Los desarrolladores de Bitcoin Core están revisando cómo el proyecto gestiona la divulgación de fallas de seguridad, ante una realidad cada vez más evidente: los modelos de lenguaje grandes (LLM) pueden facilitar mucho la detección rápida de ciertas vulnerabilidades. En un correo enviado a la lista de correo de desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot afirmó que la práctica tradicional de imponer largos períodos de embargo antes de divulgar fallas resulta cada vez menos útil cuando los atacantes pueden volver a descubrir errores casi de inmediato.
La actualización, descrita como parte del cambio en el enfoque de divulgación de Bitcoin Core, busca que los usuarios reciban antes el software corregido en las versiones que siguen teniendo mantenimiento, y publicar al mismo tiempo avisos de seguridad para ciertas categorías de problemas.
Conclusiones clave
Bitcoin Core afirma que los LLM pueden reducir la utilidad de los embargos de divulgación al hacer que algunas vulnerabilidades sean «fáciles de descubrir» en poco tiempo.
Según la política actualizada, las correcciones para las vulnerabilidades «fáciles de descubrir» se publicarán lo antes posible en todas las versiones principales que aún reciben mantenimiento.
Los avisos de seguridad sobre estos problemas se publicarán junto con las versiones corregidas, en lugar de hacerlo después de una demora.
Los demás tipos de vulnerabilidades seguirán sujetándose a plazos de divulgación basados en la gravedad, incluidas reglas específicas de dos semanas para los riesgos bajos y medios/altos.
Por qué Bitcoin Core está cambiando sus prácticas de divulgación
Históricamente, la divulgación de vulnerabilidades de seguridad solía depender de períodos de embargo: se retenían los detalles hasta que los usuarios tuvieran tiempo de actualizar. Poinsot sostuvo que este enfoque puede funcionar cuando redescubrir la vulnerabilidad es difícil o lleva tiempo. Sin embargo, cuando una falla puede encontrarse fácilmente mediante técnicas asistidas por IA, la demora quizá no ofrezca una protección significativa.
En su correo electrónico, Poinsot dijo que el período de embargo «sirve de poco, aparte de retrasar la disponibilidad de una versión corregida», y explicó que antes era difícil adaptar las correcciones a versiones antiguas del software. Como resultado, los usuarios podían acabar esperando hasta la siguiente versión principal para recibir el código corregido.
Dijo que el proyecto está actualizando su política para reflejar este cambio en el panorama de amenazas, donde la investigación asistida por IA acelera la rapidez con que las fallas pueden volver a salir a la luz.
Qué significa la categoría «fáciles de descubrir»
La política actualizada de Bitcoin Core aclara cómo se clasificarán y gestionarán las vulnerabilidades. Según la página del proyecto sobre su política de avisos de seguridad, los problemas considerados «fáciles de descubrir» darán lugar a una corrección más rápida en todas las versiones principales que aún reciben mantenimiento.
La política describe esta clasificación como aplicable a las vulnerabilidades que pueden descubrirse con un esfuerzo mínimo; menciona explícitamente, por ejemplo, encontrar errores mediante una instrucción sencilla a un LLM.
En lugar de retener los detalles hasta una fecha posterior, Bitcoin Core publicará los avisos de seguridad junto con las versiones corregidas correspondientes a esta categoría. En la práctica, esto significa que los operadores no deberían tener que esperar a que se cumpla el plazo tradicional de divulgación para planificar actualizaciones que contemplen correcciones específicas y el contexto de riesgo asociado.
Se mantienen los plazos basados en la gravedad para los demás problemas
Aunque la categoría «fáciles de descubrir» pasa a un ritmo más rápido, Bitcoin Core afirma que no todas las vulnerabilidades se tratarán de la misma manera. Las demás fallas seguirán plazos de divulgación basados en su gravedad, desde los problemas críticos que amenazan la seguridad fundamental de Bitcoin hasta los errores de menor riesgo que tienen un impacto limitado en nodos individuales.
Según la política, las vulnerabilidades de gravedad baja se divulgarán dos semanas después del lanzamiento de una versión principal que incluya la corrección. Las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después de que la última versión afectada llegue al «fin de su vida útil», lo que suele ocurrir alrededor de un año después de que la corrección se incluya en la nueva versión principal.
La política también señala una excepción: los errores críticos no están sujetos al calendario estándar, porque probablemente requieran un procedimiento específico para cada caso.
Esta estructura apunta a un equilibrio: actuar con rapidez cuando los atacantes pueden reproducir rápidamente la misma debilidad, pero mantener el enfoque establecido basado en la gravedad para las vulnerabilidades en las que el momento de la divulgación todavía ofrece un margen significativo para aplicar actualizaciones defensivas.
Mayor presión por las pruebas de seguridad asistidas por IA
El cambio en la divulgación se produce en un momento de mayor atención a la investigación de vulnerabilidades asistida por IA y a sus consecuencias para la operación segura del software en todo el ecosistema de Bitcoin.
Entre las noticias anteriores citadas por la comunidad de Bitcoin figura el informe de agosto del equipo voluntario Bitcoin Red Team, que identificó casi 5.000 posibles problemas en 390 proyectos, aunque para entonces solo se había reproducido alrededor de una quinta parte de los hallazgos. Esa magnitud puso de relieve la rapidez con que puede ampliarse la revisión del software cuando se aplican técnicas automatizadas y asistidas por IA.
Ese mismo mes, los desarrolladores de Core Lightning instaron a los operadores a actualizar sus sistemas —o a desconectar sus nodos— tras recibir varios informes de vulnerabilidades generados por IA. Otras noticias de ese período también describieron cómo Core Lightning retuvo los detalles técnicos durante dos semanas, reflejo de que distintas partes del ecosistema de Bitcoin han estado lidiando con la misma tensión: descubrimiento más rápido frente a la necesidad operativa de coordinar la divulgación y la aplicación de parches.
La política actualizada de Bitcoin Core puede interpretarse como un intento de adaptar los mecanismos de divulgación a la realidad de que el descubrimiento de vulnerabilidades quizá ya no esté limitado por el tiempo. Si se acorta el lapso entre que algo es «desconocido para muchos» y que está «armado o ampliamente comprendido», quizá haya que reducir los embargos o, en algunos casos, sustituirlos en la práctica por una divulgación inmediata junto con las correcciones.
Qué observar a continuación
Los operadores deberían prestar mucha atención a cómo Bitcoin Core clasifica los futuros avisos como «fáciles de descubrir» y a la rapidez con que las versiones mantenidas incorporan correcciones en varias versiones principales. La pregunta a largo plazo es si este enfoque reduce el riesgo sin abrumar a los usuarios con información anticipada, o si transformará la manera en que todos los proyectos del ecosistema de Bitcoin coordinan la aplicación de parches cuando el descubrimiento asistido por IA se vuelva la norma.
Este artículo se publicó originalmente con el título «Bitcoin Core actualiza su política de seguridad a medida que la IA mejora el descubrimiento de errores» en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y actualizaciones de la cadena de bloques.