Bitcoin Core cambia su política de seguridad a medida que la IA facilita la detección de errores
Bitcoin Core está cambiando la forma en que gestiona las vulnerabilidades de seguridad y explica que los modelos de lenguaje grandes han facilitado considerablemente el descubrimiento de ciertos fallos de software.
En un correo electrónico enviado el jueves a la lista de correo de desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot dijo que, en el pasado, las vulnerabilidades solían mantenerse bajo largos períodos de embargo de divulgación para dar tiempo a los usuarios a actualizar el software antes de que los detalles se hicieran públicos.
Mantener ese secreto generalmente impedía que las correcciones se adaptaran a versiones anteriores del software, lo que obligaba a los usuarios a esperar hasta la siguiente versión importante. Sin embargo, Poinsot dijo que los LLM han hecho que algunos fallos sean tan fáciles de volver a detectar que retrasar las correcciones ofrece muy poca protección.
«El período de embargo logra poco, salvo retrasar la disponibilidad de una versión corregida», dijo Poinsot. «Por lo tanto, estamos actualizando nuestra política de divulgación para adaptarnos a esa situación».
El cambio llega en un momento en que la investigación de seguridad asistida por IA está ejerciendo presión sobre los desarrolladores de todo el ecosistema de software de Bitcoin.
Según la política actualizada, las vulnerabilidades consideradas «fáciles de descubrir» se corregirán lo antes posible en todas las versiones principales que aún reciben mantenimiento, y las actualizaciones incluirán avisos de seguridad.
«Esta clasificación se aplica a las vulnerabilidades que pueden descubrirse con un esfuerzo mínimo, por ejemplo, mediante una simple instrucción para un LLM», señaló el comunicado.
Las demás vulnerabilidades seguirán plazos de divulgación basados en su gravedad, desde fallos críticos que amenazan la seguridad fundamental de Bitcoin hasta errores de menor riesgo con un impacto limitado en nodos individuales.
Bitcoin Core dijo que las vulnerabilidades de baja gravedad se divulgarán dos semanas después del lanzamiento de una versión principal que incluya la corrección, mientras que las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después de que la última versión afectada llegue al «fin de su vida útil», lo que suele ocurrir un año después de que la corrección se publique en la nueva versión principal.
Bitcoin Core está cambiando la forma en que gestiona las vulnerabilidades de seguridad y explica que los modelos de lenguaje grandes han facilitado considerablemente el descubrimiento de ciertos fallos de software.
En un correo electrónico enviado el jueves a la lista de correo de desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot dijo que, en el pasado, las vulnerabilidades solían mantenerse bajo largos períodos de embargo de divulgación para dar tiempo a los usuarios a actualizar el software antes de que los detalles se hicieran públicos.
Mantener ese secreto generalmente impedía que las correcciones se adaptaran a versiones anteriores del software, lo que obligaba a los usuarios a esperar hasta la siguiente versión importante. Sin embargo, Poinsot dijo que los LLM han hecho que algunos fallos sean tan fáciles de volver a detectar que retrasar las correcciones ofrece muy poca protección.
«El período de embargo logra poco, salvo retrasar la disponibilidad de una versión corregida», dijo Poinsot. «Por lo tanto, estamos actualizando nuestra política de divulgación para adaptarnos a esa situación».
El cambio llega en un momento en que la investigación de seguridad asistida por IA está ejerciendo presión sobre los desarrolladores de todo el ecosistema de software de Bitcoin.
Según la política actualizada, las vulnerabilidades consideradas «fáciles de descubrir» se corregirán lo antes posible en todas las versiones principales que aún reciben mantenimiento, y las actualizaciones incluirán avisos de seguridad.
«Esta clasificación se aplica a las vulnerabilidades que pueden descubrirse con un esfuerzo mínimo, por ejemplo, mediante una simple instrucción para un LLM», señaló el comunicado.
Las demás vulnerabilidades seguirán plazos de divulgación basados en su gravedad, desde fallos críticos que amenazan la seguridad fundamental de Bitcoin hasta errores de menor riesgo con un impacto limitado en nodos individuales.
Bitcoin Core dijo que las vulnerabilidades de baja gravedad se divulgarán dos semanas después del lanzamiento de una versión principal que incluya la corrección, mientras que las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después de que la última versión afectada llegue al «fin de su vida útil», lo que suele ocurrir un año después de que la corrección se publique en la nueva versión principal.