大規模言語モデルによって一部のソフトウェアの脆弱性が大幅に見つけやすくなったとして、Bitcoin Coreはセキュリティ脆弱性への対応方法を変更している。

木曜日、Bitcoin Development Mailing Listに宛てたメールで、Bitcoin Coreの開発者アントワーヌ・ポワンソ氏は、これまでは脆弱性の詳細が公表される前にユーザーがアップグレードできるよう、通常、脆弱性の情報は長期間にわたって公開が差し控えられていたと述べた。

こうした秘密保持を続けるには、通常、古いソフトウェアのバージョンに修正をバックポートできず、ユーザーは次のメジャーリリースまで待たなければならなかった。しかしポワンソ氏によると、大規模言語モデルによって一部の脆弱性は簡単に再発見できるようになったため、修正を遅らせてもほとんど保護にはならないという。

「公開延期期間によって得られるものはほとんどなく、修正を含むリリースの提供を遅らせるだけです」とポワンソ氏は述べた。「そのため、こうしたケースに対応できるよう、ポリシーの開示内容を更新しています。」

この変更は、AIを活用したセキュリティ研究が、ビットコインのソフトウェアエコシステム全体の開発者に圧力をかけるなかで行われた。

更新後のポリシーでは、「容易に発見できる」と判断された脆弱性について、保守対象となっているすべてのメジャーバージョンに対し、できるだけ速やかに修正を適用し、更新と同時にセキュリティ勧告を公開する。

「この分類は、簡単なLLMへのプロンプト入力など、最小限の労力で発見できる脆弱性に適用されます」と同社は述べた。

その他の脆弱性については、引き続き深刻度に応じた開示スケジュールに従う。ビットコインの根本的な安全性を脅かす重大な欠陥から、個々のノードへの影響が限られる低リスクのバグまでが対象となる。

Bitcoin Coreによると、深刻度の低い脆弱性は、修正を含むメジャーバージョンのリリースから2週間後に開示される。一方、中程度および深刻度の高い脆弱性は、影響を受ける最後のリリースが「サポート終了」を迎えてから2週間後に開示される。通常、これは新しいメジャーバージョンで修正がリリースされてから1年後となる。

「重大なバグは標準ポリシーの対象ではありません。おそらく個別の手続きが必要になるためです」と同社は述べた。

「以前は、セキュリティに関するアントワーヌの進め方に賛同できませんでしたが、今回の更新は良いものです」と、『Bitcoin Infinity Show』のホストであり、『Defending Bitcoin』の著者でもあるルーク・デ・ウルフ氏は述べた。

8月、ボランティアによるBitcoin Red Teamは、390のプロジェクトで約5,000件の潜在的な問題を報告した。ただし、その時点で再現が確認されたのは、報告内容の約5分の1にとどまった。

同月、複数のAI生成による脆弱性報告を受けたCore Lightningの開発者らは、技術的な詳細の公表を2週間控える一方、運用者にノードのアップグレード、または停止を促した。

マガジン：米国でDeepSeekの新たな禁止措置、スイスとアジアの暗号資産関係が深化：Asia Express