AIによってバグの発見が容易になるなか、Bitcoin Coreがセキュリティ方針を変更
Bitcoin Coreは、セキュリティ脆弱性への対応方法を変更する。大規模言語モデルによって、特定のソフトウェアの欠陥が大幅に発見しやすくなったためだと説明している。
Bitcoin開発者向けメーリングリストに木曜日に送られたメールで、Bitcoin Coreの開発者であるAntoine Poinsot氏は、これまで脆弱性の詳細は一般公開まで長期間の開示保留期間が設けられるのが通例だったと述べた。これは、詳細が公表される前にユーザーがアップグレードできるようにするためだった。
こうした秘密保持を続けるには、通常、修正を旧バージョンのソフトウェアにバックポートできず、ユーザーは次のメジャーリリースまで待たなければならなかった。しかしPoinsot氏によると、LLMによって簡単に再発見できる脆弱性もあるため、修正を遅らせてもほとんど保護につながらないという。
「開示保留期間は、修正版の提供を遅らせるだけで、ほとんど意味がありません」とPoinsot氏は述べた。「そのため、こうした脆弱性に対応できるよう、開示方針を更新します」
この変更の背景には、AIを活用したセキュリティ研究が、Bitcoinのソフトウェアエコシステム全体の開発者に圧力をかけている状況がある。
更新後の方針では、「容易に発見可能」と判断された脆弱性について、保守対象となっているすべてのメジャーバージョンに対し、できるだけ速やかに修正を提供し、更新と同時にセキュリティ勧告を公開する。
「この分類は、簡単なLLMへのプロンプトなど、最小限の労力で発見できる脆弱性に適用されます」と同方針には記されている。
それ以外の脆弱性については、引き続き深刻度に応じた開示スケジュールが適用される。Bitcoinの根本的なセキュリティを脅かす重大な欠陥から、個々のノードへの影響が限られるリスクの低いバグまでが対象となる。
Bitcoin Coreによると、深刻度の低い脆弱性は、修正を含むメジャーバージョンのリリースから2週間後に開示される。一方、中程度および深刻度の高い脆弱性は、影響を受ける最後のリリースが「サポート終了」を迎えてから2週間後に開示される。通常、これは修正が新しいメジャーバージョンでリリースされてから1年後となる。