很多年来，处理一个软件漏洞最稳妥的做法是：先悄悄修好，等大多数人升级完，再公开说明。比特币核心（Bitcoin Core，比特币网络上大多数节点运行的软件）认为，对其中一类漏洞来说，这份安静保护的是错的人。
我把它的安全政策页面、版本维护页面，以及这次改动的合并记录原文都读了一遍。
【先说结论】
· 比特币核心的安全政策新增了一个类别："容易被发现"的漏洞，定义是"花很少力气就能发现的漏洞，比如用一个简单的大模型提示"。
· 这类漏洞不再走标准的保密期，而是尽快在每个仍在维护的大版本里发布修复，同时发布安全公告。
· 背后是一个老难题：透明和给用户留够升级时间，两个目标互相拉扯。漏洞很容易被找到时，等待主要帮了先找到它的人。
· 代价也写在讨论里：修复的测试时间变短了。
【旧规矩：先悄悄修，再慢慢说】
比特币核心公开的政策按严重程度决定什么时候公布：
· 低：包含修复的大版本发布两周后公开。
· 中、高：最后一个受影响的版本停止维护后两周才公开。
· 严重（威胁整个比特币网络安全的漏洞）：不走标准流程，单独处理。
它同时维护最新的三个大版本，大约半年出一个新版。所以"等最后一个受影响版本停止维护"，可能意味着修复发布后还要等一年左右才公开。
我的看法： 逻辑很简单：把修复藏在一次例行升级里，不说修了什么，给大家时间升级，之后再解释。保密能换来时间，前提是攻击者自己很难找到同一个漏洞。
【新类别：漏洞太容易找的时候】
这次改动来自第 1281 号合并请求，题目是"针对容易发现的漏洞更新安全政策"。提出人是 Chaincode Labs 的开发者 Antoine Poinsot，几位贡献者审阅同意后，10 月 22 日由维护者 fanquake 合并。是否归入这一类，由开发者在分类时判断，而且不限于真的由 AI 找到的漏洞。
提出人在说明里写道：
「"我们最近收到的、容易被（重新）发现的安全漏洞报告明显增多。这主要是因为大模型大大降低了发现某些类型问题、或识别'悄悄修补'的门槛。"」
「」
「"任何安全政策都要在两个互相拉扯的目标之间取舍：透明，和给用户足够的升级时间。"」
（中文为本文翻译。）
他说，因为比特币"升级文化慢"，原来的政策偏向长保密期，这通常意味着安全修复没法补到旧版本里，只能等下一个大版本。对容易发现的漏洞，"这是错误的取舍。保密期作用不大，却推迟了修复版本的发布"。
注意第一段话里的"识别悄悄修补"：旧做法靠的是修补不声张。如果模型能读懂一处代码改动、看出它在补什么，那悄悄修补本身就可能给攻击者指路。
【为什么是现在】
今年夏天，开发者们有不少理由担心（以下为媒体报道）：
· 7 月底，一个 16 人的志愿团队用 AI 扫描了 390 个比特币相关项目，一天多时间记下 4,962 个发现，其中 85 个被评为严重。这是团队自己的统计，不是每个发现都确认是漏洞。
· 他们私下报告的一个 BTCPay Server 漏洞，几天内就在真实商户服务器上被利用。
· Core Lightning 在 AI 生成的报告被证实之后，通知节点运营者升级或断开连接。
也不是每件事都和 AI 有关：7 月 30 日 Coldcard 钱包被盗走 594 枚比特币，那个漏洞从 2021 年就存在，并不需要 AI 才能发现。
【代价是什么】
讨论记录把代价说得很坦白：
· 提出人自己承认，这类修复在开发分支里"磨合"的时间会变少。
· 另一位审阅者觉得还不够快：现在自动监控代码库太便宜了，一提交修复，可能就提醒了一大批攻击者，而大多数用户要"几天甚至几周后"才知道。
· 资深安全研究者 Antoine Riard 主张保留"只修不说"的选项。提出人回了一句"这是个坏主意"：不给细节就发警报，可能让本来不受影响的人仓促迁移。他举的例子是：区块模板相关的漏洞，矿工必须马上修，商家却可以更从容地升级。
· Riard 也提醒，他看到的 AI 审计报告常常能"找到有意思的东西"，但缺少完整的利用路径，也说不清哪些版本受影响。
我的看法： 这才是真正的选择题。保密期只在漏洞难找时保护用户；一旦找漏洞变得很便宜，等待主要帮了先找到它的人，暴露在外的是还在用旧版本的用户。新类别赌的是：对容易的漏洞，速度胜过保密。代价是修复更仓促，以及分类时那个"算不算容易"的判断。网络级的严重漏洞，仍然不在这条规则里。
【接下来看什么】
· 第一份按"容易被发现"类别发布的安全公告（媒体报道称目前还没有）。
· 钱包、闪电网络实现等其他开源项目会不会跟进类似规则。
· 这个标签用得多不多：用得太少，旧保密期照旧；用得太多，仓促修复会变成常态。
如果 AI 一个提示就能找到一个漏洞，维护代码的人还该等大多数用户升级完再公开吗？还是尽快告诉所有人更安全？ 评论区聊聊。
—————
本文只讨论公开文件写了什么，不构成投资建议，也不评价比特币本身是否安全。
出处：Bitcoin Core 安全公告页（披露政策，2026-10-25 读取）；Bitcoin Core 软件生命周期页（2026-10-25 读取）；bitcoincore.org 网站代码库第 1281 号合并请求（说明与审阅讨论，2026-10-25 存档）；CoinDesk（2026-10-23；夏季事件报道 7—8 月）；Bitcoin Magazine（2026-10）