallet-Integratoren und nachgelagerte Systeme, die auf Bitcoin-Core-Versionen angewiesen sind, unterstreicht das Update, dass „auf die nächste Hauptversion zu warten“ bei manchen Fehlerklassen möglicherweise schwerer zu rechtfertigen ist.

Die Richtlinienänderung bedeutet jedoch nicht, dass jede Schwachstelle sofort offengelegt wird. Die Unterscheidung nach Schweregrad deutet darauf hin, dass Bitcoin Core weiterhin Transparenz und operative Einsatzbereitschaft gegeneinander abwägen will. Die stärkste Beschleunigung ist Fällen vorbehalten, in denen die Schwachstelle ohnehin leicht zu finden ist.

Der größere Zusammenhang: KI-Sicherheitsforschung setzt die gesamte Softwarelandschaft unter Druck

Der Zeitpunkt der Richtlinienänderung von Bitcoin Core fällt mit zunehmenden Berichten über die Entdeckung von Schwachstellen mithilfe generativer KI im gesamten Bitcoin-Ökosystem zusammen. Im August meldete das ehrenamtliche Bitcoin Red Team beinahe 5.000 potenzielle Probleme in 390 Projekten und wies darauf hin, dass zum damaligen Zeitpunkt nur etwa ein Fünftel seiner Funde reproduziert worden war. Andere Entwicklerkreise reagierten auf KI-gestützte Berichte, indem sie Betreiber aufforderten, ihre Systeme zu aktualisieren oder Nodes sogar vorübergehend offline zu nehmen, bis eine verifizierte Behebung vorliegt.

Cointelegraph berichtete zuvor, dass Core-Lightning-Entwickler Betreiber nach mehreren KI-generierten Schwachstellenmeldungen aufforderten, ihre Systeme zu aktualisieren oder Nodes offline zu nehmen. In einem weiteren Bericht wurden Fälle hervorgehoben, in denen technische Details zwei Wochen lang zurückgehalten wurden. Obwohl sich diese Berichte auf unterschiedliche Softwarekomponenten und Offenlegungsentscheidungen beziehen, verdeutlichen sie ein gemeinsames Spannungsfeld: Wenn KI-Tools schnell plausible Schwachstellen aufzeigen, müssen Entwickler entscheiden, wie sie verhindern, dass eine verfrühte Offenlegung Panik oder unnötige Störungen auslöst – ohne die Behebung unnötig hinauszuzögern.

Die überarbeitete Haltung von Bitcoin Core deutet darauf hin, dass sich das Gleichgewicht bei bestimmten Fehlerarten verschoben hat. Wenn Angreifer dieselben Schwachstellen mit allgemein verfügbaren Tools schnell finden können, wird das Aufschieben von Korrekturen zu einem größeren Risiko, als Details zusammen mit Patches sofort zu veröffentlichen.

Ausblick: Darauf achten, wie „leicht auffindbar“ ausgelegt wird

Mit der Richtlinie führt Bitcoin Core eine Kategorie ein, deren Anwendung eine praktische Einstufung erfordert: Was gilt als „leicht auffindbar“, und wie einheitlich wird dieser Maßstab angewendet? Die nächsten Sicherheitshinweise, die nach dem aktualisierten Ansatz veröffentlicht werden, werden am deutlichsten zeigen, wie das Projekt die Regel in die Praxis umsetzt und wie schnell Korrekturen synchron in den unterstützten Versionen bereitgestellt werden.

Dieser Artikel wurde ursprünglich als „Bitcoin Core Updates Security Policy as AI Speeds Bug Discovery“ auf Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-News und Blockchain-Updates.